Metasploit pour les tests de pénétration

Qu'est-ce que Metasploit?

Metasploit est une plateforme open source de tests d'intrusion permettant de trouver, exploiter et confirmer des vulnérabilités. Son objectif est de collecter diverses informations sur les faiblesses connues et de les mettre à disposition des administrateurs de sécurité et des développeurs.

Vous souhaitez avoir une compréhension approfondie de tous les aspects modernes de Metasploit pour les tests de pénétration?
Lisez attentivement cet article et ajoutez-le à vos favoris pour y revenir plus tard, nous mettons régulièrement cette page à jour.

Metasploit dispose d’un large éventail de fonctionnalités. La solution peut fonctionner à la fois via l’interface web et l’interface en ligne de commande – l’option est déterminée par l’utilisateur. En revanche, l’ensemble des fonctionnalités n’est disponible qu’avec l’interface web. Metasploit prend en charge les systèmes d’exploitation des familles Windows et Linux.

Historique de Metasploit

L'histoire de Metasploit remonte à 2003, lorsque le hacker HD Moore, qui travaillait comme pentester dans une petite société de conseil, a remarqué que le stockage et l'utilisation des outils d'analyse de sécurité étaient peu pratiques. À l'époque, il s'agissait simplement d'une collection d'exploits et de scripts disparates, dont les informations générales étaient stockées dans une base de données. Les informations sur l'environnement requis pour exécuter les scripts faisaient généralement défaut. Ils contenaient également beaucoup de code obsolète et nécessitaient la modification des chemins codés en dur pour chaque cas particulier, ce qui compliquait considérablement le flux de travail et le développement de nouveaux outils.

Pour tenter de résoudre le problème décrit, l'auteur a créé un utilitaire de console Perl avec une interface graphique fausse et y a intégré environ onze exploits. Bien que la communauté ait froidement accueilli la première version de Metasploit, critiquant à la fois son architecture et l'idée même, HD Moore n'a pas abandonné, a trouvé un partenaire avec lequel il a développé l'architecture modulaire du framework et a publié la deuxième version en 2004. Au fil du temps, le framework a commencé à gagner en popularité et à attirer de nouveaux membres.

L'étape suivante importante a consisté à convertir Metasploit de Perl à Ruby afin d'éviter les limitations de Perl, d'offrir une prise en charge multiplateforme et d'obtenir une plus grande flexibilité de développement.

Les versions PRO et Community sont apparues, et en 2010, une version plus simplifiée a été lancée pour les utilisateurs non expérimentés: Metasploit Express. Le framework a depuis longtemps dépassé le statut de simple ensemble destiné aux pentesters.

Versions de Metasploit

Aujourd'hui, Metasploit est distribué en quatre versions:

• Framework- la version de base avec une interface console ;
• Community - une version gratuite, qui comprend en plus une interface web et une partie des fonctionnalités des versions commerciales ;
• Express - pour les utilisateurs commerciaux, comprend des fonctionnalités visant à simplifier la réalisation d'audits de base et la rédaction de rapports sur ceux-ci ;
• Pro- la version la plus avancée, offre des capacités avancées pour les attaques, permet de créer des chaînes de tâches pour l'audit, de rédiger des rapports détaillés et bien plus encore.

En plus de l'interface web disponible dans les versions Community, Express et Pro, il existe des projets tels que Armitage et Cobalt Strike qui fournissent une interface graphique conviviale et intuitive pour l'infrastructure.

Concepts de base de Metasploit

1. Base de données.
   Avant de commencer à travailler avec le package, vous devez envisager la base de données *melon* pour stocker des informations sur les hôtes, les services, les vulnérabilités et bien plus encore. La connexion à la base de données n'est pas une condition préalable au fonctionnement de la plateforme, mais elle augmente néanmoins l'usabilité et la performance.

   Metasploit utilise PostgreSQL, donc avant de commencer à travailler avec lui, vous devez installer le système de gestion de base de données. Ensuite, assurez-vous que la base de données et les services du framework requis fonctionnent.

2. Exploit.
   Ceci est un terme général utilisé dans la communauté de la sécurité informatique pour désigner un morceau de code logiciel qui, en exploitant les opportunités offertes par une erreur, une panne ou une vulnérabilité, conduit à une élévation de privilèges ou à un déni de service pour un système informatique.
3. Code shell.Le code shell est un code exécutable binaire qui transfère généralement le contrôle à la console, command.com sous MS-DOS et cmd.exe sous les systèmes d'exploitation Microsoft Windows. Le shellcode peut être utilisé comme charge utile d'exploitation, permettant au pirate d'accéder au shell d'un système informatique.
4. Shell inversé.
   Lors de l'exploitation d'une vulnérabilité à distance, le shellcode peut ouvrir un port TCP prédéterminé de l'ordinateur vulnérable, à travers lequel un accès supplémentaire au shell de commande sera effectué ; ce code est appelé shellcode de liaison de port. Si le shellcode se connecte au port de l'ordinateur de l'attaquant, ce qui est fait pour contourner le pare-feu ou le NAT, alors ce code est appelé shellcode de reverse shell.
5. Vulnérabilité. En sécurité informatique, le terme «Vulnerability» désigne une faille ou un point faible au sein d'un système. Une Vulnerability peut résulter d'erreurs de programmation ou de défauts dans l'architecture du système. Elle peut exister uniquement théoriquement ou être associée à un exploit connu. Les Vulnerabilities sont souvent la conséquence d'une négligence d'un développeur, mais peuvent également avoir d'autres causes.

   Une vulnérabilité permet généralement à un attaquant de tromper une application, par exemple en injectant des données de manière imprévue, en exécutant une commande sur le système sur lequel l'application est exécutée, ou en exploitant une omission qui permet un accès non autorisé à la mémoire pour exécuter du code au niveau des privilèges du programme. Certaines vulnérabilités sont dues à une vérification insuffisante des entrées utilisateur ; cela permet souvent d'exécuter directement des commandes SQL (injection SQL). D'autres vulnérabilités résultent de problèmes plus complexes, tels que l'écriture de données dans un buffer sans vérifier ses limites, ce qui peut provoquer une surcharge du buffer et conduire à l'exécution de code arbitraire.

Charge utile dans Metasploit

Le payload est un code ou une partie d'un logiciel malveillant, tel qu'un ver ou un virus, qui exécute directement une fonctionnalité destructrice. Il envoie du spam, chiffre ou supprime des données. Les programmes malveillants comportent également un code de surcharge, c'est-à-dire la partie du code chargée de livrer le payload à la machine attaquée, de distribuer le malware de manière autonome ou d'empêcher sa détection. En définitive, cela signifie que le payload est nuisible pour l'utilisateur victime.

La charge utile est pour un pirate informatique le principal composant qu'il ou elle tente de livrer à une machine cible. Le code de la charge utile peut être écrit indépendamment, ce qui peut réduire considérablement la probabilité de détection par un logiciel antivirus.

Le fonctionnement de ce logiciel consiste à choisir un objectif exemplaire, comme par exemple l'initialisation d'un shell pour entrer des commandes avec un appel inversé, et le générateur vous fournit un code exécutable pour la plate-forme choisie. Ce sera la seule option si vous n'avez pas de compétences en codage. L'un des générateurs de payload les plus recherchés est MSFvenom. Il s'agit d'une partie distincte de Metasploit, créée pour générer des payloads.

Le cœur de Metasploit est une bibliothèque Rex. Celle-ci est nécessaire pour des opérations générales telles que l'utilisation de sockets, de protocoles, le formatage de texte, l'utilisation d'encodages, etc. Elle est basée sur la bibliothèque MSF Core, qui fournit des fonctionnalités de base et une API de bas niveau. Elle est utilisée par la bibliothèque MSF Core, qui fournit à son tour une API pour les plugins, une interface utilisateur, à la fois console et graphique, ainsi que des plugins.

Tous les modules sont divisés en plusieurs types en fonction des fonctionnalités fournies:

• Exploit: code qui exploite une vulnérabilité spécifique du système cible, par exemple un débordement de pile.
• La charge utile est le code qui s'exécute sur le système cible une fois l'exploitation terminée ; elle établit une connexion, exécute un script shell, etc.
• Post — code qui s'exécute sur le système après une pénétration réussie, par exemple, collecte des mots de passe, télécharge des fichiers.
• Encoder - outils permettant de masquer les modules afin de contourner les antivirus
• Générateurs NOP. Il s'agit d'une instruction d'assemblage qui n'effectue aucune action. Elle est utilisée pour combler les vides dans les fichiers exécutables afin d'atteindre la taille requise.
• Auxiliary - modules pour le balayage réseau, l'analyse du trafic, etc.

Comment travailler avec Metasploit

En général, l’utilisation de Metasploit comprend les étapes suivantes:

1. Création du projet.
   Le projet contient un espace de travail utilisé pour créer un test de pénétration et configurer les tâches prévues. Chaque test de pénétration est lancé à partir de son propre projet.
2. Collecte d'informations.
   À ce stade, Metasploit recueille des informations sur le réseau cible: système d'exploitation installé, ports ouverts, hôtes et processus en cours d'exécution. Pendant le scan, toutes les données reçues sont automatiquement enregistrées dans le projet.
3. Utilisation d'exploits.
   L'attaque peut être menée manuellement ou à l'aide de la base de données d'exploits. Les données réseau obtenues lors de la deuxième étape sont utilisées ici.
4. Actions sur un système compromis.
   Une fois l'accès obtenu, une charge utile d'exploitation est utilisée, permettant de lancer des sessions interactives afin de collecter des informations supplémentaires. Il est également possible d'utiliser des modules post-opérationnels pour collecter automatiquement les mots de passe stockés dans le système d'exploitation et les applications, des captures d'écran, des instantanés de webcams, enregistrer les frappes de clavier, des fichiers de configuration, etc.

Quelle est l'efficacité de Metasploit?

Malgré tous les aspects positifs de Metasploit, l'efficacité d'un pentest autonome ne peut être comparée à celle d'un pentest commercial.

Notre puissant outil de test de pénétration Web utilise l'intelligence artificielle pour détecter chaque vulnérabilité, avec un SLA garantissant l'absence de faux positifs.

Il s'agit d'un test de pénétration évolutif et rapide des applications web avec prise en charge DevSecOps, à l'issue duquel vous recevrez des recommandations personnalisées pour éliminer tous les bugs et faiblesses. Avec ImmuniWeb, vous bénéficierez d'une protection puissante contre les hackers pendant longtemps.

Metasploit, en tant qu'outil pour assurer la cybersécurité de votre système d'information, permet effectivement d'identifier les vulnérabilités. Cette méthode peut être particulièrement pertinente pour les petites entreprises.

En plus des fonctionnalités offertes par Metasploit, vous pouvez utiliser nos outils de test gratuits, tels que Website Security Test ou Mobile App Security Test, pour tester les applications web ou mobiles à la recherche de failles qui pourraient permettre aux hackers d'accéder à vos systèmes.

Ressources supplémentaires

• En savoir plus sur la gestion des surfaces d'attaque basée sur l'IA avec ImmuniWeb^® Discovery
• En savoir plus sur les tests de pénétration des applications basés sur l'IA avec ImmuniWeb
• En savoir plus sur les opportunités du programme de partenariat ImmuniWeb
• Suivez-nous sur LinkedIn, X, Telegram et WhatsApp