Erhalten Sie Zugang zu diesem und mehr als 300000 Büchern ab EUR 5,99 monatlich.
- Herausgeber: MITP
- Kategorie: Wissenschaft und neue Technologien
- Serie: mitp Professional
- Sprache: Deutsch
- Penetrationstests mit Metasploit als effektiver Teil der IT-Sicherheitsstrategie
- Der komplette Workflow: Portscanning mit Nmap, Hacking mit Metasploit, Schwachstellen scannen mit Nessus
- Die Techniken der Angreifer verstehen und geeignete Gegenmaßnahmen ergreifen
Metasploit ist ein mächtiges Werkzeug, mit dem auch unerfahrene Administratoren gängige Angriffsmethoden verstehen und nachstellen können, um Sicherheitslücken im System aufzuspüren. Der Autor erläutert in diesem Buch gezielt alle Funktionen von Metasploit, die relevant für Verteidiger (sogenannte Blue Teams) sind, und zeigt, wie sie im Alltag der IT-Security wirkungsvoll eingesetzt werden können.
Als Grundlage erhalten Sie das Basiswissen zu Exploits und Penetration Testing und setzen eine Kali-Linux-Umgebung auf. Mit dem kostenlos verfügbaren Portscanner Nmap scannen Sie Systeme auf angreifbare Dienste ab. Schritt für Schritt lernen Sie die Durchführung eines typischen Hacks mit Metasploit kennen und erfahren, wie Sie mit einfachen Techniken in kürzester Zeit höchste Berechtigungsstufen in den Zielumgebungen erlangen.
Schließlich zeigt der Autor, wie Sie Metasploit von der Meldung einer Sicherheitsbedrohung über das Patchen bis hin zur Validierung in der Verteidigung von IT-Systemen und Netzwerken einsetzen. Dabei gibt er konkrete Tipps zur Erhöhung Ihres IT-Sicherheitslevels. Zusätzlich lernen Sie, Schwachstellen mit dem Schwachstellenscanner Nessus zu finden, auszuwerten und auszugeben.
So wird Metasploit ein effizienter Bestandteil Ihrer IT-Sicherheitsstrategie. Sie können Schwachstellen in Ihrem System finden und Angriffstechniken unter sicheren Rahmenbedingungen selbst anwenden sowie fundierte Entscheidungen für Gegenmaßnahmen treffen und prüfen, ob diese erfolgreich sind.
Aus dem Inhalt:- Metasploit: Hintergrund und Historie
- Kali-Linux-Umgebung aufsetzen
- Pentesting-Grundlagen
- Schwachstellen und Exploits
- Nmap-Exkurs
- Metasploit-Basics
- Metasploit in der Verteidigung
- Hacking-Praxisbeispiele
- Anti-Virus-Evasion
- Nessus-Schwachstellenscanner
- Glossar
Sie lesen das E-Book in den Legimi-Apps auf:
Seitenzahl: 261
Veröffentlichungsjahr: 2022
Das E-Book (TTS) können Sie hören im Abo „Legimi Premium” in Legimi-Apps auf:
Ähnliche
Sebastian Brabetz
Penetration Testing mit Metasploit
Praxiswissen für mehr IT-Sicherheit
Impressum
Bibliografische Information der Deutschen Nationalbibliothek Die Deutsche Nationalbibliothek verzeichnet diese Publikation in der Deutschen Nationalbibliografie; detaillierte bibliografische Daten sind im Internet über http://dnb.d-nb.de abrufbar.
ISBN 978-3-7475-0564-9 2. Auflage 2022
www.mitp.de E-Mail: [email protected] Telefon: +49 7953 / 7189 - 079 Telefax: +49 7953 / 7189 - 082
© 2022 mitp Verlags GmbH & Co. KG
Dieses Werk, einschließlich aller seiner Teile, ist urheberrechtlich geschützt. Jede Verwertung außerhalb der engen Grenzen des Urheberrechtsgesetzes ist ohne Zustimmung des Verlages unzulässig und strafbar. Dies gilt insbesondere für Vervielfältigungen, Übersetzungen, Mikroverfilmungen und die Einspeicherung und Verarbeitung in elektronischen Systemen.
Die Wiedergabe von Gebrauchsnamen, Handelsnamen, Warenbezeichnungen usw. in diesem Werk berechtigt auch ohne besondere Kennzeichnung nicht zu der Annahme, dass solche Namen im Sinne der Warenzeichen- und Markenschutz-Gesetzgebung als frei zu betrachten wären und daher von jedermann benutzt werden dürften.
Lektorat: Janina Bahlmann, Sabine Janatschek Sprachkorrektorat: Petra Heubach-Erdmann Covergestaltung: Christian Kalkert, www.kalkert.de Coverbild: © j-mel / stock.adode.comelectronic publication: III-satz, Flensburg, www.drei-satz.de
Dieses E-Book verwendet das ePub-Format und ist optimiert für die Nutzung mit dem iBooks-reader auf dem iPad von Apple. Bei der Verwendung anderer Reader kann es zu Darstellungsproblemen kommen.
Der Verlag räumt Ihnen mit dem Kauf des E-Books das Recht ein, die Inhalte im Rahmen des geltenden Urheberrechts zu nutzen. Dieses Werk, einschließlich aller seiner Teile, ist urheberrechtlich geschützt. Jede Verwertung außerhalb der engen Grenzen des Urheberrechtsgesetzes ist ohne Zustimmung des Verlages unzulässig und strafbar. Dies gilt insbesondere für Vervielfältigungen, Übersetzungen, Mikroverfilmungen und Einspeicherung und Verarbeitung in elektronischen Systemen.
Der Verlag schützt seine E-Books vor Missbrauch des Urheberrechts durch ein digitales Rechtemanagement. Bei Kauf im Webshop des Verlages werden die E-Books mit einem nicht sichtbaren digitalen Wasserzeichen individuell pro Nutzer signiert.
Bei Kauf in anderen E-Book-Webshops erfolgt die Signatur durch die Shopbetreiber. Angaben zu diesem DRM finden Sie auf den Seiten der jeweiligen Anbieter.
Kapitel 1: Einleitung
1.1 Ziel und Inhalt des Buches
Ziel dieses Buches soll nicht sein, dem erfahrenen Metasploit-Nutzer die letzten Tricks und Kniffe des Metasploit-Frameworks beizubringen. Vielmehr soll der unbedarfte (Security-)Administrator gezeigt bekommen, dass Metasploit ein mächtiges Werkzeug ist, das zum Verstehen und Nachstellen von gängigen Angriffsmethoden genutzt werden kann.
Die Veröffentlichung von Schwachstellen und Patches, die wiederum selbige schließen, ist heutzutage an der Tagesordnung. So vergeht kein Monat, in dem nicht eine kritische Schwachstelle im Internet bekannt gemacht wird und Hersteller Hals über Kopf als »kritisch« deklarierte Patches herausbringen.
Wie allerdings kann der normalsterbliche Administrator sicher sein, dass eine Lücke in erster Linie überhaupt vorhanden war? Und wie kann er dafür geradestehen, dass nach dem Einspielen von Patches und/oder begleitenden Konfigurationsänderungen diese Sicherheitslücken auch tatsächlich geschlossen sind?
Inhaltlich sind moderne Schwachstellen mittlerweile so komplex geworden, dass es ein eigener Karrierepfad ist, Schwachstellen aufzufinden und auszunutzen (sogenannte Exploits dafür zu entwickeln). Gerade abseits der Programmier-Berufe fehlt der Einblick und Tiefgang in die Funktionsweise moderner Technologien und Programmiersprachen, um die technischen Hintergründe von Schwachstellen zu verstehen. Selbst Programmierer mit jahrelanger Erfahrung sind nicht automatisch befähigt, Schwachstellen zu verstehen, geschweige denn, sie zu vermeiden. Dies stellt unter anderem auch einen Grund dar, weshalb immer wieder neue Schwachstellen in Software auftauchen.
Wie also soll der Administrator hiermit umgehen und sich sicher sein, dass Lücken existieren und geschlossen werden? Ein Weg ist es, die veröffentlichten Schwachstellen und Angriffstechniken unter sicheren Rahmenbedingungen selbst anzuwenden; Schwachstellen selbst auszunutzen und Exploits selbst einzusetzen, um mit eigenen Augen zu sehen, dass diese vor dem Patchen noch und nach dem Patchen nicht mehr funktionieren.
Genau hier kommt Metasploit ins Spiel.
Hinweis: Was ist ein Exploit?
Ein Exploit kann ein beliebig komplexes Stück Software (oft auch nur ein kleines Script) sein, das es ermöglicht, eine Schwachstelle gezielt auf Knopfdruck auszunutzen.
Bemerkenswert ist hierbei, dass der Anwender eines Exploits die genaue Funktionsweise nicht unbedingt verstehen muss. Oft sind Exploits »schlüsselfertig« und müssen nur noch in die richtige »Richtung« (IP-Adresse und Port) gezielt werden.
Es gibt viele Kategorien von Exploits, zwei der wichtigsten sollen hier kurz erwähnt werden:
Remote-Code-Execution-(RCE-)Exploits:
RCE-Exploits ermöglichen das Ausführen von Code auf Ziel-Systemen über das Netzwerk, ohne einen autorisierten Zugang zum Zielsystem zu besitzen.
Local Exploits:
Lokale Exploits dienen dazu, eingeschränkte Rechte auf einem Zielsystem zu erweitern: So bekommt man über einen RCE Exploit für eine Webapplikation gegebenenfalls eine eingeschränkte Kommandozeile auf einem Linux-Webserver unter dem niedrig privilegierten Apache-User. Ein Local Exploit kann nun helfen, die eingeschränkten Rechte z.B. auf Root-Berechtigungen zu erweitern.
Mehr dazu in Kapitel 5 »Schwachstellen und Exploits«.
Metasploit ist ein mächtiges Framework mit vielschichtigem Einsatzgebiet. So bringt das Metasploit-Framework z.B. Tools mit, die dabei helfen können, Schwachstellen zu finden und Exploits dafür zu entwickeln. Spannender für dieses Buch ist aber die Tatsache, dass mithilfe von Metasploit das Ausnutzen (Exploiten) von Schwachstellen von den technischen Hintergründen der Schwachstellen abstrahiert wird.
Gemeint ist damit, dass das Metasploit eine Vielzahl (2218 zum Zeitpunkt der Fertigstellung dieser Auflage – Mitte 2022) von Exploits für die unterschiedlichsten Betriebssysteme und Programmiersprachen mitbringt. Sie als Anwender müssen aber nur einmal die grundlegende Funktionsweise des Frameworks verstehen und können danach z.B. Linux- sowie Windows-Ziele angreifen, ohne eingefleischter Experte auf der Zielplattform zu sein.
Sie müssen also kein PHP-Guru oder Linux-Kernel-Entwickler sein, um eine PHP-Webapplikationsschwachstelle auszunutzen und danach mittels einer lokalen Linux-Kernel-Schwachstelle vom Apache-Nutzer zum Root-Benutzer zu eskalieren.
Bei all dem kann Metasploit Sie unter den richtigen Voraussetzungen mit ein paar einfachen, wenigen Befehlen unterstützen.
Wichtig: Voraussetzungen zum Verständnis des Buches
Ich möchte niemandem vorschreiben, ob und wann er dieses Buch lesen sollte. Allerdings wurde es mit der Zielgruppe Administratoren und IT-Security-Verantwortlichen im Hinterkopf geschrieben und setzt ein gewisses Vorwissen voraus:
Erfahrungen in der Systemadministration, Netzwerkgrundlagen und dem Programmieren werden an vielen Stellen vorausgesetzt. Es wird jedoch versucht, die technischen Begebenheiten möglichst einfach darzulegen und auf unnötige Verkomplizierungen zu verzichten.
Sollten Sie trotzdem irgendwo nicht folgen können, so kann ich nur dazu ermutigen, einfach die Suchmaschine Ihrer Wahl anzuwerfen und die unklaren Begriffe oder Zusammenhänge zu kombinieren.
Mittlerweile gibt es einen riesigen Schatz an völlig frei zugänglichen Informationen zu diesem Themengebiet, der aber zum größten Teil in der englischen Sprache zu finden ist.
Metasploit kommt mittlerweile in verschiedenen Formen. So wurde das Open-Source-Projekt durch die Firma Rapid7 übernommen und parallel zu einem kommerziellen Produkt weiterentwickelt und vertrieben. Welche Version Sie einsetzen können und wie Sie diese am einfachsten verwenden, wird in Kapitel 2 thematisiert.
Wie zu Beginn schon erwähnt, ist es Ziel dieses Buches, Metasploit nicht nur als reines Angriffswerkzeug (z.B. für Penetration Testing) darzustellen, sondern es auch Systemadministratoren und IT-Security-Verantwortlichen für die Verteidigung zugänglich zu machen.
An dieser Stelle verzichte ich auf das in anderen Werken obligatorische Sun-Tzu-Zitat, da es meiner Meinung nach relativ logisch ist, Angriffstechniken zu verstehen und zu erlernen, um sich effektiv gegen selbige verteidigen zu können.
Kapitel 9 wird hierfür einige gängige Angriffspfade und Techniken erläutern und mithilfe von Metasploit nachstellbar machen.
Bevor dieses Buch entstand, habe ich bereits einige freie Community-Metasploit-Workshops sowie kommerzielle Metasploit-Trainings abgehalten. Für diesen Zweck entstand über die Jahre eine Laborumgebung, anhand der die Teilnehmer der Workshops Metasploit in der Praxis anwenden und testen können.
Da gewisse Angriffstechniken, wie z.B. clientseitige Angriffe sowie die Eskalation in modernen Windows-Domänen-Umgebungen, voraussetzen, dass man auch entsprechende Systeme zur Verfügung hat, ist diese Laborumgebung deutlich komplexer geworden, als einfach nur ein bis zwei ungepatchte Windows-Installationen zur Verfügung zu haben.
Im Verlaufe dieses Buches werde ich in Abschnitt 9.1.1 diese Laborumgebung zumindest teilweise erläutern und als Grundlage zur Demonstration von Metasploit verwenden. Das Kapitel wird außerdem Anregungen und Tipps zum Aufbau eines eigenen Labors geben.
Trotz Fokussierung auf Metasploit wird dieses Buch jedoch an vielen Stellen über den Tellerrand blicken und weitere Tools erwähnen und erklären, die sich mit Metasploit ergänzen.
1.2 Rechtliches
Wahrscheinlich kommt kein Buch, das sich um IT-Security dreht, ohne einen entsprechenden Warnhinweis aus:
Das unbedarfte und unkontrollierte Anwenden von Werkzeugen wie Metasploit und anderen Programmen, die sich in Kali Linux befinden, kann (gegebenenfalls versehentlich) zu Straftaten führen.
Es verstößt gegen deutsches Gesetz, ohne Erlaubnis der Eigentümer von IT-Systemen diese auf Schwachstellen zu überprüfen oder gar Schwachstellen in diesen Systemen auszunutzen.
Doch selbst mit Erlaubnis und Einverständniserklärung der Eigentümer von IT-Systemen kann es durchaus nicht rechtens sein, IT-Systeme zu auditieren. Nehmen wir einmal das Beispiel eines Mailservers in der eigenen Firma. Auf diesem Mailserver liegen gegebenenfalls vertrauliche oder private E-Mails, die nach dem deutschen Postgeheimnis zu betrachten sind.
Auch Shared-Hosting-Umgebungen, wie sie z.B. bei jeglichen Cloud-Providern vorliegen, stellen ein Problem dar: Decken oder nutzen Sie gar eine Schwachstelle in der unterliegenden Infrastruktur des Cloud-Providers auf, so kommen Sie gegebenenfalls an Daten anderer Nutzer dieser Infrastruktur.
Dies gilt es unbedingt zu vermeiden und bedarf ganz klarer vertraglicher Regelungen mit dem jeweiligen Provider.
Lassen Sie sich hiervon aber auch nicht einschüchtern. Sicherheitsaudits sind auch in diesen Umgebungen sehr nützlich und wichtig. Sicherheitsaudits lassen alle guten Cloud-Provider unter abgesteckten Bedingungen zu.
Auch könnte wiederum der Internet-Service-Provider, über dessen Infrastruktur ein einfacher Portscan läuft, ein Problem damit haben. Viele Internet-Service-Provider haben hierzu Klauseln in den Verträgen. Gerade bei privaten Anschlüssen wird das Portscanning gern pauschal verboten. Selbst habe ich zwar noch keine Fälle davon erlebt, dass Internet-Provider deshalb Anschlüsse gekündigt oder Kunden abgemahnt haben, aber auf Nummer sicher geht, wer sich auch hier explizit eine Freigabe einholt.
Zu guter Letzt sollte klar sein, dass es schon ein Kündigungsgrund sein kann, wenn Sie unbedarft mit Metasploit bei Ihrem Arbeitgeber experimentieren. Selbst wenn Sie dabei nichts zerstören und nur gute Beweggründe haben.
1.3 Die Einverständniserklärung
Zu jedem Penetrationstest und Schwachstellenaudit gehört also immer eine schriftlich und vertraglich festgehaltene Einverständniserklärung des Eigentümers der Infrastruktur und aller beteiligten Provider.
Vorlagen hierfür bekommen Sie beim Beauftragen von Schwachstellenscans und Penetrationstests bei professionellen Anbietern oder sicherlich auch frei verfügbar im Internet.
Vorsichtshalber lassen Sie eine solche Vorlage aber lieber durch Anwälte prüfen, bevor Sie größere Audits unternehmen.
Wichtig: IANAL – I am not a Lawyer
Dieses Buch stellt keine fundierte Rechtsberatung dar.
Es soll lediglich an dieser Stelle davor warnen, dass die rechtlichen Rahmenbedingungen der IT-Security sehr ernst genommen werden sollten.
Im Notfall bleiben Sie beim Lesen und Nachverfolgen dieses Buches komplett auf virtuellen Maschinen auf Ihrem privaten Computer oder besuchen entsprechend vorbereitete Workshops oder Weiterbildungen, die abgeschottete Demo-Umgebungen bereitstellen.
1.4 Begrifflichkeiten und Glossar
Zu guter Letzt möchte ich drauf hinweisen, dass es bei tiefgehenden Themen wie Metasploit und IT-Security immer mal wieder vorkommen kann, dass Ihnen einzelne Begriffe oder Hintergründe unklar sind.
Ich habe daher versucht, entsprechende Begriffe im Glossar am Ende des Buches zu beschreiben.
Sollte Ihnen trotzdem beim Lesen noch etwas unklar sein, scheuen Sie sich nicht davor, den Begriff einfach in der Suchmaschine Ihrer Wahl einzugeben. Ich versichere Ihnen, dass Sie zu all dem Geschriebenen in diesem Buch eine Vielzahl von Webseiten finden werden, die Ihnen die Hintergründe weiter erläutern.
Kapitel 2: Metasploit-Framework: Hintergrund, Historie
2.1 Die Geschichte des Metasploit-Frameworks
Bevor das Buch sich in die technischen Tiefgründe von Metasploit stürzt, möchte ich an dieser Stelle erst einmal ein wenig die Hintergründe und die Historie von Metasploit aufzeigen.
Das Metasploit-Projekt wurde im Sommer 2003 von H. D. Moore gegründet. Die ersten Versionen des Frameworks wurden in Perl geschrieben, mit dem Ziel, die Entwicklung und Anwendung von Exploits zu vereinheitlichen und zu vereinfachen.
Gegen Ende 2003 trat der zweite Kern-Entwickler »spoonm« dem Projekt bei und schaffte die Grundstruktur, nach der auch heute noch das Metasploit-Framework aufgebaut ist und bedient wird.
Kurz danach kam auch Matt Miller »skape« an Bord und komplettierte als drittes Mitglied das Metasploit-Kernteam.
Im Jahr 2006 kam mit der Version 2.7 die letzte in Perl geschriebene Version des Frameworks heraus. Bereits 2005 begann das Team damit, Metasploit in Ruby neu zu schreiben, und brachte letztendlich 2007 mit Version 3.0 eine komplett in Ruby geschriebene Version heraus.
In einem weiterhin auf Github verfügbaren Artikel wird als einer der Hauptgründe hierfür angeführt, dass Perl gewisse Nachteile in fehlender Objektorientierung aufweist, sowie der einfache Grund, dass das Entwickler-Team mehr Spaß an Ruby als an Perl hatte.
Im Oktober 2009 wurde dann durch das Metasploit-Projekt-Team verkündet, dass das Projekt von der Firma Rapid7 gekauft und übernommen wurde. Rapid7 ist eine Firma mit dem Fokus auf IT-Security-Software, die neben Metasploit auch für ihren Schwachstellenscanner »Nexpose« bekannt ist.
Seit 2020 ist das Framework in Version 6.0 und derzeit in Version 6.1.41 verfügbar.
2.2 Die Editionen von Metasploit
Nach der Übernahme durch Rapid7 war Metasploit zwischenzeitlich in vier Versionen verfügbar:
Metasploit Framework Edition
Metasploit Community Edition (eingestellt)
Metasploit Express (eingestellt)
Metasploit Pro
Im Jahr 2022 bietet Rapid7 allerdings nur noch eine kommerzielle Version an: Metasploit Pro.
Metasploit-Framework-Edition
Die Framework-Edition ist weiterhin Open Source und steht unter einer »BSD Style«-Lizenz.
Das Framework ist unter der URL https://github.com/rapid7/metasploit-framework quelloffen verfügbar und kann weiterhin von jedem mitentwickelt und unter Berücksichtigung der geltenden Lizenz weiterverwendet werden.
Dieses Buch wird sich ausschließlich mit dieser Version des Metasploit-Frameworks befassen.
Metasploit Pro
Für diese Edition werden keine Preise öffentlich auf der Rapid7-Webseite genannt. Sie dürften allerdings im fünfstelligen Bereich zuzüglich jährlicher Support-Kosten liegen.
Also ganz klar für den professionellen Einsatz durch große Pentesting-Firmen oder Firmen mit großen hausinternen Penetrationstest-Abteilungen gedacht.
Diese Edition weist neben dem Webinterface auch wieder ein erweitertes Konsolen-Interface ähnlich dem der Framework-Edition auf.
Eine ausführliche Auflistung aller Features findet sich auf der Rapid7-Homepage. Ein paar der interessantesten Features sind im Folgenden aufgelistet:
Interaktion mit dem kommerziellen Schwachstellenscanner Nexpose
Social-Engineering-Module (z.B. Phishing)
AV-Evasion (Umgehen von Virenscannern)
IDS/IPS-Evasion (Umgehen von Netzwerk-Traffic-Scannern)
VPN-Pivoting (siehe auch Abschnitt 9.3.1 »Pivoting«)
24/7-Support durch Rapid7
Um welche Metasploit-Edition dreht sich dieses Buch?
Dieses Buch befasst sich abseits der kurzen Einleitung in das Metasploit-Framework ausschließlich mit der quelloffenen Framework-Edition.
Zwar bieten die kommerziellen Ableger der Firma Rapid7 sicherlich nützliche Zusatzfeatures, allerdings sind sie dafür auch kostenpflichtig und für das Erlernen des Frameworks nicht unbedingt notwendig.
Wer das Bedienen von Metasploit mit der freien Open-Source-Framework-Edition erlernt, wird ohne Weiteres in der Lage sein, bei Bedarf die kommerziellen Editionen zu benutzen.
2.3 Die Wahl der Open-Source-Framework-Edition
Warum habe ich mich auf die Open-Source-Framework-Edition fokussiert und basiere dieses Buch auf dieser Version?
Zum einen aus Überzeugung. IT-Security-Tools müssen nicht kostenpflichtig, kommerziell und Closed Source sein. Metasploit ist eines der Vorzeigeprojekte hierfür.
Auch die Firma Rapid7 gehört an dieser Stelle dafür gelobt, dass sie dem »Open Core«-Modell folgt und den Kern – also die Framework-Edition – weiterhin als kostenlose Open-Source-Version am Leben hält.
Darüber hinaus bin ich der Meinung, dass das Erlernen der Metasploit-Konsole gegenüber den vereinfachten Webinterfaces den großen Vorteil bringt, dass man sich genau überlegen muss, was man vorhat und erreichen will.
Den professionellen Penetrations-Tester unterscheidet vom »Script Kiddy«, dass er genau weiß, was er tut und seine Tools zielgerichtet und so schadfrei wie möglich einsetzt.
Genau dieses zielgerichtete Wissen und Anwenden möchte ich den Lesern dieses Buches zugutekommen lassen.
Als letzten Grund möchte ich dann noch die »Offenheit« der Version anführen, die dazu führt, dass kurz nach Bekanntwerden von großen Schwachstellen sehr häufig zeitnah ein Metasploit-Modul zum Auffinden der Schwachstelle (Auxilliary-Modul) sowie ein Exploit für die Schwachstelle für Metasploit bereitsteht.
Ein Beispiel stellt die Sicherheitslücke MS17-010 in Microsofts SMB-Dienst von Windows dar, die am Wochenende 13.05./14.05.2017 weltweite Bekanntheit dadurch erlangte, dass sie von der Ransomeware (Verschlüsselungstrojaner) »WannaCry« wurmartig ausgenutzt wurde und die schadhafte Verschlüsselung vieler Computer auf der ganzen Welt ermöglichte.
Das passende Scanner-Modul (smb_ms17_010) tauchte erstmals am 29.03.2017 in Metasploit auf.
Der passende Exploit (ms17_010_eternalblue) war am 14.05.2017 kurz nach den Schlagzeilen verfügbar und wäre wahrscheinlich durch seine Bekanntheit wegen seiner Herkunft bei der NSA sicherlich auch schon früher in Metasploit integriert gewesen, wenn er nicht große »SMB-Protokoll-Binary-Blobs« enthalten hätte, die mühselig von den Exploit-Modul-Entwicklern revers-engineert, also ohne Dokumentation manuell nachvollzogen und erprobt werden mussten.
Ein weiteres aktuelleres Beispiel stellt zur Zeit des Verfassens dieses Buches die Sicherheitslücke CVE-2021-44228 Log4Shell dar. Log4Shell wurde am 09.12.2021 veröffentlicht und löste so bei vielen Administratoren ein arbeitsintensives Wochenende und einen arbeitsintensiven Dezember im Jahr 2021 aus.
Das passende Scanner-Modul (log4shell_scanner) tauchte erstmals am 15.12.2021 – also 6 Tage nach Veröffentlichung der Schwachstelle – im Metasploit-Github-Repository auf.
Passende Exploits-Module wie beispielsweise log4shell_header_injection und vmware_vcenter_log4shell wurden erstmalig am 07.01. respektive 13.01.2022 im Github-Repository eingecheckt.
Metasploit ermöglicht es also, seine Systeme gezielt und zeitnah nach der Bekanntmachung solcher Schwachstellen zu auditieren.
Ich ermutige trotzdem jeden Leser dieses Buches dazu, auch die Pro-Edition von Metasploit zu erproben und zu testen. Gegebenenfalls weisen sie ja trotzdem Funktionen auf, die das Verwenden oder gar Erwerben dieser Editionen rechtfertigt.
IT-Security-Expertise basiert nicht zuletzt darauf, möglichst viele Systeme zu verstehen und so einen möglichst großen Überblick und Wissensschatz aufzubauen.
Kapitel 3: Kali-Linux-Umgebung aufsetzen
3.1 Die richtige Plattform
Bevor es losgeht und wir mit Metasploit durchstarten, sollten wir uns ein paar Gedanken über die Umgebung machen, auf der wir Metasploit laufen lassen.
Eine der wahrscheinlich am weitesten verbreiteten Plattformen für Metasploit ist Kali Linux. Als Nachfolger der ehemals und wahrscheinlich immer noch sehr bekannten Linux-Distribution BackTrack ist Kali Linux eigentlich jedem IT-Security-Professional ein Begriff. Kali Linux ist eine auf Debian basierende Linux-Distribution mit dem Fokus auf Penetration Testing und DFIR (Digital Forensics and Incident Response). So enthält Kali Linux eine Menge vorinstallierte sowie über die Paketverwaltung nachinstallierbare IT-Security-Tools.
Die Webseite http://tools.kali.org bietet eine ausführliche Auflistung dieser Tools in alphabetischer Reihenfolge.
Klickt man unter dem Buchstaben M den Eintrag »Metasploit Framework« an, so gelangt man zu einer kleinen Beschreibungsseite (siehe Abbildung 3.1).
Abb. 3.1: http://tools.kali.org, Eintrag für Metasploit
Wie in der Abbildung 3.1 zu sehen, findet man auf dieser Webseite auch eine kurze Beschreibung und kurze Kommandozeilen-Beispiele zu den einzelnen Werkzeugen. Es lohnt sich also durchaus, einmal alle Kategorien und Tools von Kali Linux auf der Webseite querzulesen und sich einen Überblick zu verschaffen, für welche Anwendungszwecke spezialisierte Werkzeuge zur Verfügung stehen.
3.2 Hintergründe zu Kali Linux
3.2.1 Offensive Security
Kali Linux ist ein Open-Source-Projekt, das von Offensive Security gewartet und finanziert wird.
Siehe: https://www.offensive-security.com
Der ein oder andere kennt Offensive Security ggf. schon von ihren in IT-Security-Kreisen berüchtigten Schulungen und Zertifizierungen:
Einige der online verfügbaren Schulungen:
PEN-200 / Penetration Testing with Kali Linux (PWK) (Ehemals: Penetration Testing with BackTrack (PWB)) – Der perfekte Einstieg in die Pentesting-Welt
PEN-210 / Offensive Security Wireless Attacks (WiFu) – Schwerpunkt auf WLAN-Angriffen
PEN-300 / Cracking the Perimeter (CTP) – Der perfekte Einstieg in die Exploit-Entwicklung
Schulungen ausschließlich live verfügbar (auf Messen und Kongressen):
EXP-401 / Advanced Windows Exploitation (AWE)
WEB-300 / Advanced Web Attacks and Exploitation (AWAE)
Und deren Zertifizierungen im Anschluss:
OSCP Certified Professional (für PWK/PEN-200)
OSWP Wireless Professional (für WiFu/PEN-210)
OSEP Certified Expert (für CTP/PEN-300)
OSEE Exploitation Expert (für AWE/EXP-401)
OSWE Web Expert (für AWAE/WEB-300)
In der IT-Branche werden Schulungen und Zertifizierungen gern von Herstellern oder Herausgebern als Gelddruck-Masche genutzt. Nicht zuletzt aus diesem Grund habe ich persönlich eine Abneigung gegen unnötige Zertifizierungen und kontinuierliche kostspielige Aufrechterhaltungsprogramme.
Offensive Security stellt hier in meinen Augen eine Ausnahme dar. Aus persönlicher Erfahrung kann ich von meiner PWK/OSCP-Zertifizierung berichten:
Beim PWK bekommt der Teilnehmer für eine vergleichsweise günstige Teilnahmegebühr den Zugang zu einem Labor via VPN (30, 60, 90 Tage sowie Verlängerungen) und ein Script in Text- und Video-Form.
Nach Durcharbeiten des Scripts ist das Labor an der Reihe: Jede Maschine im Labor hat eine spezielle Sicherheitslücke, deren Ausnutzung man sich selbst beibringen muss. Learning by doing und das Offensive-Security-Motto »Try Harder!« erhalten hierbei eine neue Bedeutung.
Hat man das Labor ausreichend durchgehackt, kann man seine Zertifizierungsprüfung buchen: ein 48-Stunden-Zeitfenster, in dem man zuerst 24 Stunden Zugang zu einem speziellen Prüfungslabor bekommt, in dem es gilt, Maschinen zu übernehmen und einen Exploit zu entwickeln. Die zweiten 24 Stunden hat man dann Zeit, eine Dokumentation zum Prüfungslabor zu schreiben und diese zusammen mit der Labor-Dokumentation (zum Punktesteigern) einzusenden.
Nur wer die Materie verstanden hat und anwenden kann, wird diese Zertifizierung bestehen. Abseits der IT-Security-Branche wenig bekannt, gilt sie in Pentester-Kreisen als De-facto-Standard.
3.2.2 Kali-Versionen – Rollierende Releases
Als Nachfolger zu BackTrack 5R3 brachte Offensive Security im März 2013 Kali Linux 1.0 heraus. Nach vielen Zwischen-Versionen bis zu 1.1.0 kam dann im August 2015 Kali Linux 2.0 heraus.
Seit Januar 2016 gibt es beginnend mit 2016.1 die sogenannten Rolling-Releases. Wie Microsoft bei Windows 10 hat sich Offensive Security von festen Versionsnummern abgewandt und bringt zukünftig kontinuierliche Updates basierend auf dem Debian-Testing-Zweig.
Sie werden also zukünftig keine »Major« Versionssprünge durchführen, sondern ihr Kali demnächst einfach von z.B. 2022.1 auf 2022.2 aktualisieren.
3.3 Muss es unbedingt Kali Linux sein?
Man ist natürlich nicht dazu gezwungen, Kali Linux als Plattform für Metasploit zu nutzen. Dieses Buch wird sich allerdings darauf beschränken, Kali Linux als Plattform zu erklären.
Es steht natürlich jedem frei, sich Metasploit und andere Tools, die in diesem Buch verwendet werden, auf beliebigen anderen Betriebssystemen zu installieren. Metasploit läuft unter nahezu jeder Linux-Distribution, Windows und auch unter macOS.
Es gibt allerdings auch sehr gute Gründe, die für Kali Linux sprechen:
Alle enthaltenen Tools sind vorpaketiert und über das Kali-Paketrepository verfügbar. Das bedeutet, man muss sich keinerlei Gedanken über die Herkunft der Tools und die richtige Installation machen. Ein apt-get-Befehl, und das Programm wird installiert, konfiguriert und ist einsatzbereit.
Wer schon mal ein komplexes Programm mit vielen Abhängigkeiten vergeblich zu installieren versucht hat, wird dies zu schätzen wissen.
Auch findet eine gewisse Qualitätssicherung statt. Man stelle sich vor, es ist das Wochenende vor einem Penetrationstest und man möchte noch mal alle Programme auf den aktuellsten Stand bringen. Nichts wäre ärgerlicher als ein Fehler im Metasploit-Github-Repository, der dazu führt, dass Metasploit nun nicht mehr funktioniert.
3.4 Fluch und Segen zugleich
So wichtig und sinnvoll Qualitätssicherung ist, so hat sie auch Nachteile. Gerade wurde ein brandaktueller Exploit im Metasploit-Framework auf Github eingestellt?
Dieser wird noch nicht im Kali-Paket enthalten sein. Ein
wird Ihnen diesen Exploit wahrscheinlich noch nicht auf die Festplatte holen. Ganz so schnell sind die Verwalter der Kali-Paketrepositories leider nicht. Mit ein paar Tagen Verzögerung sollte man immer rechnen.
Doch auch hierfür gibt es eine Lösung: Es ist sowohl möglich, sich einzelne Exploits manuell herunterzuladen und im eigenen Metasploit-Profil zu hinterlegen als auch eine zweite »brandaktuelle« Metasploit-Installation von Github parallel zur Paketvariante zu betreiben.
Es bleibt auch zu erwähnen, dass es trotz Qualitätskontrolle nie ausgeschlossen werden kann, dass sich in Open-Source-Projekte Fehler eingeschlichen haben, die Teile der Funktionalität beeinträchtigen. So habe ich selbst vor Kurzem einen Metasploit-Workshop abgehalten, bei dem das Auxiliary-Scanner-Modul smb_ login nicht mehr funktionierte.
Ich empfehle daher immer, Kali (inklusive Metasploit) wie ein Werkzeug zu sehen, das regelmäßig (und vor allem direkt vor einem Einsatz) geprüft und gewartet werden sollte.
3.5 Nativ oder als VM?
Haben Sie sich dazu entschieden, dem Buch zu folgen und Kali als Plattform für Metasploit zu nutzen? Dann gibt es immer noch folgende Auswahlmöglichkeit:
Kali Linux nativ auf einer Hardware installieren oder doch lieber als virtuelle Maschine?
Für beide Varianten gibt es Vor- und Nachteile.
3.5.1 Kali als native Installation – volle Performance
Wohl die performanteste Variante ist es, Kali nativ auf einem Computer zu installieren. In den meisten Fällen wird die Wahl der Hardware wohl auch auf ein Notebook fallen, um dies mit zum Kundeneinsatz nehmen zu können.
Gerade bei großen Zielnetzwerken mit einigen Tausenden Servern und Clients macht es Sinn, eine performante CPU und viel RAM zur Verfügung zu haben. So werden umfangreiche Scans nicht unnötig verzögert.
Auch wenn es darum geht, WLAN-Netzwerke zu auditieren, ist eine native Installation nahezu unabdingbar. Zwar ist es heutzutage möglich, USB-WLAN-Sticks in eine VM einzubinden, die Performance und Stabilität bei WLAN-Security-Audits ist hier allerdings alles andere als zufriedenstellend.
Natürlich ist es auch denkbar, Kali auf einem Server im Rechenzentrum zu installieren, um darüber regelmäßig interne Audits durchzuführen oder über das Internet offizielle IP-Adressen zu auditieren.
Dauerhafte Installationen ordentlich absichern
Spielen Sie mit dem Gedanken, eine dauerhafte Kali-Installation z.B. auf einem Server zu betreiben, so sollten Sie umso mehr auf die Absicherung dieser Installation achten.
Schließlich wollen Sie einem Angreifer, der es in Ihr Netzwerk geschafft hat, nicht direkt Waffen in Form einer schlecht abgesicherten Kali-Installation in die Hand legen.
Der größte Nachteil einer nativen Installation ist dagegen wahrscheinlich die Tatsache, dass Sie diese nicht immer bei sich tragen werden. So ist das eigene Arbeitsnotebook bei den meisten IT-Fachkräften wahrscheinlich wie angewachsen und immer dabei.
Besonders zu erwähnen an dieser Stelle seien noch:
Kali Linux Nethunter
Eine ARM-kompatible Variante von Kali Linux für Smartphones und Tablets. Im Speziellen für Nexus-5- bis -10-Geräte sowie diverse OnePlus-, Xiaomi-, Samsung- und vereinzelte Geräte weiterer Hersteller. Durch seine Mobilität gerade für WLAN-Audits sehr interessant.
Siehe: https://www.kali.org/get-kali/#kali-mobile
Kali Linux ARM Images
Raspberry PI, Chromebooks und andere Low-Cost-Geräte können interessante Plattformen für Kali Linux darstellen, um z.B. kostengünstige »dropper« zum unbeaufsichtigten Platzieren bei Physical-Pentests oder auch viele kleine Scanner in großen Firmenumgebungen kostengünstig zu realisieren.
Siehe: https://www.kali.org/get-kali/#kali-arm
Cloud, Container, Liveboot, WSL
Darüber hinaus hat sich Kali Linux auch kräftig weiterentwickelt, sodass Sie mittlerweile zusätzlich noch Ausprägungen für Cloud-Hosting-Provider, Docker-Images, Liveboot-USB-Stick-Images sowie spezielle Windows-Subsystem-for-Linux-(WSL)-Editionen herunterladen können.
Siehe: https://www.kali.org/get-kali/
3.5.2 Kali als VM – immer dabei
Nichts ist praktischer, als seine Werkzeuge immer dabeizuhaben. So habe ich selbst seit vielen Jahren immer eine gepflegte und vertraute Kali-VM auf meinem Notebook parat.
VMware oder VirtualBox oder ganz was anderes?
VMware oder VirtualBox ist die häufigste Frage, die mir zum Thema Kali als VM gestellt wird. Es hat seinen Charme, dass VirtualBox kostenlos eingesetzt werden kann, leider sehe ich trotzdem regelmäßig Probleme damit. Vor allem in den Bereichen Netzwerk und USB-Passthrough.
Wenn Zeit das höchste Gut ist, was Sie haben, sollten Sie ggf. direkt auf VMware Workstation (PC) oder Fusion (Mac) zurückgreifen. Meine Erfahrungen von zahllosen Workshops haben gezeigt, dass VMware-Virtualisierungsprodukte deutlich zuverlässiger und stabiler laufen als VirtualBox.
Mir ist aber bewusst, dass dies schnell in einem Glaubenskrieg enden kann. So ist es natürlich jedem freigestellt, erst mal mit dem kostenlosen VirtualBox zu starten und erst bei Bedarf auf VMware-Produkte umzusteigen.
Auch soll es natürlich jedem – und gerade den Linux/Unix-Nutzern – freigestellt sein, gänzlich andere Virtualisierungsprodukte zu verwenden.
Auf der Kali-Homepage stehen sogar vorgefertigte VM-Images für VMware und VirtualBox zur Verfügung.
Diese kommen schon mit den notwendigen Gasterweiterungen vorinstalliert, die es Ihnen z.B. ermöglichen, das Fenster einfach zu vergrößern oder auch Text zwischen Host- und Gast-Betriebssystem zu kopieren bzw. einzufügen.
Siehe: https://www.offensive-security.com/kali-linux-vmware-virtualbox-image-download/
3.5.3 32 Bit oder 64 Bit?
Zu guter Letzt möchte ich versuchen, die Frage, ob 32 Bit oder 64 Bit, zu beantworten:
Vor mehreren Jahren wäre die Empfehlung vielleicht noch gewesen, 32 Bit zu verwenden, um sicherzustellen, dass alle Tools kompatibel sind.
Im Jahr 2022 lautet die Empfehlung allerdings ganz klar 64 Bit. Immer mehr Metasploit-Module, große Netzwerke und Schwachstellen-Scans und vieles weitere verlangt einfach nach mehr als 4 GB Arbeitsspeicher. Auch Hardware bietet heute 16 GB, 32 GB und oft sogar schon mehr RAM, den man natürlich auch effektiv in einzelnen Prozessen nutzen können möchte.
Ein Grund für eine 32-Bit-VM könnte es trotzdem sein, das Ausnutzen von Buffer-Overflow-Schwachstellen zu erlernen. Hier könnte es helfen, eine spezielle VM mit 32 Bit und abgeschalteten Sicherheitsfunktionalitäten wie ASLR bereitzuhaben.
Das Schöne an Virtualisierung: Niemand hindert Sie daran, eine kleine zweite 32-Bit-VM genau für diesen Zweck auf der Festplatte vorzuhalten oder bei Bedarf schnell herunterzuladen.
3.6 Erste Schritte nach der Installation
3.6.1 Kali-Passwort setzen
Wenn Sie sich für eine Kali-Variante entschieden haben und diese zum ersten Mal hochfahren, werden Sie nach einem Login gefragt. Die »Default Credentials« (Standard-Zugangsdaten) der fertigen Kali-Images lauten:
Username: kali
Password: kali
Ändern Sie Ihr Passwort umgehend
Damit Sie mit Kali nicht selbst eine Schwachstelle ins Netzwerk einschleusen, ändern Sie an dieser Stelle bitte umgehend das Passwort mittels des Konsolenbefehls passwd.
