内存取证:查找Metasploit的Meterpreter踪影

内存取证:查找Metasploit的Meterpreter踪影Metasploit是一个十分受欢迎的浸透测验结构,被视为安全测验人员手中的一把利器。但在另一方面由于他过于强壮,因而也常常被一些歹意攻击者所运用。当然,在本

Metasploit是一个十分受欢迎的浸透测验结构,被视为安全测验人员手中的一把利器。但在另一方面由于他过于强壮,因而也常常被一些歹意攻击者所运用。当然,在本文咱们首要评论的是关于内存取证,...

Metasploit是一个十分受欢迎的浸透测验结构,被视为安全测验人员手中的一把利器。但在另一方面由于他过于强壮,因而也常常被一些歹意攻击者所运用。当然,在本文咱们首要评论的是关于内存取证,这对于咱们来说是至关重要的。由于咱们(受害者)的机器极有或许会被歹意攻击者,注入Meterpreter(一种先进的,可动态扩展的Metasploit有效载荷),这是一种彻底驻留在内存中的shell,而且不会向受害者的驱动器写入任何内容。下面,我将向你展现怎么运用取证结构Volatility来找出Metasploit的蛛丝马迹。
在剖析内存镜像时,首要咱们应该搜集有关操作体系的信息,以挑选正确的Volatility配置文件。最佳做法是在内存镜像时记载体系版别,由于Volatility检测成果或许会有误。假如你是从第三方取得的镜像而且版别不知道,那么我主张你运用imageinfo插件:

以上的检测成果显现,该镜像的体系版别为Windows 7 SP1 x86,这次的成果十分精确我的体系版别的确为该版别。咱们运用pslist插件,来查看下进程列表:

你有发现什么不对的当地吗?一个PID 3000的进程,用户或许发动了防病毒更新进程?但奇怪的是,该进程在发动42秒后退出。让咱们运用netscan插件进一步的查下网络衔接状况:

能够看到,一个不知道的进程与192.168.1.39:4444建立了衔接。有经历的人一眼就能反应出,4444端口Metasploit的默许回连端口。Meterpreter注入方针体系进程,让咱们测验运用malfind插件找到它:

这看起来Meterpreter像是被搬迁到了PID为3312的svchost.exe上。让咱们将它转储到一个文件,并运用杀毒软件查杀看是否能被正确辨认:

从检测成果中咱们能够看到,尽管不是百分百的免杀,但大部分杀毒软件包含许多干流的杀毒软件,如McAfee,Malwarebytes,DrWeb等,居然都没有检测出该歹意进程。
假如你喜爱运用YARA规矩进行歹意软件检测,那么你能够编写自己的规矩或在线查找一些规矩,然后运用yarascan插件:

在这儿我写了一个十分简易的规矩:

现在让咱们回到之前的pslist输出,能够看到这儿仅有运转的Web阅读器是Internet Explorer(iexplore.exe,PID 2568和2640)。咱们运用iehistory插件来查看下前史阅读记载:

没错!受害者运用咱们看到的URL从服务器下载了一个名为antivirus_update.exe的程序。但这儿我有个疑问,是什么促进他们这么做的呢?让咱们用memdump插件转储Internet Explorer的进程内存并搜索“antivirus”字符串:

正如你所看到的,攻击者运用了一些社工技巧以及将地址做了短网址处理,从而使受害者上圈套。当受害者下载并运转文件后,攻击者就会取得一个meterpreter session。为了愈加的荫蔽,攻击者将其搬迁到了svchost.exe(PID 3312)。
这儿我还有个疑问,受害者真的运转了它吗?让咱们找到履行的依据!首要,咱们运用shimcache插件,它能够盯梢应用程序的最近修正时刻,文件完好途径和履行标志:

能够看到文件的确被履行了!让咱们持续,运转userassist插件获取注册表上的依据:

除了以上的方法,还有一些其它手法例如,预取文件。当然,你也能够在内存中找到这些依据,Volatility甚至有一个插件–prefetchparser。

[1] [2]  黑客接单网

内容来源网络,如有侵权,联系删除,本文地址:https://www.230890.com/zhan/7460.html

(0)

相关推荐

  • 小孩在什么年龄段可以吃盐,宝宝多大可以摄入盐分

    好的上了年岁的老人都认为,没有盐的参与人的身体是没有力量的。于是,在我们的日常生活当中,盐就成了厨房中的必需品,谁家做菜都缺少不了盐。可也有人说,成人离不开盐,小孩子却不能吃盐,事实上真的是这样的吗?

    生活 2021年11月14日
  • 准山药的功效与作用(砂仁的功效与作用)

    准山药的功效与作用(砂仁的功效与作用)2021-11-05 06:36:34卵形或椭圆形,花乳白色,雌雄异株下面就由学习啦小编为大家介绍下淮山的功效和作用,希望对大家有帮助 淮山的功效和作用 1补中益气。根据我国中医研究

    生活 2021年11月5日
  • 制作网站优化页面的关键词链接

    网站优化,深圳seo外包公司,深圳网站建设制作网站优化页面的关键词链接建立网站内部链接,网站内部链接对网站非常重要,他们传达pr值,每个页面都有每个页面的关键词,在满足内部链接的同时指向其他页面,帮助搜索引擎很好地抓住,

    攻略 2021年11月19日
  • 烟台公交车车型(烟台公交567换27车)

    热点烟台公交车车型(烟台公交567换27车)平峰期15分钟一班,61路走的是滨海东路,银座—迎春大街-芳花园,你可以在这里转就行。
    5点30从东方海洋发车.567路是牟平中医院烟台到烟台南站,不靠海边的那条路,烟台汽车总

    电商 2021年11月12日
  • 想弄个跑腿平台怎么办、微信怎么弄跑腿,微信跑腿怎么搭建

    想弄个跑腿平台怎么办想弄个跑腿平台怎么办、微信怎么弄跑腿,微信跑腿怎么搭建一、跑腿公司是怎么盈利的,具体怎么操作?
    首先感谢您的邀请,为什么头条总是有些废话连篇的回答?对提出问题的人一点帮助都没有,我有朋友在家做这个跑腿

    生活 2021年11月13日
  • 增值税属于价外税还是价内税,增值税实行价外税制度

    增值税属于价外税还是价内税,增值税实行价外税制度不知道大家对于增值税了解有多少?其实增值税作为价位税,在计算时相对来说还是很简单的。 但是,由于增值税可以抵扣,企业计算出来的销项税额,并不是企业需要实际缴纳的税款。下面虎

    教程 2021年10月23日