11 febrero 2011

Presentando Metasploit Express

En este artículo se presenta la herramienta Metasploit Express, un front-end para el framework Metasploit que incorpora funcionalidades que automatizan el proceso de un test de intrusión y permite generar informes con los resultados.

Para realizar un test de intrusión con Metasploit Express se siguen las siguientes tareas:
  1. Crear un proyecto
  2. Descubrir dispositivos
  3. Conseguir acceso a los equipos
  4. Tomar el control de una sesión
  5. Recoger datos de las máquinas atacadas
  6. Limpiar la sesión
  7. Generar un informe
Veamos el proceso seguido para conseguir acceder a un equipo de la red, en concreto a una máquina (virtual) con Windows XP en la que el usuario está navegando tranquilamente por Internet:


Tras crear un proyecto, lo primero que hay que hacer es escanear la red para descubrir máquinas, puertos abiertos, sistemas operativos, versiones de los servicios...




A continuación, hay que buscar el exploit adecuado para los servicios vulnerables encontrados, pero la propia aplicación automatiza todo el proceso:



Si hemos tenido suerte, Metasploit Express habrá abierto una sesión en el equipo objetivo y podremos interactuar con ella:




Podemos, por ejemplo, obtener datos sensibles de la máquina objetivo, como capturas de pantalla, contraseñas o información del sistema:




También podemos subir un fichero al equipo atacado. En el ejemplo se muestra cómo subimos el fichero troyano, guardándolo en la unidad C: con el nombre index.php:



O también podemos lanzar una shell y ejecutar órdenes directamente. Como veis se ha listado el contenido del directorio y se visualizado la tabla de encaminamiento:



En la propia web del proyecto se puede descargar una máquina virtual Ubuntu, preparada con software y servicios con vulnerabilidades no parcheadas para jugar y practicar con ella.

Metasploit Express es un producto comercial (3000$ por usuario y año), pero puedes descargar un trial de varios días desde su web. El único requisito es que tengas una cuenta de correo electrónico que no sea gratuita (gmail, hotmail, yahoo...).

¡Un saludo!

------------------------------------------------------------------------------------------------------------------------------------
Contribución por Jesús Moreno

8 comments :

Anónimo dijo...

Me parece un verdadero atraco, 3000€ ademas para una licencia de un solo año, esto no esta al alcance de todos, ni para los pentesters profesionales les sale demasiado rentable, no hay nada que no ofrezca ya otros programas renunciando a un poco de comodidad y una bonita interface con automatización .. saben si hay alguna forma de crackear la version trial? (o no estan a favor de esto?) seguire usando el framework entonces. Saludos.

Chen dijo...

La herramienta automatiza varias tareas, permite lanzar ataques sin tener que desarrollar scripts a medida y genera informes personalizados de los resultados.
¿Vale lo que piden por ella? Me imagino que habrá opiniones para todos los gustos.

¡Un saludo!

Sebastián Guerrero dijo...

Qué de petardadas :P.

Interesante entrada para conocer un poco el uso de este framework en su versión mayor, aunque me planteo si realmente merece la pena en comparación con la versión gratuita para todos.

¿Qué puedes comentarme sobre las diferencas? ¿Se nota demasiado?

Un saludo.

Anónimo dijo...

Me parece una exageración 3000$ Cómo dijo Anónimo en su 1 comentario
seguire usando el framework entonces.

Hugo dijo...

Tiene muy buena pinta, pero es demasiado cara, aunque supongo que para las consultoras de peso con perfiles poco especializados puede llegar a ser útil.

Raven dijo...

No existe ningun Keygen para la version Express o Pro ?? ( estuve viendo que esta ultima cuesta 15.000$ la licencia, increible ) alguien sabe de como ilimitar este programa en modo trial??

Una buena alternativa a esto es el Armitage Fast and Easy Hacking, da una interface y automatizacion al metasploit, es muy parecido.

Chen dijo...

Sinceramente, no creo que la herramienta esté pensada para alguien que ya domina el framework metasploit, ya que tan solo añade la generación de informes. Creo que se dirige a profesionales que no disponen del tiempo necesario para formarse y necesitan verificar las vulnerabilidades de sus sistemas.

Un saludo,
Jesús M.

http://www.lopz.org dijo...

Se me ha hecho mucha gracia abrir petardas.com se me hacía conocida esa web xD