Metasploit渗透测试实战：白帽子从入门到精通

1.1.1 渗透攻击（Exploit）#

由攻击者或渗透测试者利用一个系统、应用或服务中心的安全漏洞进行的攻击行为。往往会造成开发者所没有预期到的一种特殊结果。

1.1.2 攻击载荷（Payload）#

目标系统在被渗透攻击之后去执行的代码，在Metasploit框架中可以自由地选择、传送和植入。

1.1.3 Shellcode#

渗透攻击时作为攻击载荷运行的一组机器指令，通常用汇编语言编写。

1.1.4 模块（Module）#

Metasploit框架里面包含了许多软件组件，代表的就是模块，比如渗透攻击模块、辅助模块等。

1.1.5 监听器（Listener）#

Metasploit框架中用来等来接入网络连接的组件，比如目标主机被渗透攻击之后，通过互联网进行连接。

1.2.1 MSF终端#

目前最流行的接口，灵活且功能丰富，后续的操作都基于此。启动命令：msfconsole

1.2.2 MSF命令行#

主要用于脚本和其他命令行工具的互操作性。在明确渗透工具和参数时，使用这个将会效率翻倍。（目前好像被废弃了emmm）

1.2.3 Armitage#

一个界面交互系统，不比命令那么酣畅淋漓，简单介绍下（以后补）。

1
#启动程序
2
armitage

1.3.1 MSF攻击载荷生成器#

简单就是把shellcode加入到各种文件中，js、html、py等等。

1.3.2 MSF编码器#

简单来说就是加壳，给shellcode加点料，让别人（杀毒软件）看不懂。

1.3.3 Nasm Shell#

目前的理解就是把指令操作转化成汇编的工具。

2.1.1 whois查询#

简单查询了下某个域名，发现这些有用信息：①域名服务器：grs-whois.hichina.com（阿里云）②注册地址www.net.cn（阿里云）③更新时间，创建时间，创建者，注册商IANA编号④DNS服务器就是Name Server（ps：往往dns服务器部署在公司内部，解析域名和ip，所以看到很多对应关系）

2.1.2 Netcraft#

这个网站是在线的直接搜索即可 https://sitereport.netcraft.com/

这里查到了ipv4的地址信息，我们直接whois查询ip地址，获取了一些信息（emmm好像没啥用）。

2.1.3 NSLookup#

获取服务器附加信息的工具。有比较多的命令行，这里简单介绍几个。

1
A：指的是用来指定主机名或域名对应的IPv4记录
2
AAAA：指的是用来指定主机名或域名对应的IPv6记录
3
MX：邮件交换记录，它指向一个邮件服务器，用于电子邮件系统
4
NS：用来指定该域名由那个DNS服务器来进行解析
5
SOA：起始授权机构记录，SOA记录说明了在众多NS记录里那一台才是主要的服务器
6
CNAME：别名记录，也称为规范名字。这种记录允许将多个名字映射到同一台计算机
7
TXT：一般指为某个主机名或域名设置的说明

Non-authoritative answer：表示未证实回答，说明是缓存读来的，不是向服务商请求获得的。

2.2.1 Nmap端口扫描#

1
#ping扫描，主机存活就扫描
2
nmap -sP <域名或ip>
3

4
#Tcp扫描，与扫描端口建立TCP连接（缺点会在目标主机留下日志溯源）
5
nmap -sT <域名或ip>
6

7
#半开扫描，SYN扫描需要root（只建立第一次握手，失败就放弃一般不会被留痕）
8
nmap -sS <ip地址>
9

10
#路由追踪扫描，了解网络通行情况，各个节点花费的时间
11
nmap -traceroute <域名或ip>
12

13
#扫描网段下的ip（会根据地址搜索当前网段）
14
nmap ip地址/24
15

16
#扫描一个目标列表
17
nmap -iL [ip地址列表文件]
18

19
#非ping扫描不执行主机发现，可以跳过防火墙（-PA：ACK方式，-PS：SYN方式，-PU：UDP方式，-PY：SCTP INIT）
20
nmap -Pn <域名或ip>
21

22
#脚本扫描
23
nmap --script=[指令] [ip]
24
auth：绕过鉴权扫描
25
broadcast：在局域网探查更多服务开启情况
26
brute：对常见http/smtp提供暴力破解
27
dos：用于拒绝服务攻击
28
vuln：用于检查目标主机是否有常见漏洞
29
version：负责增强服务与版本扫描的功能的脚本
30
malware：探测目标机是否感染了病毒，开启后门等信息
31
fuzzer：模糊测试脚本，发送异常的包到目标机，探测出潜在漏洞
32

33
#附加参数
34
-p：指定扫描端口
35
-A：全面系统检测，花费时间长
36
-vv：对扫描结果详细输出
37
-sV：探测打开对应的服务版本信息
38
-O：操作系统检测
39
-n：不进行域名解析

2.2.2 使用数据库#

在实际的渗透场景中，可能需要多个主机，多个端口，所以比较好的方式就是将收集到的信息存入数据库统一管理。这里使用PostgreSQL，因为这个是Metasploit默认的。

2.2.2.1 连接数据库#

1
#启动数据库服务
2
service postgresql start
3

4
#初始化数据库
5
msfdb init
6

7
#启动msfconsole
8
msfconsole
9

10
#检测连接状态
11
db_status
12

13
#手动连接数据库
14
db_connect msf:admin@127.0.0.1/msf
15

16
#数据库配置文件
17
vi /usr/share/metasploit-framework/config/database.yml

展开收起

连接成功

2.2.2.2 将nmap输出结果导入Metasploit#

1
#扫描虚拟机网段（oX表示输出位xml格式，Subnet1就是文件名）
2
nmap -Pn -sS -A -oX Subnet1 192.168.48.0/24

1
#连接数据库
2
db_connect msf:admin@127.0.0.1/msf
3

4
#导入数据
5
db_import Subnet1
6

7
#显示数据库主机信息
8
db_hosts -C address

2.2.2.3 TCP空闲扫描#

高级扫描，冒充内网中另一台电脑的ip地址对目标主机进行探测。递增ip帧标志理解成一个数值，如果局域网内的某台主机是空闲的，那么这个数值将可以预测，高级扫描就是找到这样一台主机来进行伪装扫描。

1
#使用scanner/ip/ipidseq框架
2
use auxiliary/scanner/ip/ipidseq
3
#参数说明
4
show options

该列表展示了执行扫描所需要的参数：

RHOSTS：被扫描的目标，可以使用ip地址段（192.168.1.110-192.168.1.212）、CIDR地址块（192.168.1.48.0/24）、使用逗号分隔的多个CIDR地址块（192.168.1.0/24，192.168.5.0/24）、以及每行包含一个IP地址的IP列表文本文件

THREAD：所有扫描模块的默认线程数为1，增加参数可以提高扫描速度，一般windows平台不超过16，unix平台不超过128。

1
#指定cidr地址块
2
set RHOSTS 192.168.48.0/24
3
#线程数设置
4
set THREADS 50

这里捕获到两台空闲主机，133是我的xp，2就不知道是啥了，这里打算用空闲主机(192.168.1.2)对目标主机（192.168.1.133）进行扫描。这样我们就不需要通过自身ip发送任何数据包，就可以获取目标主机的端口信息。

1
nmap -PN -sI 192.168.1.2 192.168.1.133

2.2.2.4 在MSF客户端运行nmap#

连接数据库后采用db_nmap，不仅可以扫描，还能把扫描到的数据存库。

1
db_nmap -sS -A 192.168.48.133

2.2.3 Metasploit进行端口扫描#

metasploit不仅可以用第三方扫描器，还内建了一些扫描端口工具，搭配框架使用相得益彰。

SYN端口扫描器对单主机进行简单扫描：

1
#搜索端口扫描模块
2
search portscan
3

4
#使用syn扫描
5
use auxiliary/scanner/portscan/syn
6

7
#设置目标ip
8
set rhosts 192.168.48.133
9

10
#设置线程数
11
set threads 50
12

13
#启动攻击
14
run

这个扫描有点慢，这里可以看到目前135端口是开放的。

2.3.1 服务器消息块协议扫描#

SMB协议是微软和英特尔1987年制定的通信协议，大多运行在Windows系统上。Metasploit可以利用它的smb_version模块来遍历一个网络，并获取Windows系统的版本号。

1
#搜索端口扫描模块
2
search smb_version
3

4
#使用smb_version
5
use auxiliary/scanner/smb/smb_version
6

7
#设置目标ip
8
set rhosts 192.168.48.133
9

10
#启动
11
run

这里可以看到我靶机的版本xp sp3、中文、用户名等信息。

2.3.2 搜寻配置不当的Microsoft SQL Server#

MS SQL安装后，默认监听在TCP端口1443或者使用随机的动态TCP端口。如果是随机的动态端口，只要简单的对1434这个udp端口进行查询，就能知道随机的tcp端口号，metasploit有一个mssql_ping模块可以帮我们完成。

1
#使用mssql_ping
2
use auxiliary/scanner/mssql/mssql_ping
3

4
#设置目标网段
5
set rhosts 192.168.48.0/24
6

7
#设置线程数（255提高扫描速度）
8
set threads 255
9

10
#启动
11
run

2.3.3 SSH服务器扫描#

识别ssh安全协议的版本，ssh很多版本中被发现存在漏洞，这是一种安全协议，这里的安全仅代表数据安全。

1
#使用ssh_version
2
use scanner/ssh/ssh_version
3
#设置线程数
4
set threads 50
5
#设置目标
6
set rhosts 192.168.48.0/24
7
#查看配置
8
show options
9
#启动扫描
10
run

我的虚拟机中有一台windows，一台kali，一台centos7。这里132是kali自身（连自己都不放过），128是centos7。

2.3.4 FTP扫描#

FTP是一个复制且缺乏安全性的应用侧协议，其实就是个文件传输协议。这里可以用ftp_version对xp虚拟机进行扫描。

1
use scanner/ftp/ftp_version
2
set threads 50
3
set rhosts 192.168.48.133
4
run

成功识别到ftp服务器，接下来检查下是否允许匿名登陆。

1
use scanner/ftp/anonymous
2
set threads 50
3
set rhosts 192.168.48.133
4
run

结果可以看到允许匿名登陆，但是只有读的权限，没有写入权限。

2.3.5 简单网管协议扫描#

SNMP称为简单网管协议，设计之初是用来报告带宽利用率、冲突率以及其他一些信息。

1
use scanner/snmp/snmp_enum
2
set rhosts 192.168.48.133
3
set threads 50
4
run

扫描完之后获取了非常庞大的信息，主机名、描述、端口开放情况、服务情况等。

3.3.1 验证SMB登陆#

这就是个文件共享，比如windows系统是可以局域网共享文件的，还有nas系统群辉也有很多共享服务，我们可以针对进行扫描。

1
use auxiliary/scanner/smb/smb_login
2
set RHOSTS 192.168.48.133
3
set SMBUSER Administrator
4
set SMBPASS s3cr3t
5
run

很多公司的系统都是镜像克隆安装的，所以拿到一个账号密码每个电脑都能smb访问了。

3.3.2 VNC空口令#

这是一个基于linux和unix的远程开源控制软件。

1
use auxiliary/scanner/vnc/vnc_none_auth
2
set RHOSTS 192.168.48.133
3
run

3.3.3 开放的X11服务器#

一个用于在本地和远程计算机之间传输键盘和鼠标事件的协议，通过这个漏洞可以检测键盘的行为。

1
use auxiliary/scanner/x11/open_x11
2
set RHOSTS 192.168.48.133
3
run