QA@IT

ターゲットが64bit OSの場合 / meterpreter

3104 PV

@ITの記事「Metasploit――大いなる力と責任を体感する (1/2)」についての質問です。

まず、すばらしい記事をありがとうございます。ネットワーク越しの攻撃についてイメージが湧きました。
社内のセキュリティコンテストに応募中のため、勉強のためアタックを試してみました。攻撃側はVM上のKali Linuxを使用、ターゲットはWindows 10 64bitで最初試したところ、うまく乗っ取ることができませんでしたが、ターゲットをVista 32bitに変えて再度試すと今度は成功し、攻撃対象プロセスと同じ権限でコマンドを実行できることが確認できました。
Metasploitおよびbuffer overflow攻撃について初学者ですが、この記事で説明されているPayloadは32bit用と考えてよろしいでしょうか?

また、exploitコマンドで攻撃が成功したあと、最初はmeterpreterのシェル(?)が起動していたのですが、何度か接続を試すうちに直接WindowsのCommand Promptに入るようになってしまいました。meterpreterに戻す方法はございますでしょうか?

回答

この記事の執筆時点ではWindows 10での検証は行っていません(検証はWindows Vista, 7, 8です。32bit版があるものはそちらも検証しております)でしたので昨日、Windows 10の環境を作成して検証してみました。結果としては記事の通りでシェルを奪取することに成功しました。インストール後変更した点としてはWIndows FWのオフとWindows Defenderのオフです。アンチウイルスソフトなどはインストールしていない状態でした。もしかすると何かしらの妨げがあるのかもしれません(被攻撃側、攻撃側共に)のでそちらを確認していただければと思います。

また、meterpreterについてですがMetasploitはset PAYLOADで変更しない場合デフォルトで meterpreterが選択されているはずですが念のため明示的に

set PAYLOAD windows/meterpreter/bind_tcp

set PAYLOAD windows/meterpreter/reverse_tcp

などを試してみてはいかがでしょうか。

編集 履歴 (0)
  • 丁寧にご回答いただきどうもありがとうございます。
    こちらでもWin10 64bitへの攻撃に成功しました。
    Firewallは切っていたのですが、ネットワークの設定がうまくいっていなかったようです。Vista 32bitで試したときと同じようにクロスケーブルで2台を直接つなぎ、ifconfigで手動でipをセットしたらexploitが通るようになりました。
    -
  • また、ご指示のようにPAYLOADを変更したところmeterpreterのプロンプトになり、keyscanなどを試すことができました。 -
  • 2つともうまくいったようで何よりです。 -
ウォッチ

この質問への回答やコメントをメールでお知らせします。