SecurityTube

 Metasploit  Framework  Expert  Part  1  

Exploita:on  Basics  

Vivek  Ramachandran  
Founder,  SecurityTube  
hCp://[Link]    

©[Link]  
SecurityTube  Metasploit  Framework  Expert  
(SMFE)  

hCp://[Link]/smfe      

Vivek  Ramachandran  
Course  Instructor  
©[Link]  
SecurityTube  Cer:fica:ons  

Students  from  over  25  countries  around  the  world!    

©[Link]  
 SecurityTube  Vision  

To  provide  quality  yet  free  infosec  educa8on  to  

one  and  all.    
 

The  SMFE  course  material  is  made  available  en:rely  FREE  to  the  
community.   Please   feel   free   to   download   and   distribute   the  
videos  as  you  please.    

©[Link]  
 Demo  of  RPC  DCOM  

• Lab  Setup:  

Windows  XP   Backtrack  

Vulnerable  to    
RPC  DCOM  (MS03_026)    
and  Netapi  (MS08_067)    

©[Link]  
 Understanding  Basic  Terms  

• Vulnerability  –  a  weakness  which  allows  an  

aCacker  to  break  into  /  compromise  a  
system’s  security  

• Exploit  –  code  which  allows  an  aCacker  to  

take  advantage  of  a  vulnerable  system  

• Payload  –  actual  code  which  runs  on  the  

system  a`er  exploita:on  

©[Link]  
How  does  Exploita:on  work?  

1. Vulnerability  
2.        Exploit  
3.        Payload  

©[Link]  
 On  a  more  serious  note  …  

Payload  Runs  Next  if  Exploit  Succeeds  

Exploit  Runs  First  

Exploit  +  Payload  

Data  Download,    
 
Malware,  Rootkit  
etc.  
Vulnerable   ACacker  
computer  

©[Link]  
 Typical  Process  of  a  Compromise  

• Scan  IP  address  to  get  ports  and  services  

running  on  them  

• Iden:fy  a  vulnerable  service,  find  a  public  /  

private  exploit  

• Launch  exploit,  compromise,  post-­‐exploita:on  

plan  

©[Link]  
 Scan  for  Ports  and  Services  

• Find  machine  using  tools  like  Nmap  

• Use  Port  scanners  to  find  remote  services  

• Do  a  service  scan  to  iden:fy  service  and  even  

version  at  :mes  

©[Link]  
Finding  Open  Ports  

©[Link]  
Service  Fingerprin:ng  

©[Link]  
Finding  a  Vulnerability  

©[Link]  
 Technical  Details  
The image cannot be displayed. Your computer may not have enough memory to open the image, or the image may have been corrupted. Restart your computer, and then open the file again. If the red x still appears, you may have to delete the image and then insert it again.

©[Link]  
Any  Hackers  out  there?  

©[Link]  
Running  RPC  DCOM  Exploit  

©[Link]  
Uh-­‐Oh?  

©[Link]  
 Example  –  RPC  DCOM  

• Vulnerability  
– hCp://[Link]`.com/technet/security/
Bulle:n/MS03-­‐[Link]    

• Exploit  and  Payload  

– hCp://[Link]/
vulnerabili:es/exploits/dcom.c    

©[Link]  
Challenges  in  using  individual  Exploits  

• Dozens  of  Exploits  available  

– Manage,  update,  customize  –  nightmare  

• To  customize  payload,  rewrite  may  be  required  of  the  

exploit  program  
– Time  consuming,  high  skill  required  

• Tes:ng  and  exploit  research  is  tedious  without  a  

framework  
– End  up  re-­‐inven:ng  the  wheel  

Enter  Metasploit!  

©[Link]  
SecurityTube  Metasploit  Framework  Expert  
(SMFE)  

hCp://[Link]/smfe      

Vivek  Ramachandran  
Course  Instructor  
©[Link]  
End  of  SecurityTube  Metasploit  Framework  Expert  Part  1  
Exploita:on  Basics  

Vivek  Ramachandran  
Founder,  SecurityTube  
hCp://[Link]    

©[Link]  
SecurityTube  Metasploit  Framework  Expert  Part  2  
Why  Metasploit?  

Vivek  Ramachandran  
Founder,  SecurityTube  
hCp://[Link]    

©[Link]  
SecurityTube  Metasploit  Framework  Expert  
(SMFE)  

hCp://[Link]/smfe      

Vivek  Ramachandran  
Course  Instructor  
©[Link]  
SecurityTube  Cer:fica:ons  

Students  from  over  25  countries  around  the  world!    

©[Link]  
 SecurityTube  Vision  

To  provide  quality  yet  free  

infosec  educa8on  to  one  and  
all  
 
The  SMFE  course  material  is  made  available  en:rely  FREE  to  the  
community.   Please   feel   free   to   download   and   distribute   the  
videos  as  you  please.    

©[Link]  
 Lesson  Lab  Setup    

Windows  XP   Backtrack  

Vulnerable  to    
RPC  DCOM  (MS03_026)    
and  Netapi  (MS08_067)    

©[Link]  
Challenges  in  using  individual  Exploits  

• Dozens  of  Exploits  available  

– Manage,  update,  customize  –  nightmare  

• To  customize  payload,  rewrite  may  be  required  of  the  

exploit  program  
– Time  consuming,  high  skill  required  

• Tes:ng  and  exploit  research  is  tedious  without  a  

framework  
– End  up  re-­‐inven:ng  the  wheel  

Enter  Metasploit!  

©[Link]  
Metasploit  Framework  
• Tool  for  development  and  tes:ng  of  
vulnerabili:es  

• Can  be  used  for:  

– Penetra:on  tes:ng  
– Exploit  research  
– Developing  IDS  signatures  

• Started  by  H.D  Moore  in  2003  

• Acquired  by  Rapid7    

• Remains  open  source  and  free  for  use  

• WriCen  in  Ruby  

©[Link]  
 Metasploit  for  Pentes:ng!  

• Over  770+  tested  exploits!  

• Over  228  payloads  and  27  encoders!  

• Metasploit  offers  “plug  and  play”  of  payloads  

with  exploits  
– This  alone  is  a  huge  advantage  

• Tons  of  other  features  for  beCer  and  faster  

pentests    
– Will  be  covered  in  later  videos    

©[Link]  
Demo  of  Portscan  with  Metasploit  

©[Link]  
Demo  of  RPC  DCOM  using  Metasploit    

©[Link]  
Semng  the  Payload  

©[Link]  
Exploit!  

©[Link]  
Using  More  Exploits  -­‐  Netapi  

©[Link]  
 Same  Exploit  Different  Payload  

• Using  different  payloads  with  RPC  DCOM  

– windows/shell/bind_tcp  
– windows/adduser  
– windows/exec  
– …  

• Power  of  the  framework  

©[Link]  
Demo  –  Metasploit  Add  User  

©[Link]  
Limita:ons  of  using  specific  Payloads  
• Individual  payloads  can  only  do  single  tasks    
– Adduser  
– Bind  shell  to  port  
– …  
 
• Most  exploits  include  a  remote  shell  (command  
interpreter)  crea:ng  payload  

• Disadvantages:  
– Crea:on  of  new  process  may  trigger  alarm  
– For  chrooted  apps,  even  execu:on  of  command  interpreter  may  
not  be  possible  
– Limited  by  commands  the  shell  can  run  

©[Link]  
 What  we  need  is  …  

• A  payload  which:  
– Avoid  crea:on  of  a  new  process  
– Should  run  in  the  exploited  process’  context  
– Should  not  create  a  new  file  on  disk  (an:-­‐AV)  
– Creates  a  “planorm”  which  allows  import  more  
func:onality  remotely  (“extending”)  
– Allows  for  wri:ng  scripts  which  can  leverage  this  
planorm  

Enter  the  Meterpreter!  

©[Link]  
SecurityTube  Metasploit  Framework  Expert  
(SMFE)  

hCp://[Link]/smfe      

Vivek  Ramachandran  
Course  Instructor  
©[Link]  
End  of  SecurityTube  Metasploit  Framework  Expert  Part  2  
Why  Metasploit?  

Vivek  Ramachandran  
Founder,  SecurityTube  
hCp://[Link]    

©[Link]  
SecurityTube  Metasploit  Framework  Expert  Part  3  
Meterpreter  Basics  

Vivek  Ramachandran  
Founder,  SecurityTube  
hCp://[Link]    

©[Link]  
SecurityTube  Metasploit  Framework  Expert  
(SMFE)  

hCp://[Link]/smfe      

Vivek  Ramachandran  
Course  Instructor  
©[Link]  
SecurityTube  Cer:fica:ons  

Students  from  over  25  countries  around  the  world!    

©[Link]  
 SecurityTube  Vision  

To  provide  quality  yet  free  

infosec  educa8on  to  one  and  
all  
 
The  SMFE  course  material  is  made  available  en:rely  FREE  to  the  
community.   Please   feel   free   to   download   and   distribute   the  
videos  as  you  please.    

©[Link]  
 Lesson  Lab  Setup    

Windows  XP   Backtrack  

Vulnerable  to    
RPC  DCOM  (MS03_026)    
and  Netapi  (MS08_067)    

©[Link]  
 What  we  need  is  …  

• A  payload  which:  
– Avoid  crea:on  of  a  new  process  
– Should  run  in  the  exploited  process’  context  
– Should  not  create  a  new  file  on  disk  (an:-­‐AV)  
– Creates  a  “planorm”  which  allows  import  more  
func:onality  remotely  (“extending”)  
– Allows  for  wri:ng  scripts  which  can  leverage  this  
planorm  

Enter  the  Meterpreter!  

©[Link]  
 Meterpreter  Basics  

• Meta-­‐Interpreter    
• Post  exploita:on  tool  
• Works  by  using  in  memory  DLL  injec:on  and  
na:ve  shared  object  format  
– hCp://[Link]/DLL-­‐Injec:on-­‐Basics-­‐
[Link]    Prasanna  K    
• Does  not  create  any  files  on  disk  
• Uses  encrypted  communica:on  
• Provides  a  planorm  to  write  extensions  
• Stable,  flexible  and  extensible    
©[Link]  
 Meterpreter  
• Resembles  a  command  interpreter  
• Ships  with  default  set  of  core  commands  
• Can  be  extended  at  run:me  by  shipping  DLLs  to  the  
vic:ms    
•  large  list  of  things  you  can  do  with  the  Meterperter:  
– Command  execu:on  
– In-­‐memory  process  migra:on  
– Registry  read/write  
– File  system  access  
– Pivo:ng    
– …    
endless  possibili:es  using  custom  extensions  
©[Link]  
 How  does  it  all  it  work?  

Exploit + 1st Stage Payload

Payload Connects back to MSF

2nd Stage DLL Injection Payload Sent

MSF Sends Meterpreter Server DLL

Client and Server Communicate

©[Link]  
Source:  [Link]/wp-­‐content/uploads/2008/03/msf_no_speaker_notes.ppt  
Communica:on  between  Meterpreter  
Client  –  Server    
• Communica:on  is  Encrypted  
• In  the  form  of  TLVs  (Type-­‐Length-­‐Value)  
• Mul:ple  channels  of  communica:on  can  use  
the  same  client-­‐server  connec:on  
– TLV  allows  for  tagging  of  data  with  channel  
numbers  
– Allows  for  mul:ple  programs  running  on  the  
vic:m  to  communicate  at  the  same  :me  
– Demo  of  channels  

©[Link]  
 Demo  

Windows  XP   Backtrack  

Vulnerable  to    
RPC  DCOM  (MS03_026)    
and  Netapi  (MS08_067)    

©[Link]  
SecurityTube  Metasploit  Framework  Expert  
(SMFE)  

hCp://[Link]/smfe      

Vivek  Ramachandran  
Course  Instructor  
©[Link]  
End  of  SecurityTube  Metasploit  Framework  Expert  Part  3  
Why  Metasploit?  

Vivek  Ramachandran  
Founder,  SecurityTube  
hCp://[Link]    

©[Link]  
SecurityTube  Metasploit  Framework  Expert  Part  4  
Framework  Organiza:on  

Vivek  Ramachandran  
Founder,  SecurityTube  
hCp://[Link]    

©[Link]  
SecurityTube  Metasploit  Framework  Expert  
(SMFE)  

hCp://[Link]/smfe      

Vivek  Ramachandran  
Course  Instructor  
©[Link]  
SecurityTube  Cer:fica:ons  

Students  from  over  30+  countries  around  the  world!    

©[Link]  
 SecurityTube  Vision  

To  provide  quality  yet  free  

infosec  educa8on  to  one  and  
all  
 
The  SMFE  course  material  is  made  available  en:rely  FREE  to  the  
community.   Please   feel   free   to   download   and   distribute   the  
videos  as  you  please.    

©[Link]  
 Accessing  Metasploit  

Msfgui   Msfweb   Msfcli  

Msfd  
Msfconsole  
Armitage  

Interfaces  to  work  with  Metasploit  

©[Link]  
 Metasploit  Basics  

• Modular  
Architecture  
 
• Modules  
– Exploits  
– Auxiliary  
– Payload  
– Encoder  
Source:  Metasploit  Unleashed  
– Nops  

©[Link]  
 Msfconsole  Basics  

• Interac:ve  console  for  Metasploit  

• Has  tab  comple:on  
• External  commands  can  be  executed    
• Best  among  available  interfaces  to  get  most  out  of  Metasploit  

©[Link]  
Exploring  the  Metasploit  Directory  

• Important  directories  include:  

– Modules  
– Scripts  
– Plugins  
– External    
– Data    
– Tools  

©[Link]  
 Exploit  Modules  

• Exploits  are  organized  by  OS,  then  service    

• Files  are  ruby  scripts  containing  exploit  code  
©[Link]  
 Auxiliary  Modules  

• Auxiliary  modules  are  used  for  a  variety  of  tasks  

like  port  scanning,  sniffing,  service  scanners  etc.  

©[Link]  
 Payload  Modules  

• 3  types  –  singles,  stagers,  stages  

• Planorm  (OS)  specific    

©[Link]  
 Payloads  In-­‐depth  
• Singles  
– Self-­‐contained  payloads  which  do  a  specific  task  e.g.  create  user,  bind  a  shell  
– E.g.  windows/adduser  

• Stagers  
– Required  as  Singles  cannot  deliver  arbitrarily  large  payload  at  one  shot  
depending  on  exploit  
– Creates  a  network  connec:on  between  aCacker  and  vic:m  
– This  is  used  to  download  Stages  payloads  
– E.g.  windows/shell/bind_tcp  (Bind  TCP  Stager)  

• Stages  
– Downloaded  by  the  Stagers  and  executed  
– Typically  do  complex  tasks  like  VNC,  Meterpreter  etc.  
– E.g.  windows/shell/bind_tcp  (Windows  Command  Shell)    

©[Link]  
End  of  SecurityTube  Metasploit  Framework  Expert  Part  4  
Framework  Organiza:on  

Vivek  Ramachandran  
Founder,  SecurityTube  
hCp://[Link]    

©[Link]  
SecurityTube  Metasploit  Framework  Expert  Part  5  
Post  Exploita:on  Kung-­‐Fu  

Vivek  Ramachandran  
Founder,  SecurityTube  
hCp://[Link]    

©[Link]  
SecurityTube  Metasploit  Framework  Expert  
(SMFE)  

hCp://[Link]/smfe      

Vivek  Ramachandran  
Course  Instructor  
©[Link]  
SecurityTube  Cer:fica:ons  

Students  from  over  30+  countries  around  the  world!    

©[Link]  
 SecurityTube  Vision  

To  provide  quality  yet  free  

infosec  educa8on  to  one  and  
all  
 
The  SMFE  course  material  is  made  available  en:rely  FREE  to  the  
community.   Please   feel   free   to   download   and   distribute   the  
videos  as  you  please.    

©[Link]  
 Phases  of  Post-­‐Exploita:on  

1 Understanding  the  Vic:m  beCer  

 
 
2 Privilege  Escala:on  
 
 
3 Dele:ng  Logs  and  Killing  Monitoring  so`ware  
 
 
4 Collec:ng  Data,  Execu:ng  programs  etc.  on  the  Vic:m  
 
 
5 Backdoors  and  Rootkits  
 
 
6 Using  vic:m  as  a  Pivot  to  hack  deeper  into  the  network  

©[Link]  
 Understanding  the  Vic:m  BeCer  

• Who  did  we  break  in  as?  

• Is  the  current  user  ac:vely  working?  
• Are  we  running  in  a  VM?  Environment  details?  
• What  processes  are  running?  AV?  
• Network  topology?  
• Programs  most  frequently  run?  
• Enumera:ng  details  –  users,  groups,  registry  
etc.    

©[Link]  
SecurityTube  Metasploit  Framework  Expert  
(SMFE)  

hCp://[Link]/smfe      

Vivek  Ramachandran  
Course  Instructor  
©[Link]  
End  of  SecurityTube  Metasploit  Framework  Expert  Part  5  
Post  Exploita:on  Kung-­‐Fu  

Vivek  Ramachandran  
Founder,  SecurityTube  
hCp://[Link]    

©[Link]  
SecurityTube  Metasploit  Framework  Expert  Part  6  
Post  Exploita:on  Privilege  Escala:on  

Vivek  Ramachandran  
Founder,  SecurityTube  
hCp://[Link]    

©[Link]  
SecurityTube  Metasploit  Framework  Expert  
(SMFE)  

hCp://[Link]/smfe      

Vivek  Ramachandran  
Course  Instructor  
©[Link]  
SecurityTube  Cer:fica:ons  

Students  from  over  30+  countries  around  the  world!    

©[Link]  
 SecurityTube  Vision  

To  provide  quality  yet  free  

infosec  educa8on  to  one  and  
all  
 
The  SMFE  course  material  is  made  available  en:rely  FREE  to  the  
community.   Please   feel   free   to   download   and   distribute   the  
videos  as  you  please.    

©[Link]  
 Phases  of  Post-­‐Exploita:on  

1 Understanding  the  Vic:m  beCer  

 
 
2 Privilege  Escala:on  
 
 
3 Dele:ng  Logs  and  Killing  Monitoring  so`ware  
 
 
4 Collec:ng  Data,  Execu:ng  programs  etc.  on  the  Vic:m  
 
 
5 Backdoors  and  Rootkits  
 
 
6 Using  vic:m  as  a  Pivot  to  hack  deeper  into  the  network  

©[Link]  
 Privilege  Escala:on  

• Broken  in  as  less  privileged  user  

• Elevate  privileges  to  SYSTEM  or  ADMIN  group  
• Typically  done  by:  
– Using  local  privilege  escala:on  exploits  
•  getsystem  

©[Link]  
SecurityTube  Metasploit  Framework  Expert  
(SMFE)  

hCp://[Link]/smfe      

Vivek  Ramachandran  
Course  Instructor  
©[Link]  
End  of  SecurityTube  Metasploit  Framework  Expert  Part  6  
Post  Exploita:on  Privilege  Escala:on  

Vivek  Ramachandran  
Founder,  SecurityTube  
hCp://[Link]    

©[Link]  
SecurityTube  Metasploit  Framework  Expert  Part  7  
Post  Exploita:on  –  Kill  AV  and  Firewall  

Vivek  Ramachandran  
Founder,  SecurityTube  
hCp://[Link]    

©[Link]  
SecurityTube  Metasploit  Framework  Expert  
(SMFE)  

hCp://[Link]/smfe      

Vivek  Ramachandran  
Course  Instructor  
©[Link]  
SecurityTube  Cer:fica:ons  

Students  from  over  30+  countries  around  the  world!    

©[Link]  
 SecurityTube  Vision  

To  provide  quality  yet  free  

infosec  educa8on  to  one  and  
all  
 
The  SMFE  course  material  is  made  available  en:rely  FREE  to  the  
community.   Please   feel   free   to   download   and   distribute   the  
videos  as  you  please.    

©[Link]  
 Phases  of  Post-­‐Exploita:on  

1 Understanding  the  Vic:m  beCer  

 
 
2 Privilege  Escala:on  
 
 
3 Dele:ng  Logs  and  Killing  Monitoring  so`ware  
 
 
4 Collec:ng  Data,  Execu:ng  programs  etc.  on  the  Vic:m  
 
 
5 Backdoors  and  Rootkits  
 
 
6 Using  vic:m  as  a  Pivot  to  hack  deeper  into  the  network  

©[Link]  
 Log  Dele:on  and  AV  Killing  

• Ensuring  you  go  undetected  is  very  important  

• Kill  all  monitoring  so`ware  
– AV  
– Firewall  
– HIDS  
• Meterpreter  scripts  might  now  work  as  desired  
– killav  
• Clean  all  Logs  
– Event,  Applica:on,  Security    

©[Link]  
SecurityTube  Metasploit  Framework  Expert  
(SMFE)  

hCp://[Link]/smfe      

Vivek  Ramachandran  
Course  Instructor  
©[Link]  
End  of  SecurityTube  Metasploit  Framework  Expert  Part  7  
Post  Exploita:on  –  Kill  AV  and  Firewall  

Vivek  Ramachandran  
Founder,  SecurityTube  
hCp://[Link]    

©[Link]  
SecurityTube  Metasploit  Framework  Expert  Part  8  
Post  Exploita:on  –  Stdapi  and  Priv  Extensions  

Vivek  Ramachandran  
Founder,  SecurityTube  
hCp://[Link]    

©[Link]  
SecurityTube  Metasploit  Framework  Expert  
(SMFE)  

hCp://[Link]/smfe      

Vivek  Ramachandran  
Course  Instructor  
©[Link]  
SecurityTube  Cer:fica:ons  

Students  from  over  30+  countries  around  the  world!    

©[Link]  
 SecurityTube  Vision  

To  provide  quality  yet  free  

infosec  educa8on  to  one  and  
all  
 
The  SMFE  course  material  is  made  available  en:rely  FREE  to  the  
community.   Please   feel   free   to   download   and   distribute   the  
videos  as  you  please.    

©[Link]  
 Phases  of  Post-­‐Exploita:on  

1 Understanding  the  Vic:m  beCer  

 
 
2 Privilege  Escala:on  
 
 
3 Dele:ng  Logs  and  Killing  Monitoring  so`ware  
 
 
4 Collec:ng  Data,  Execu:ng  programs  etc.  on  the  Vic:m  
 
 
5 Backdoors  and  Rootkits  
 
 
6 Using  vic:m  as  a  Pivot  to  hack  deeper  into  the  network  

©[Link]  
Collec:ng  Data  and  Running  Programs  on  
Vic:m  
• Search  for  a  file  
– .doc,  .ppt  
• Download  files  
• Download  registry  
• Download  applica:on  data  
– Outlook  pst  
– Browser  passwords/sessions    
– Other  so`ware  data  …  vmware,  puCy  etc.  

©[Link]  
 Running  programs  on  the  remote  
computer  
• Running  programs  already  available  

• Upload  programs  and  run  

– Upload  from  aCacker  machine  
– Download  from  the  web  

• Start  /  stop  services  on  the  vic:m  

©[Link]  
Understanding  Windows  Desktops  
• Session  0  typically  represents  the  console  
– Others  represent  remote  desktop  sessions  

• Window  sta:on  is  an  object  containing  a  

group  of  desktop  objects  among  other  
things    

• WinSta0  is  the  only  interac:ve  window  

sta:on  in  every  session  
– Allows  interac:on  with  user  
– Default  interacts  with  logged  in  user  
– Winlogon  while  user  is  logging  on  

• Each  WinSta0  desktop  has  its  own  

keyboard  buffer  
– Sniffing  logon  passwords  

©[Link]  
 Stdapi  commands  for  desktop  

• Enumdesktops  
• Getdesktop  
• Setdesktop  

©[Link]  
 Priv  commands    
• Usernames  and  Password  hashes  are  stored  in  the  SAM  file  
– Hashdump  
– Crack  using  Ophcrack  and  other  tools  

• Changing  file  :mestamps  

– MACE  –  Modified-­‐Accessed-­‐Created-­‐Entry  Modified  
– Timestomp  

• Gemng  System  
– Getsystem  
– Tokens  and  impersona:on  

©[Link]  
SecurityTube  Metasploit  Framework  Expert  
(SMFE)  

hCp://[Link]/smfe      

Vivek  Ramachandran  
Course  Instructor  
©[Link]  
End  of  SecurityTube  Metasploit  Framework  Expert  Part  8  
Post  Exploita:on  –  Meterpreter  Extensions  

Vivek  Ramachandran  
Founder,  SecurityTube  
hCp://[Link]    

©[Link]  
SecurityTube  Metasploit  Framework  Expert  Part  9  
Post  Exploita:on  –  Token  Stealing  and  Incognito  

Vivek  Ramachandran  
Founder,  SecurityTube  
hCp://[Link]    

©[Link]  
SecurityTube  Metasploit  Framework  Expert  
(SMFE)  

hCp://[Link]/smfe      

Vivek  Ramachandran  
Course  Instructor  
©[Link]  
SecurityTube  Cer:fica:ons  

Students  from  over  30+  countries  around  the  world!    

©[Link]  
 SecurityTube  Vision  

To  provide  quality  yet  free  

infosec  educa8on  to  one  and  
all  
 
The  SMFE  course  material  is  made  available  en:rely  FREE  to  the  
community.   Please   feel   free   to   download   and   distribute   the  
videos  as  you  please.    

©[Link]  
 Phases  of  Post-­‐Exploita:on  

1 Understanding  the  Vic:m  beCer  

 
 
2 Privilege  Escala:on  
 
 
3 Dele:ng  Logs  and  Killing  Monitoring  so`ware  
 
 
4 Collec:ng  Data,  Execu:ng  programs  etc.  on  the  Vic:m  
 
 
5 Backdoors  and  Rootkits  
 
 
6 Using  vic:m  as  a  Pivot  to  hack  deeper  into  the  network  

©[Link]  
 Incognito  Extension  

• Very  powerful  extension    

• Can  steal  windows  tokens  of  other  users    
• Can  impersonate  them  

We  will  need  to  understand  Windows  Security  

model,  tokens  and  impersona:on  

©[Link]  
 Windows  Security  

• Every  user  on  a  windows  system  is  iden:fied  by  a  unique  Security  Iden8fier  (SID)  
• SID  is  of  the  form:    
 
S-­‐Revision  Level  –  iden:fied  Authority  Value  –  domain  or  local  ID  –  Rela:ve  ID  
 
e.g.                        S-­‐1-­‐5-­‐21-­‐3623811015-­‐3361044348-­‐30300820-­‐1013    

©[Link]  
 Understanding  Tokens  

• SID  
• Groups  
User     Primary  Token   • Privileges  
Process   • Other  info…  

Thread  1   Thread  2   Thread  3  

Required  Privileges  

Primary  Token   Primary  Token   Primary  Token  

Access  resource  or  
opera:on  

©[Link]  
 Impersona:on  Tokens  

user1  
user2   • SID  
user3   • Groups  
FTP  Server     Primary  Token   • Privileges  
Process   • Other  info…  

Thread  1   Thread  2   Thread  3  

Primary  Token   Primary  Token   Primary  Token  

Impersona:on     Impersona:on     Impersona:on    

Token  for  User  1   Token  for  User  2   Token  for  User  3  

User  1   User  2   User  3  

©[Link]  
Different  Levels  of  Impersona:on  Tokens  

• Impersona:on  –  lemng  server  act  on  behalf  of  

the  client  but  only  on  the  local  machine  
– Created  on  non-­‐interac:ve  logins  e.g.  FTP  

• Delega:on  –  impersona:on  extended  even  to  

remote  systems!    
– Created  on  Interac:ve  login  from  console,  
terminal  services  

©[Link]  
 ACacks  on  Impersona:on  Tokens  

• Local  Privilege  Escala:on  

• Domain  Privilege  Escala:on  

©[Link]  
 Local  Privilege  Escala:on  
Impersona:on    
Thread  1  
Token  for  Admin  
Server    
Process  

• Service  with  low  privilege  allows  users  including  admin  to  login  using  windows  
creden:als  
• Creates  a  thread  for  each  user  and  impersonates  him  
• ACacker  exploits  the  service  
• ACacker  has  access  to  all  tokens  being  impersonated  by  the  service  
• E.g.  SQL  Server  where  one  may  connect  as  Admin  using  Windows  Auth  
©[Link]  
 Domain  Privilege  Escala:on  
Impersona:on    
Thread  1   Token  with  
Delega:on  for  
Server     Admin  
Process  

• Once  hacker  gets  his  hands  on  an  Impersona:on  token  with  delega:on  allowed  
he  uses  it  to  get  access  to  other  machines  in  the  domain    
• Impersona:on  tokens  with  delega:on  are  generally  created  for  interac:ve  
sessions    
• Might  use  the  admin’s  worksta:on  as  the  star:ng  point    

©[Link]  
SecurityTube  Metasploit  Framework  Expert  
(SMFE)  

hCp://[Link]/smfe      

Vivek  Ramachandran  
Course  Instructor  
©[Link]  
End  of  SecurityTube  Metasploit  Framework  Expert  Part  9  
Post  Exploita:on  –  Token  Stealing  and  Incognito  

Vivek  Ramachandran  
Founder,  SecurityTube  
hCp://[Link]    

©[Link]  
SecurityTube  Metasploit  Framework  Expert  Part  10  
Post  Exploita:on  –  Espia  and  Sniffer  Extensions  

Vivek  Ramachandran  
Founder,  SecurityTube  
hCp://[Link]    

©[Link]  
SecurityTube  Metasploit  Framework  Expert  
(SMFE)  

hCp://[Link]/smfe      

Vivek  Ramachandran  
Course  Instructor  
©[Link]  
SecurityTube  Cer:fica:ons  

Students  from  over  30+  countries  around  the  world!    

©[Link]  
 SecurityTube  Vision  

To  provide  quality  yet  free  

infosec  educa8on  to  one  and  
all  
 
The  SMFE  course  material  is  made  available  en:rely  FREE  to  the  
community.   Please   feel   free   to   download   and   distribute   the  
videos  as  you  please.    

©[Link]  
 Meterpreter  Espia  Extension  

• We  can  take  screenshots  of  the  vic:m’s  desktop  

remotely  

• Ensure  we  migrate  to  a  process  which  has  access  to  

the  “Default”  desktop  of  the  interac:ve  window  
sta:on  “WinSta0”  

• [Link]  is  a  good  bet  

• Check  using  getdesktop  from  Stdapi  to  verify  before  

use    

©[Link]  
 Meterpreter  Sniffer  Extension  

• Can  sniff  on  the  remote  vic:m  network!  

• Simple  func:onality  
– Select  interface  
– Start  sniffing  
– Dump  file  (fetches  the  pcap  file  to  the  aCacker)  
– Stop  sniffing  
• Does  not  have  support  for  filters  L  
 

©[Link]  
End  of  SecurityTube  Metasploit  Framework  Expert  Part  10  
Post  Exploita:on  –  Espia  and  Sniffer  Extensions  

Vivek  Ramachandran  
Founder,  SecurityTube  
hCp://[Link]    

©[Link]  
SecurityTube  Metasploit  Framework  Expert  Part  11  
Post  Exploita:on  –  Backdoors  

Vivek  Ramachandran  
Founder,  SecurityTube  
hCp://[Link]    

©[Link]  
SecurityTube  Metasploit  Framework  Expert  
(SMFE)  

hCp://[Link]/smfe      

Vivek  Ramachandran  
Course  Instructor  
©[Link]  
SecurityTube  Cer:fica:ons  

Students  from  over  30+  countries  around  the  world!    

©[Link]  
 SecurityTube  Vision  

To  provide  quality  yet  free  

infosec  educa8on  to  one  and  
all  
 
The  SMFE  course  material  is  made  available  en:rely  FREE  to  the  
community.   Please   feel   free   to   download   and   distribute   the  
videos  as  you  please.    

©[Link]  
 Phases  of  Post-­‐Exploita:on  

1 Understanding  the  Vic:m  beCer  

 
 
2 Privilege  Escala:on  
 
 
3 Dele:ng  Logs  and  Killing  Monitoring  so`ware  
 
 
4 Collec:ng  Data,  Execu:ng  programs  etc.  on  the  Vic:m  
 
 
5 Backdoors  and  Rootkits  
 
 
6 Using  vic:m  as  a  Pivot  to  hack  deeper  into  the  network  

©[Link]  
 Persistence  -­‐  Backdoor  

• Creates  a  persistent  backdoor  

• Can  be  configured  to  connect  back  on  system  boot  
and/or  user  login  
• Time  can  be  set  between  connect  back  aCempts  
• Under  the  hood  
– Creates  a  vbs  file  on  the  vic:m  and  executes  it  
– Adds  registry  entries  so  it  is  autorun  
• Can  be  uninstalled  remotely  
– But  vbs  file  needs  to  be  deleted  manually  (forensics)  
– On  reboot  process  ID  changes  hence  the  cleanup  script  
needs  to  be  modified  with  the  new  PID  

©[Link]  
Demo  

©[Link]  
 Metsvc  -­‐  Backdoors  

• Backdoor  which  runs  as  a  service  on  the  vic:m  

• ACacker  can  connect  to  it  remotely  
– No  authen:ca:on  required  
• Can  be  remotely  uninstalled  
– Files  need  to  be  deleted  manually  (forensics)  
• Less  noisy  compared  to  persistence  
– ACacker  can  connect  when  he  wants  to  
• Can  be  found  using  a  simple  portscan  as  bound  to  TCP  
port  
• Sugges:on  
– Maybe  can  use  a  network  packer  trigger  to  create  a  
backdoor,  instead  of  always  being  on    

©[Link]  
Demo  

©[Link]  
 3rd  Party  Backdoors  and  Rootkits  

• Used  to  do  advanced  opera:ons  like  hide  

processes,  files,  etc.  
• Can  also  be  used  to  launch  backdoors  on  
special  signal  
• Beyond  scope  in  this  video  series  
• hCp://[Link]    
• Hacker  defender  
– hCp://[Link]/Hacker-­‐Defender-­‐
Rootkit-­‐Usage-­‐Demo-­‐[Link]    

©[Link]  
SecurityTube  Metasploit  Framework  Expert  
(SMFE)  

hCp://[Link]/smfe      

Vivek  Ramachandran  
Course  Instructor  
©[Link]  
End  of  SecurityTube  Metasploit  Framework  Expert  Part  11  
Post  Exploita:on  –  Backdoors  

Vivek  Ramachandran  
Founder,  SecurityTube  
hCp://[Link]    

©[Link]  
SecurityTube  Metasploit  Framework  Expert  Part  12  
Post  Exploita:on  -­‐  Pivo:ng  

Vivek  Ramachandran  
Founder,  SecurityTube  
hCp://[Link]    

©[Link]  
SecurityTube  Metasploit  Framework  Expert  
(SMFE)  

hCp://[Link]/smfe      

Vivek  Ramachandran  
Course  Instructor  
©[Link]  
SecurityTube  Cer:fica:ons  

Students  from  over  30+  countries  around  the  world!    

©[Link]  
 SecurityTube  Vision  

To  provide  quality  yet  free  

infosec  educa8on  to  one  and  
all  
 
The  SMFE  course  material  is  made  available  en:rely  FREE  to  the  
community.   Please   feel   free   to   download   and   distribute   the  
videos  as  you  please.    

©[Link]  
 Phases  of  Post-­‐Exploita:on  

1 Understanding  the  Vic:m  beCer  

 
 
2 Privilege  Escala:on  
 
 
3 Dele:ng  Logs  and  Killing  Monitoring  so`ware  
 
 
4 Collec:ng  Data,  Execu:ng  programs  etc.  on  the  Vic:m  
 
 
5 Backdoors  and  Rootkits  
 
 
6 Using  vic:m  as  a  Pivot  to  hack  deeper  into  the  network  

©[Link]  
 Pivo:ng  

Internet  

Server  1  
Server  2  

• ACacker  does  not  have  direct  access  to  Server2  

• ACacker  first  breaks  into  Server  1  and  then  uses  Server  
1  as  a  staging  point  to  break  into  Server  2  

©[Link]  
 Pivo:ng  ACack  Demo  

Server  1   Server  2  

Internet  

[Link]  
[Link]  

©[Link]  
SecurityTube  Metasploit  Framework  Expert  
(SMFE)  

hCp://[Link]/smfe      

Vivek  Ramachandran  
Course  Instructor  
©[Link]  
SecurityTube  Metasploit  Framework  Expert  Part  13  
Post  Exploita:on  –  Port  Forwarding  

Vivek  Ramachandran  
Founder,  SecurityTube  
hCp://[Link]    

©[Link]  
SecurityTube  Metasploit  Framework  Expert  
(SMFE)  

hCp://[Link]/smfe      

Vivek  Ramachandran  
Course  Instructor  
©[Link]  
SecurityTube  Cer:fica:ons  

Students  from  over  30+  countries  around  the  world!    

©[Link]  
 SecurityTube  Vision  

To  provide  quality  yet  free  

infosec  educa8on  to  one  and  
all  
 
The  SMFE  course  material  is  made  available  en:rely  FREE  to  the  
community.   Please   feel   free   to   download   and   distribute   the  
videos  as  you  please.    

©[Link]  
 Phases  of  Post-­‐Exploita:on  

1 Understanding  the  Vic:m  beCer  

 
 
2 Privilege  Escala:on  
 
 
3 Dele:ng  Logs  and  Killing  Monitoring  so`ware  
 
 
4 Collec:ng  Data,  Execu:ng  programs  etc.  on  the  Vic:m  
 
 
5 Backdoors  and  Rootkits  
 
 
6 Using  vic:m  as  a  Pivot  to  hack  deeper  into  the  network  

©[Link]  
 Port  Forwarding  

meterpreter  

Internet  

Server  1  
Server  2  
Local  
Listener  

• Local  listen  port  is  created  on  the  aCacker’s  machine  

• All  traffic  to  this  listen  port  is  sent  to  the  des:na:on  port  
on  Server  2  
• Server  1  acts  as  a  relay  

©[Link]  
Port  Forwarding  ACack  Demo  

meterpreter   Port  80  

Internet  

Server  1  
Server  2  
Local  
Listener  
Port  25000  

©[Link]  
SecurityTube  Metasploit  Framework  Expert  
(SMFE)  

hCp://[Link]/smfe      

Vivek  Ramachandran  
Course  Instructor  
©[Link]  
SecurityTube  Metasploit  Framework  Expert  Part  14  
Client  Side  Exploits  

Vivek  Ramachandran  
Founder,  SecurityTube  
hCp://[Link]    

©[Link]  
SecurityTube  Metasploit  Framework  Expert  
(SMFE)  

hCp://[Link]/smfe      

Vivek  Ramachandran  
Course  Instructor  
©[Link]  
SecurityTube  Cer:fica:ons  

Students  from  over  30+  countries  around  the  world!    

©[Link]  
 SecurityTube  Vision  

To  provide  quality  yet  free  

infosec  educa8on  to  one  and  
all  
 
The  SMFE  course  material  is  made  available  en:rely  FREE  to  the  
community.   Please   feel   free   to   download   and   distribute   the  
videos  as  you  please.    

©[Link]  
 It’s  a  Client  side  World!  

• Most  enterprises  have  incoming  connec:ons  

locked  down  with  firewalls  
• Gemng  increasingly  difficult  to  find  server  side  
service  vulnerabili:es  
• Client  side  aCacks  are  the  new  in  thing  J  
– Browser  based  aCacks  
– Social  engineering  aCacks  

©[Link]  
 Browser  Exploits  

• Dozens  of  exploits  discovered  

• Browsers  not  always  patched  by  the  user  like  
the  OS    
• Use  browser_autopwn  to  break  into  client  
browsers  

©[Link]  
SecurityTube  Metasploit  Framework  Expert  
(SMFE)  

hCp://[Link]/smfe      

Vivek  Ramachandran  
Course  Instructor  
©[Link]  
SecurityTube  Metasploit  Framework  Expert  Part  15  
Backdoor  Executable    

Vivek  Ramachandran  
Founder,  SecurityTube  
hCp://[Link]    

©[Link]  
SecurityTube  Metasploit  Framework  Expert  
(SMFE)  

hCp://[Link]/smfe      

Vivek  Ramachandran  
Course  Instructor  
©[Link]  
SecurityTube  Cer:fica:ons  

Students  from  over  30+  countries  around  the  world!    

©[Link]  
 SecurityTube  Vision  

To  provide  quality  yet  free  

infosec  educa8on  to  one  and  
all  
 
The  SMFE  course  material  is  made  available  en:rely  FREE  to  the  
community.   Please   feel   free   to   download   and   distribute   the  
videos  as  you  please.    

©[Link]  
 Backdoor  Executable  

• Package  payloads  into  

– Dedicated  executable  
– Use  “templates”  of  exis:ng  executable  
• Template  does  not  run  
• Template  runs  as  well  
• AV  Evasion  
– Encoding  
– Packing  and  Encryp:on  

©[Link]  
Msfpayload  Summary  

©[Link]  
Stand  Alone  Binary  

©[Link]  
Setup  a  Web  Server  

©[Link]  
Access  over  the  HTTP  Server  

©[Link]  
Semng  up  Metasploit  

©[Link]  
Windows/shell/reverse_tcp  

©[Link]  
Receiving  it  

©[Link]  
Executable  Template  

©[Link]  
 Packing  Executables  

• Process  of  compressing  executable  

• Running  it  unpacks  the  original  code  and  
transfers  control  to  it  
• Originally  used  to  decrease  the  storage  
required  for  an  executable  
• Started  gemng  used  as  a  way  to  evade  AV  
• Many  packers  available  now  –    
– UPX,  PEPack,  ASPack  etc.  

©[Link]  
SecurityTube  Metasploit  Framework  Expert  
(SMFE)  

hCp://[Link]/smfe      

Vivek  Ramachandran  
Course  Instructor  
©[Link]  
SecurityTube  Metasploit  Framework  Expert  Part  16  
Exploit  Research  with  Metasploit  

Vivek  Ramachandran  
Founder,  SecurityTube  
hCp://[Link]    

©[Link]  
SecurityTube  Metasploit  Framework  Expert  
(SMFE)  

hCp://[Link]/smfe      

Vivek  Ramachandran  
Course  Instructor  
©[Link]  
SecurityTube  Cer:fica:ons  

Students  from  over  30+  countries  around  the  world!    

©[Link]  
 SecurityTube  Vision  

To  provide  quality  yet  free  

infosec  educa8on  to  one  and  
all  
 
The  SMFE  course  material  is  made  available  en:rely  FREE  to  the  
community.   Please   feel   free   to   download   and   distribute   the  
videos  as  you  please.    

©[Link]  
 Exploit  Research  

• Art  and  science  of  how  to  write  exploits  

• Vast  in  scope  
– Different  opera:ng  systems  
– Different  protec:ons  
– Varied  techniques  for  exploita:on  
• Metasploit  is  typically  used  in  conjunc:on  
with  tools  like  Ollydbg,  Immunity  Dbg  etc.  

©[Link]  
 Exploit  Research  Megaprimer  

• Will  be  covered  in  the  Exploit  Research  

Megaprimer  
– hCp://[Link]/groups?opera:on=view&groupId=7    

• Part  of  the  SMFE  courseware  

• Will  be  spun  off  later  as  an  Exploit  Research  
course  

©[Link]  
 SMFE  Exam  Inclusions  

• Exploit  Research  is  a  difficult  topic  

• We  will  cover  all  aspects  in  the  Megaprimer  
• From  an  SMFE  exam  perspec:ve  only  Buffer  
Overflows  and  SEH  will  be  included  
– No  DEP  and  ASLR  evasion    
• However,  you  can  learn  all  concepts  in  the  
Megaprimer  

©[Link]  
 Never  end  without  a  demo!  J  

• Simple  Buffer  overflow  with  Minishare  1.4.1  

• Write  remote  shell  exploit  
• “Metasploi:fy”  it  by  using  Meterpreter  as  the  
payload  

©[Link]  
SecurityTube  Metasploit  Framework  Expert  
(SMFE)  

hCp://[Link]/smfe      

Vivek  Ramachandran  
Course  Instructor  
©[Link]  
SecurityTube  Metasploit  Framework  Expert  Part  17  
Railgun  Basics  

Vivek  Ramachandran  
Founder,  SecurityTube  
hCp://[Link]    

©[Link]  
SecurityTube  Metasploit  Framework  Expert  
(SMFE)  

hCp://[Link]/smfe      

Vivek  Ramachandran  
Course  Instructor  
©[Link]  
SecurityTube  Cer:fica:ons  

Students  from  over  30+  countries  around  the  world!    

©[Link]  
 SecurityTube  Vision  

To  provide  quality  yet  free  

infosec  educa8on  to  one  and  
all  
 
The  SMFE  course  material  is  made  available  en:rely  FREE  to  the  
community.   Please   feel   free   to   download   and   distribute   the  
videos  as  you  please.    

©[Link]  
Meterpreter  Scripts  and  Post  Exploita:on  
Modules  
• Ability  to  run  code  on  the  remote  system  

• Can  we  load  any  DLL  on  the  remote  system  and  
run  code  from  it?  

• Enter  Railgun!  

hCp://[Link]/redmine/projects/
framework/wiki/RailgunUsage    

©[Link]  
 Railgun  

• Meterpreter  extension  to  load  and  run  code  from  any  

DLL  present  on  the  vic:m  system  

• Released  by  Patrick  HVE  in  the  Metasploit  mailing  list    

• Can  be  used  when  in  a  post  module  of  session  

meterpreter    

• Can  be  used  interac:vely  in  an  ac:ve  meterpreter  

session  by  going  into  “irb”  mode  

©[Link]  
Using  Railgun  

©[Link]  
Using  Railgun  with  Func:on  Arguments  
[Link].(DLL  Name).(Func:on  Name)(arg1,  arg2  …)  
 
e.g.  [Link](arg1,  arg2)  

©[Link]  
 Argument  Direc:on  

• IN  parameters  
– Memory  alloca:on  is  managed  for  Data  Pointers  
– All  others  encoded  in  machine  readable  form    

• OUT  parameters    
– Data  Pointers  
– Specify  size  of  the  OUT  parameter  in  func:on  call  
• Railgun  manages  memory  alloca:on  

©[Link]  
 Accessing  Return  Values  

• Return  values  from  func:on  calls  are  

encapsulated  as  a  hash  
– Return  value  (“return”)  
– Error  Code  (“GetLastError”)  
– Any  OUT  parameters  of  the  func:on  call  

©[Link]  
Using  Railgun  with  Func:on  Arguments  
[Link].(DLL  Name).(Func:on  Name)(arg1,  arg2  …)  
 
e.g.  [Link](arg1,  arg2)  

©[Link]  
 More  Fun  Stuff  

• All  about  finding  interes:ng  APIs  J    

• One  can  write  full  program  logic  using  

mul:ple  APIs  within  a  post  exploita:on  
module  or  via  the  IRB  in  meterpreter    

©[Link]  
SecurityTube  Metasploit  Framework  Expert  Part  18  
Railgun  Adding  Func:ons  

Vivek  Ramachandran  
Founder,  SecurityTube  
hCp://[Link]    

©[Link]  
SecurityTube  Metasploit  Framework  Expert  
(SMFE)  

hCp://[Link]/smfe      

Vivek  Ramachandran  
Course  Instructor  
©[Link]  
SecurityTube  Cer:fica:ons  

Students  from  over  30+  countries  around  the  world!    

©[Link]  
 SecurityTube  Vision  

To  provide  quality  yet  free  

infosec  educa8on  to  one  and  
all  
 
The  SMFE  course  material  is  made  available  en:rely  FREE  to  the  
community.   Please   feel   free   to   download   and   distribute   the  
videos  as  you  please.    

©[Link]  
Too  Good  to  be  True?  

©[Link]  
Not  All  Func:ons  in  the  DLL  are  Defined  

• Railgun  “Behind  the  Scene  Magic”  J  

• Func:on  needs  to  be  defined  before  use  
 

©[Link]  
Adding  New  Func:on  Defini:ons  

©[Link]  
Adding  Func:on  Defini:ons  on  the  Fly  

• Middle  of  pentest  and  need  addi:onal  API  support  

• Can  be  added  on  the  fly  
 
[Link].add_func:on(‘netapi32’,  
‘NetUserChangePassword’,  ‘DWORD’,  [  
[“PWCHAR”,  “domainname”,  “in”],  
[“PWCHAR”,  “username”,  “in”],  
[“PWCHAR”,  “oldpassword”,  “in”],  
[“PWCHAR”,  “newpassword”,  “in”]  
])  

©[Link]  
Adding  Func:on  Defini:ons  Ahead  of  Time  

• Check  the  DLL  defini:on  file  

• /opt/framework/msf3/lib/rex/post/meterpreter/
extensions/stdapi/railgun/def  
 
dll.add_func:on(‘netapi32’,  ‘NetUserChangePassword’,  
‘DWORD’,  [  
[“PWCHAR”,  “domainname”,  “in”],  
[“PWCHAR”,  “username”,  “in”],  
[“PWCHAR”,  “oldpassword”,  “in”],  
[“PWCHAR”,  “newpassword”,  “in”]  
])  
 
©[Link]  
SecurityTube  Metasploit  Framework  Expert  
(SMFE)  

hCp://[Link]/smfe      

Vivek  Ramachandran  
Course  Instructor  
©[Link]  
SecurityTube  Metasploit  Framework  Expert  Part  19a  
Railgun  Adding  New  DLLs  

Vivek  Ramachandran  
Founder,  SecurityTube  
hCp://[Link]    

©[Link]  
SecurityTube  Metasploit  Framework  Expert  
(SMFE)  

hCp://[Link]/smfe      

Vivek  Ramachandran  
Course  Instructor  
©[Link]  
SecurityTube  Cer:fica:ons  

Students  from  over  30+  countries  around  the  world!    

©[Link]  
 SecurityTube  Vision  

To  provide  quality  yet  free  

infosec  educa8on  to  one  and  
all  
 
The  SMFE  course  material  is  made  available  en:rely  FREE  to  the  
community.   Please   feel   free   to   download   and   distribute   the  
videos  as  you  please.    

©[Link]  
Finding  List  of  Exis:ng  DLLs  

©[Link]  
 Adding  DLL  Defini:ons  on  the  fly  

• Use  [Link].add_dll(DLL_NAME,  
DLL_LOCATION_PATH)  

• Func:ons  which  need  to  be  used  require  to  be  

added  as  shown  in  the  previous  video  
• Generally  not  a  good  idea  to  add  on  the  fly  
– Not  available  across  sessions  
– Cannot  be  cached    
– Anything  important  should  be  added  permanantly  

©[Link]  
[Link]  (WNetGetUser)  

©[Link]  
 Adding  Support  for  [Link]  
• Add  DLL  
 
[Link].add_dll("mpr",  "c:\\windows\\system32\
\[Link]")  
 
• Add  Func:on  
[Link].add_func:on("mpr",  "WNetGetUserW",  
"DWORD",  [    
["PWCHAR",  "a",  "in"  ],    
[  "PWCHAR",  "b",  "out"],    
[  "PDWORD",  "c",  "inout"  ]      
])  

©[Link]  
Adding  DLL  Defini:ons  Ahead  of  Time  

• Define  a  new  DLL  

• Modify  [Link]  to  include  it  in  the  list  of  
BUILTIN_DLLS    

©[Link]  
SecurityTube  Metasploit  Framework  Expert  
(SMFE)  

hCp://[Link]/smfe      

Vivek  Ramachandran  
Course  Instructor  
©[Link]  
SecurityTube  Metasploit  Framework  Expert  Part  20  
Resource  Scripts  

Vivek  Ramachandran  
Founder,  SecurityTube  
hCp://[Link]    

©[Link]  
SecurityTube  Metasploit  Framework  Expert  
(SMFE)  

hCp://[Link]/smfe      

Vivek  Ramachandran  
Course  Instructor  
©[Link]  
SecurityTube  Cer:fica:ons  

Students  from  over  30+  countries  around  the  world!    

©[Link]  
 SecurityTube  Vision  

To  provide  quality  yet  free  

infosec  educa8on  to  one  and  
all  
 
The  SMFE  course  material  is  made  available  en:rely  FREE  to  the  
community.   Please   feel   free   to   download   and   distribute   the  
videos  as  you  please.    

©[Link]  
 Resource  Scripts  

• Simple  and  easy  way  to  automate  tasks  

• ~/.msf4/[Link]  runs  automa:cally  
• Typical  uses  
– Run  at  startup  via  msfconsole  
– Can  be  run  while  in  msfconsole  
– Can  be  run  while  in  meterpreter  session  

©[Link]  
SecurityTube  Metasploit  Framework  Expert  
(SMFE)  

hCp://[Link]/smfe      

Vivek  Ramachandran  
Course  Instructor  
©[Link]  
SecurityTube  Metasploit  Framework  Expert  Part  21  
Database  Support  

Vivek  Ramachandran  
Founder,  SecurityTube  
hCp://[Link]    

©[Link]  
SecurityTube  Metasploit  Framework  Expert  
(SMFE)  

hCp://[Link]/smfe      

Vivek  Ramachandran  
Course  Instructor  
©[Link]  
SecurityTube  Cer:fica:ons  

Students  from  over  30+  countries  around  the  world!    

©[Link]  
 SecurityTube  Vision  

To  provide  quality  yet  free  

infosec  educa8on  to  one  and  
all  
 
The  SMFE  course  material  is  made  available  en:rely  FREE  to  the  
community.   Please   feel   free   to   download   and   distribute   the  
videos  as  you  please.    

©[Link]  
 Why  Database  Support?  

• Penetra:on  Tests  typically  involve  100  of  

hosts  
• 100’s  of  hosts  
– Dozens  of  services  in  each  
• Mul:ple  vulnerabili:es  

• Need  for  beCer  organiza:on  of  data  

©[Link]  
 Database  Support  

• Postgresql  –  already  configured  on  BT  

• Create  Workspaces  
– Logical  units  of  informa:on  
• E.g.  all  results  from  a  single  pentest  
• E.g.  all  results  from  a  single  loca:on  for  a  mul:-­‐site  
pentest  
– Ease  of  important  and  expor:ng  data  

©[Link]  
 Hosts,  Services  and  Vuls  table  

• Core  tables  for  storing  data  

• You  can  add  /  delete  hosts  and  services  
• Set  RHOSTS  based  on  analysis  
• Default  enabled  plugin  is  Nmap  
– Look  at  other  plugins  later  

©[Link]  
SecurityTube  Metasploit  Framework  Expert  
(SMFE)  

hCp://[Link]/smfe      

Vivek  Ramachandran  
Course  Instructor  
©[Link]  
SecurityTube  Metasploit  Framework  Expert  Part  22  
Using  Plugins  

Vivek  Ramachandran  
Founder,  SecurityTube  
hCp://[Link]    

©[Link]  
SecurityTube  Metasploit  Framework  Expert  
(SMFE)  

hCp://[Link]/smfe      

Vivek  Ramachandran  
Course  Instructor  
©[Link]  
SecurityTube  Cer:fica:ons  

Students  from  over  30+  countries  around  the  world!    

©[Link]  
 SecurityTube  Vision  

To  provide  quality  yet  free  

infosec  educa8on  to  one  and  
all  
 
The  SMFE  course  material  is  made  available  en:rely  FREE  to  the  
community.   Please   feel   free   to   download   and   distribute   the  
videos  as  you  please.    

©[Link]  
 Best  of  All  Worlds!  

• 3rd  Party  Tools  out  there  which  do  a  beCer  job  

for  select  tasks  
– Nmap  =>  Port  and  Service  Fingerprin:ng  
– Wmap  =>  Web  Security  
–  Nessus  =>  Policy  and  Compliance  checks  

• How  do  you  bring  the  best  of  all  worlds  to  
Metasploit?  
– Enter  Plugins!  

©[Link]  
 Plugins  

• External  Tool  invoked  from  within  Metasploit  

• Integra:on  allows  to  take  inputs  from  

Metasploit  and  share  results  

• Metasploit  “outsources”  work  J  to  the  Plugin  

and  uses  the  Results  sent  by  it  

©[Link]  
 Available  Plugins  

• Nmap  
• Nessus  
• Nexpose  
• Wmap  
• …  

©[Link]  
SecurityTube  Metasploit  Framework  Expert  
(SMFE)  

hCp://[Link]/smfe      

Vivek  Ramachandran  
Course  Instructor  
©[Link]  
SecurityTube  Metasploit  Framework  Expert  Part  23  
Meterpreter  API  Basics  

Vivek  Ramachandran  
Founder,  SecurityTube  
hCp://[Link]    

©[Link]  
SecurityTube  Metasploit  Framework  Expert  
(SMFE)  

hCp://[Link]/smfe      

Vivek  Ramachandran  
Course  Instructor  
©[Link]  
SecurityTube  Cer:fica:ons  

Students  from  over  30+  countries  around  the  world!    

©[Link]  
 SecurityTube  Vision  

To  provide  quality  yet  free  

infosec  educa8on  to  one  and  
all  
 
The  SMFE  course  material  is  made  available  en:rely  FREE  to  the  
community.   Please   feel   free   to   download   and   distribute   the  
videos  as  you  please.    

©[Link]  
 Meterpreter  

• Presents  a  planorm  for  wri:ng  our  own  post  

exploita:on  scripts  

• We  can  use  API  available  or  call  arbitrary  

func:ons  using  Railgun  

• Unfortunately,  documenta:on  is  preCy  sparse  

– Learn  from  the  code  

©[Link]  
Exploring  the  Meterpreter  Codebase  

• Core  Codebase  
– lib/rex/  

• Meterpreter  Related  
– lib/rex/post/meterpreter/  

©[Link]  
Use  (client_core.rb)  

©[Link]  
Migrate  (client_core.rb)  

©[Link]  
 Stdapi  

• Fs  
– Dir,  File,  Filestat  
• Sys  
– Config,  process,  registry,  eventlog,  power  
• Net  
– config,  socket  
• Railgun  
• Webcam  
• Ui  

©[Link]  
 Fs  (stdapi)  

• [Link]  

• [Link].entries_with_info()  

• …  

©[Link]  
 Sys  (stdapi)  

• [Link]fi[Link]  

• [Link]fi[Link][“OS”]  

• …  

©[Link]  
 Net  (Stdapi)  

• [Link]fig.get_interfaces  

• Client.  [Link]fig.get_routes  

• …  

©[Link]  
SecurityTube  Metasploit  Framework  Expert  
(SMFE)  

hCp://[Link]/smfe      

Vivek  Ramachandran  
Course  Instructor  
©[Link]  
SecurityTube  Metasploit  Framework  Expert  Part  24  
Meterpreter  Scrip:ng  –  Migrate  Clone  

Vivek  Ramachandran  
Founder,  SecurityTube  
hCp://[Link]    

©[Link]  
SecurityTube  Metasploit  Framework  Expert  
(SMFE)  

hCp://[Link]/smfe      

Vivek  Ramachandran  
Course  Instructor  
©[Link]  
SecurityTube  Cer:fica:ons  

Students  from  over  30+  countries  around  the  world!    

©[Link]  
 SecurityTube  Vision  

To  provide  quality  yet  free  

infosec  educa8on  to  one  and  
all  
 
The  SMFE  course  material  is  made  available  en:rely  FREE  to  the  
community.   Please   feel   free   to   download   and   distribute   the  
videos  as  you  please.    

©[Link]  
 Meterpreter  Scrip:ng  

• Locate  APIs  

• Use  template  script  and  modify  

• Eventually  phase  out  to  Post  Exploita:on  

Scripts  

©[Link]  
 Cloning  Migrate  

• Find  the  “migrate”  api    

– Under  [Link]  

• Take  PID  as  input  

• Migrate  to  PID  

©[Link]  
SecurityTube  Metasploit  Framework  Expert  
(SMFE)  

hCp://[Link]/smfe      

Vivek  Ramachandran  
Course  Instructor  
©[Link]  
SecurityTube  Metasploit  Framework  Expert  Part  25  
Meterpreter  Scrip:ng  –  Process  Name  Search  

Vivek  Ramachandran  
Founder,  SecurityTube  
hCp://[Link]    

©[Link]  
SecurityTube  Metasploit  Framework  Expert  
(SMFE)  

hCp://[Link]/smfe      

Vivek  Ramachandran  
Course  Instructor  
©[Link]  
SecurityTube  Cer:fica:ons  

Students  from  over  30+  countries  around  the  world!    

©[Link]  
 SecurityTube  Vision  

To  provide  quality  yet  free  

infosec  educa8on  to  one  and  
all  
 
The  SMFE  course  material  is  made  available  en:rely  FREE  to  the  
community.   Please   feel   free   to   download   and   distribute   the  
videos  as  you  please.    

©[Link]  
 Process  Name  Search  

• Find  list  of  all  running  processes  in  the  remote  

system  
– [Link].get_processes  

• Enumerate  the  list  and  search  for  process  

name  

• Print  success  if  match  occurs  J    

©[Link]  
SecurityTube  Metasploit  Framework  Expert  
(SMFE)  

hCp://[Link]/smfe      

Vivek  Ramachandran  
Course  Instructor  
©[Link]  
SecurityTube  Metasploit  Framework  Expert  Part  26  
Social  Engineering  Toolkit  

Vivek  Ramachandran  
Founder,  SecurityTube  
hCp://[Link]    

©[Link]  
SecurityTube  Metasploit  Framework  Expert  
(SMFE)  

hCp://[Link]/smfe      

Vivek  Ramachandran  
Course  Instructor  
©[Link]  
SecurityTube  Cer:fica:ons  

Students  from  over  30+  countries  around  the  world!    

©[Link]  
 SecurityTube  Vision  

To  provide  quality  yet  free  

infosec  educa8on  to  one  and  
all  
 
The  SMFE  course  material  is  made  available  en:rely  FREE  to  the  
community.   Please   feel   free   to   download   and   distribute   the  
videos  as  you  please.    

©[Link]  
 Social  Engineering  Toolkit  

• Focus  on  using  social  engineering  to  break  

into  machines  
– Exploits  human  stupidity,  rather  than  so`ware  
bugs  J  
– WriCen  by  David  Kennedy  
– hCp://[Link]/    

• Uses  Metasploit  internally  to  break  in  

©[Link]  
Tons  of  Op:ons  

©[Link]  
Social  Engineering  ACacks  

©[Link]  
Website  ACack  Vector  

©[Link]