Sortie de Metasploit 3.4

Posté par . Modéré par Xavier Teyssier.
Tags :
24
24
mai
2010
Sécurité
Metasploit est une boîte à outils servant à faciliter les tests d'intrusion. À l'origine c'était un jeu réseau, mais il a évolué pour devenir en 2003 un outil facilitant l'exploitation de failles. Il propose une base de données d'exploit (permettant d'exploiter les vulnérabilités des logiciels pour entrer sur une machine et en prendre le contrôle) à utiliser en conjonction avec une base de données de payload (shellcodes, permettant d'effectuer diverses actions sur la machine attaquée).

Cette nouvelle version corrige de nombreux bugs, apporte cent nouveaux exploits, mais également de nouvelles cibles pour les outils de découverte de mots de passe par force brute, et de nombreuses améliorations pour meterpreter : capture d'écran de la machine attaquée, compression et obfuscation des échanges réseau, etc. Écrit en Ruby, Metasploit s'est étoffé au fil des versions en offrant un grand panel d'outils tiers tels que :
  • Karmetasploit (issu d'un projet tiers nommé KARMA, puis intégré à Metasploit) : utilisé avec Air*-ng, permet de créer de fausses bornes d'accès Wi-Fi pour, par exemple, écouter ce que fait l'utilisateur, ou encore attaquer son navigateur web ;
  • meterpreter : boîte à outils pour travailler sur la machine attaquée. En fait, c'est une sorte de mega-shellcode qui permet de faire simplement les opérations typiques : redirection de port, injection de code à distance, accès au système de fichiers, etc. Les objectifs sont de pouvoir fonctionner dans un chroot, en l'absence de bibliothèques et autres exécutables tels que /bin/sh, et de le faire le plus discrètement possible : pas de nouveau processus, injection dans le programme attaqué sans pour autant en stopper le flux d'exécution, etc. ;
  • msfencode : permet de dissimuler ses shellcodes, typiquement utilisé comme technique d'évasion contre les antivirus et autres IDS ;
  • Metasm (projet tiers, développé initialement par Orange Labs puis par Sogeti/ESEC, intégré à Metasploit, sous license LGPL) : un outil pour transformer du code binaire en objets Ruby, jouer avec, puis reconstruire à nouveau un binaire. Le but est l'injection de code et la rétro-ingénierie (exemple d'utilisation pour effectuer de la désobfuscation). Une introduction présentée lors du SSTIC 2007 est disponible dans ce PDF ;
  • db_autopwn : permet d'exploiter les informations obtenues par différents scanners tels que Nessus et Nmap.
On note également la présence d'outils de fuzzing, de recherche de mots de passe par force brute, d'empoisonnement de cache DNS, etc. Bref c'est vraiment un couteau suisse.

L'année dernière Metasploit a été racheté par Rapid7. Depuis il existe une version open source et une version propriétaire, qui est soit gratuite (à usage restreint), soit payante. Elle intègre dans ce dernier cas NeXpose (outil de détection de vulnérabilités), Nmap, ainsi qu'un module de génération de rapports.

Metasploit est maintenant distribué sous license BSD, bien que l'ancienne Metasploit Framework License, nettement plus contraignante, soit encore évoquée dans le dépôt SVN pour certains composants.

Enfin pour finir, on note l'existence du projet Metasploitable, une image VMware servant de mini-laboratoire pour tester Metasploit (on peut trouver son torrent sur cette page).
  • # euhhh

    Posté par (page perso) . Évalué à -3.

    C'est un outil pour essayer de faire rentrer les sysadmins en dépression ?

    On avait déjà les kikoos loleries des managers qui après avoir installés leurs première clicko linux décrétaient : mysql est une base de données alors que c'est un jouet. Maintenant on va avoir les minots qui vont pouvoir clicko craker les machines ?

    Bon, il est temps que je devienne manager ou tueur à gage pour fuir la violence de ce monde angoissant.
    • [^] # Re: euhhh

      Posté par (page perso) . Évalué à 9.

      C'est un outil pour essayer de faire rentrer les sysadmins en dépression ?

      Boarf... Les exploits de Metasploit utilisent des failles connus.
      * Les sysadmins qui ont mis leur parc à jour ne craignent pas grand chose, et n'ont donc pas de raison de tomber en dépression ;
      * Les autres, les sysadmins qui ne peuvent pas mettre leur parc à jour (pour des raisons politiques, technique ou autre) ont déjà des raisons d'être en dépression.

      Metasploit (qui existe quand même depuis bien longtemps) ne changera donc pas grand chose au moral des sysadmins !
    • [^] # Re: euhhh

      Posté par . Évalué à 5.

      C'est également un outil pour sysadmin, même si ils préféreront surement utilisé simplement openvas.
      De plus, même si sur certain cas d'école nessus/openVas + metasploit permet simplement de prendre le controle d'une machine, en pratique il faut tout de même un minium de connaissance pour effectuer une véritable attaque.

Suivre le flux des commentaires

Note : les commentaires appartiennent à ceux qui les ont postés. Nous n'en sommes pas responsables.