Testy Penetracyjne Z Metasploit – Odkryj Nowe Horyzonty Bezpieczeństwa cz 2.

msfconsole

Wiedząc jakie usługi pracują na określonych portach możemy uruchomić Metasploita za pomocą komendy msfconsole.

W tym momencie warto skorzystać z komendy help aby zorientować się w dostępnych możliwościach Metasplita.

 

Ruszyły zapisy na Kurs "Bezpieczeństwo Serwerów Linux".

Otrzymasz ponad 170 lekcji, 15 godzin nagrań video, które przydadzą Ci się w późniejszej pracy oraz unikatowe bonusy.

Chcesz dołączyć do szkolenia! Zapisy na stronie: https://asdevops.pl/sec/

 

 

Komenda search ssh wyszukuje moduły które możmy wykorzystac aby zaatakować usługę ssh na podatnej maszynie. Pojawiła się długa lista możliwości.

Wybieramy interesującą nas opcje za pomocą komendy

use auxiliary/scanner/ssh/ssh_version

Teraz należy użyć opcji show options aby zorientować się które opcje należy dostosować.

W tym momencie zmieniamy opcje

set threads 3: Ta opcja ustawia liczbę wątków, które Metasploit użyje do przetwarzania zadań. W tym przypadku, set threads 3 oznacza, że Metasploit użyje maksymalnie trzech wątków do przetwarzania zadań.

set RHOSTS 192.168.1.141: Ta opcja ustawia adresy docelowe, na których Metasploit będzie próbował wykonać atak lub exploit. W tym przypadku, set RHOSTS 192.168.1.141 oznacza, że Metasploit będzie atakować lub skanować host o adresie IP 192.168.1.141.

run: Komenda run uruchamia moduł, który został skonfigurowany i jest gotowy do wykonania ataku lub exploit.

W ten sposó)b uzyskaliśmy informacje na temat wersji usługi na porcie 22.

Bruteforce

Teraz zmieniamy moduł na ssh_login pozwalający nam znaleźć hasło oraz login użytkownika.

Pozostaje nam jedynie ustawić odpowiednie opcje:

Opcje które powyżej ustawialiśmy:

set STOP_On_SUCCES true: Ta opcja ustawia flagę, która powoduje zakończenie działania modułu Metasploit po sukcesie, czyli gdy atak zostanie pomyślnie przeprowadzony. Jest to przydatne, gdy nie chcemy kontynuować prób ataku, gdy już osiągnęliśmy zamierzony cel.

set VERBOSE true: Ustawia flagę w trybie „verbose”, co oznacza, że ​​Metasploit będzie wyświetlał więcej informacji na bieżąco podczas działania modułu. To przydatne narzędzie do debugowania i śledzenia postępu operacji.

set USERPASS_FILE /usr/share/wordlists/metasploit/mirai_user_pass.txt: Ta opcja ustawia ścieżkę do pliku zawierającego listę nazw użytkowników i haseł, które Metasploit będzie próbował użyć podczas ataku. W tym konkretnym przypadku, plik mirai_user_pass.txt zawiera kombinacje użytkowników i haseł, które są używane w testach penetracyjnych związanych z botnetem Mirai.

Jak widać poniżej otrzymaliśmy login oraz hasło

Komunikat Succes, login: user, hasło: user

W tym momencie pozostaje nam jedynie zalogować się na poświadczenia użytkownika które zdobyliśmy, jednocześnie potwierdzając iż zostały zdobyte prawdziwe poświadczenia.

Jak widać na powyższym zrzucie ekranu, operacja przebiegła bez najmniejszych problemów.

Podsumowanie

Metasploit jest bez wątpienia jednym z najbardziej wartościowych narzędzi w arsenale badaczy bezpieczeństwa, pentesterów i osób odpowiedzialnych za testowanie penetracyjne, które szukają kompleksowego i wszechstronnego narzędzia do identyfikowania i wykorzystywania podatności w celu poprawy bezpieczeństwa systemów informatycznych. Metasploit oferuje także użytkownikom unikalną możliwość przeprowadzania testów penetracyjnych w kontrolowanych środowiskach, co pozwala na symulację rzeczywistych ataków cybernetycznych i ocenę skuteczności zabezpieczeń przed nimi. Dzięki temu badacze bezpieczeństwa mogą skuteczniej identyfikować luki w zabezpieczeniach i opracowywać strategie obronne, aby zminimalizować ryzyko ataków na systemy informatyczne. Metasploit jest więc nie tylko narzędziem do atakowania, ale także narzędziem do obrony, które pomaga w zwiększeniu odporności systemów na potencjalne zagrożenia.

 

Ruszyły zapisy na Kurs "Bezpieczeństwo Serwerów Linux".

Otrzymasz ponad 170 lekcji, 15 godzin nagrań video, które przydadzą Ci się w późniejszej pracy oraz unikatowe bonusy.

Chcesz dołączyć do szkolenia! Zapisy na stronie: https://asdevops.pl/sec/

 
 

Bezpieczeństwo Serwerów Linux dla Początkujących - Szkolenie z certyfikatem

X