Metasploit, un framework de test d'intrusion détourné pour pirater - Actualités RT Sécurité

Metasploit, un framework de test d'intrusion détourné pour pirater

le 02/04/2019, par J.M. Porup, CSO (adaptation Jean Elyan), Sécurité, 953 mots

Metasploit est un outil de test de pénétration très utilisé qui rend le piratage plus facile qu'avant. Il est devenu indispensable autant pour les Red Teams que pour les Blue Teams.

Metasploit, un framework de test d'intrusion détourné pour pirater

Qu'est-ce que Metasploit ? Il s'agit d'un framework de test d'intrusion qui simplifie le piratage. Un outil essentiel pour de nombreux attaquants, mais aussi pour les défenseurs des systèmes informatiques. Il suffit de pointer Metasploit sur la cible, de choisir un exploit, de définir la charge utile à déposer et d'appuyer sur Enter. Heureusement, en pratique ce n'est pas aussi simple que cela. Alors, commençons par le commencement. Auparavant, il fallait accomplir un grand nombre de tâches très répétitives pour réaliser des tests d'intrusion, et le gros apport de Metasploit, c'est qu'il a permis d'automatiser ces tâches.

Collecte d'informations, accès, persistance, camouflage... Metasploit est un peu le couteau suisse du piratage et si vous êtes un professionnel de la sécurité de l'information, il est fort probable que vous l'utilisiez déjà. Mieux encore, le noyau Metasploit Framework sous licence BSD est non seulement gratuit, mais pré-installé sur Kali Linux. La version gratuite du framework n'offre qu'une interface en ligne de commande, mais la licence Metasploit Pro (une par poste utilisateur) donne accès à une interface graphique par cliquer-glisser-déposer, en plus d'autres fonctionnalités intéressantes. 

Comment fonctionne Metasploit et quelle est son histoire ? C'est à HD Moore que l'on doit les premiers travaux sur Metasploit, dont il livre la version 1.0 écrite en Perl en 2003. Depuis, son projet s'est considérablement développé, passant de 11 exploits initiaux à plus de 1 500 aujourd'hui, plus environ 500 charges utiles. En route, le framework a abandonné Perl pour adopter Ruby. En 2009, l'entreprise de sécurité Rapid7 acquiert Metasploit et recrute HD Moore. (Ce dernier a quitté le projet en 2016.) Depuis, l'outil est devenu le framework de développement des exploits par excellence, malgré la concurrence de Canvas et de Core Impact, au point qu'aujourd'hui, les rapports zero day incluent presque toujours un module Metasploit comme preuve de concept.

Utiliser Metasploit Pendant la phase de collecte d'informations d'un test de pénétration, Metasploit s'intègre parfaitement avec Nmap, le scan SNMP et le dénombrement des correctifs Windows, entre autres choses. Il existe même une passerelle vers Nessus, le scanner de vulnérabilité de Tenable. Presque tous les outils de reconnaissance auxquels on peut penser s'intègrent à Metasploit, ce qui permet de trouver la faille dans tout type d'armure. Une fois la vulnérabilité identifiée, il suffit de rechercher dans la vaste base de données extensible de Metasploit l'exploit qui permettra d'exploiter la faille et de pénétrer dans le système soumis au test. Par exemple, l'exploit EternalBlue de la NSA, rendu public par les Shadow Brokers en 2017, a été packagé pour Metasploit et c'est un outil fiable pour tester les systèmes Windows existants non mis à jour. 

AdTech Ad

De même qu'on peut associer un bon vin avec un bon fromage, l'exploit est associé à une charge utile adaptée à la tâche à accomplir. La plupart des gens veulent un shell, une charge utile appropriée, pour attaquer les systèmes Windows. Dans le genre, il y a le très populaire Meterpreter, un shell interactif exclusivement in-memory. Les boîtes Linux ont leur propre shellcode en fonction de l'exploit utilisé. Une fois entré sur la machine cible, Metasploit fournit un tas d'outils post-exploitation pour l'escalade des privilèges, le passage du hachage, le sniffing de paquets, la capture d'écran, les keyloggers (ils enregistrent la frappe au clavier) et les outils mobiles. L'attaquant peut également configurer une porte dérobée persistante au cas où la machine en question serait redémarrée. 

Chaque année, Metasploit s'enrichit de nouvelles fonctionnalités. Il intègre désormais un fuzzer pour identifier les failles de sécurité potentielles dans les binaires, et une liste impressionnante de modules auxiliaires, trop longs à détailler. Et ce ne sont que quelques-unes des choses que peut faire Metasploit. Le framework est modulaire et facilement extensible et il est soutenu par une communauté active. Et s'il ne fait pas exactement ce que vous voulez qu'il fasse, il y a de fortes chances pour que vous puissiez l'adapter à vos besoins.

Apprendre Metasploit Il existe de nombreuses ressources gratuites et bon marché pour apprendre Metasploit. Le meilleur point de départ pour beaucoup est probablement le téléchargement et l'installation de Kali Linux, ainsi qu'une machine virtuelle vulnérable (VM) pour la pratique sur cible. (Évitez de vous former à Metasploit en ciblant les réseaux d'autres personnes sans leur permission. C'est illégal.) Offensive Security, le groupe qui maintient Kali et gère la certification Offensive Security Certified Professional (OSCP), offre également Metasploit Unleashed, un cours de formation gratuit (seul un don à une association humanitaire active sur le sol africain est demandé en contrepartie). Le livre No Starch Metasploit est aussi une ressource indispensable. Comme tous les livres No Starch Press, il est livré avec un ebook sans DRM. Le projet Metasploit offre une documentation détaillée et son canal YouTube est une autre bonne ressource pour le testeur de pénétration débutant.

Télécharger Metasploit Metasploit est livré avec Kali Linux, mais il est possible de télécharger le framework séparément sur le site web de Metasploit. Metasploit fonctionne sur les systèmes de type Unix et Windows. Le code source de Metasploit Framework est disponible sur GitHub. Metasploit se décline aussi en différentes saveurs. En plus du Framework Metasploit free/libre, Rapid7 a également développé Metasploit Community Edition, une interface utilisateur Web gratuite pour Metasploit, et Metasploit Pro. Cette version comporte des add-ons payants pour les testeurs de pénétration qui préfèrent une interface graphique ou des assistants dans le genre des wizards de MS Office pour réaliser des audits de base, ou encore lancer des campagnes de phishing pour tester la sécurité de leurs clients. Une comparaison des fonctionnalités entre la version gratuite et Pro est disponible sur le site de Rapid7.



Mirai essaye d'étendre son emprise au SD-WAN

Après les périphériques connectés, le malware Mirai s'attaque aujourd'hui aux équipements SD-WAN pour accroitre la portée de ses attaques. Mirai, le malware qui a détourné des centaines de milliers d'appareils...

le 18/06/2019, par Jon Gold, IDG NS (adapté par Jean Elyan), 531 mots

Cisco offre de la sécurité cloud pour les ressources SD-WAN

Pour compléter son offre SD-Wan Cisco ajoute le support de sa passerelle de sécurité cloud Umbrella. Alors que de nombreuses entreprises se tournent vers la technologie SD-WAN pour réduire leurs coûts,...

le 13/06/2019, par Michael Cooney, Network World (adaptation Jean Elyan), 1354 mots

Test Surfshark : Un VPN prometteur avec quelques extras

Arrivé récemment dans le monde du VPN, Surfshark dispose de solides atouts : il est assez rapide, offre nombre illimité de connexions simultanées à partir de plusieurs appareils. Et toutes les localisations...

le 10/06/2019, par Ian Paul, PCWorld (adapté par Jean Elyan), 1024 mots

Dernier dossier

Les white-box sont-elles l'avenir de la commutation réseau ?

Et si vous pouviez gérer vos commutateurs de centres de données et vos routeurs de la même façon que vos serveurs et ainsi réduire les coûts des dépenses en capital ? C'est la promesse des white-box qui amènent des systèmes d'exploitation réseau open source fonctionnant sur du matériel courant.Pour en avoir le coeur net, nous avons testé Cumulus...

Dernier entretien

Jamshid Rezaei

DSI de Mitel

Le DSI de Mitel, Jamshid Rezaei, a adopté le système japonais du Kaizen prônant l'amélioration continue...