Instalando Metasploit en Windows

Instalando Metasploit en Windows 

 

Metasploit es una de la más popular y conocida herramienta de Pentesting desarrollada en el área de seguridad Informática, además de ser un proyecto open source nos proporciona una amplia biblioteca de vulnerabilidades informáticas, esta herramienta no solamente se encuentra disponible para los sistemas operativos de Linux, también lo podemos encontrar para la plataforma de Windows en sus siguientes ediciones mantenidas por su desarrollador Rapid7.

Metasploit Framework

 

Versión gratuita basada en la interfaz de línea de comando diseñada para desarrolladores e investigadores de seguridad, nos ofrece poder importar el análisis de otras herramientas complementarias (Ejemplo Nmap), explotación y ataques de fuerza bruta.

 

Edición Community Metasploit

 

Metasploit Community en su versión gratis y diseñada para el estudiante con una interfaz basada en la web, nos proporciona las herramientas para realizar un escáner de la red, navegar por los diferentes módulos y explotaciones de manera manual.

 

Metasploit express

 

Una versión de pago que ofrece una interfaz gráfica de usuario diseñada para organizaciones con redes pequeñas, te permite realizar un análisis de descubrimiento en la red y explotación de vulnerabilidades.

 

Metasploit Pro

 

Edición de pago de Metasploit, dispone de 15 días gratis para su uso incluye todas las características de su edición Express y Community, pero adicionalmente nos ofrece las siguientes características:

 

 

1. Creación de Payloads dinámicos con opciones para evadir antivirus

1. Gestión para crear y lanzar Phishing.

1. Escáner de vulnerabilidades web basado en el OWASP Top 10

1. Línea de Comando basado en las opciones de interfaz web

 

 

 

Versiones de metasploit

 

 

Para Instalar Alguna de las versiones anteriormente descritas podemos hacerlo desde la página de Rapid7

https://www.rapid7.com/products/metasploit/download/editions/

Seguidamente nos pedirá ingresar nuestros datos para poder permitirnos descargar el software, en este registro nos pedirá:

 

1. Nombre

1. Apellido

1. Título de trabajo

1. Título de nivel profesional

1. Nombre Compañía

1. Teléfono

1. Correo electrónico

1. País

1. Tipo de usuario

 

Posteriormente al registro realizaremos la descarga mientras nos envía una llave de licencia al correo electrónico que nosotros indicamos en el formulario.

Descargado el programa procedemos con la instalación:

Aceptamos los términos y condiciones 

Elegimos la ruta de instalación y definimos el nombre del servidor “Localhost”

 

Términos y condiciónes

Para comenzar a terminar el proceso de instalación nos pedirá crear un usuario y asignar una contraseña, cual deberemos utilizar cada vez que ingresemos en la herramienta.

 

Información del login

Posteriormente ingresamos la Licencia que nos enviaron al correo electrónico

 

Información del correo electrónico

Terminado el proceso de instalación, podemos comenzar a utilizar la herramienta para este caso probaremos la edición Metasploit PRO cual nos mostrará la siguiente interfaz:

 

Metasploit Pro

A diferencia de la Metasploit Community la edición PRO nos aporta 2 herramientas de inicio rápido: Quick Start Wizards y Global Tools.

Estos asistentes nos proporcionan una interfaz guiada para realizar tareas como escanear la red, explotar un objetivo, crear campañas de ingeniería social (Phishing), escanear y explotar aplicaciones web, validar vulnerabilidades, generar Payload’s y crear una prueba de segmentación.

En Metasploit Web cuando comencemos una prueba de Pentesting debemos crear un proyecto, para este caso debemos hacer Click en New Project e indicar el nombre del proyecto, una descripción y  el rango o IP que utilizaremos como objetivo, así sucesivamente ingresaremos al panel general con las opciones básicas necesarias para un proyecto de pruebas en Metasploit, a continuación se detallan estas opciones:

 

1.- Overview: No muestra un resumen general de los descubrimientos que vayamos obteniendo, estos pueden ser servicios, hosts, vulnerabilidades, sesiones abiertas, actividades recientes, entre otros.

 

Vulnerabilidades en metasploit 

 

 

2.- Analysis: En este apartado Metasploit irá identificando la información técnica que vayamos descubriendo cómo los hosts, notas, servicios, vulnerabilidades, credenciales, datos capturados y visualizar una topología de red de manera intuitiva.

 

 

Análisis de los sistemas

 

 

3.- Sessions: Cuando comprometemos el servicio de un equipo, podremos ver la sesión disponible en este apartado, en el cual se nos permita hacer uso de una consola bash para efectuar comandos de manera remota.

 

Sesiones activas

 

 

4.- Campaigns: Esta característica es propia de la versión PRO, nos permite crear un ataque Phishing,   

 

Campaña de phishing

 

 

5.- Web Apps: Esta característica también es propia de Metasploit PRO, nos proporciona una visión de las posibles vulnerabilidades web, identificadas posteriormente a realizar WebScan.

 

 

Web Scan

6.- Modules: Aquí podemos buscar un módulo en específico puede ser un exploit o auxiliary, adicionalmente de una descripción del módulo, la plataforma, su código CVE y su efectividad mediante un nivel basado en estrellas.

 

 

Modulos disponibles

 

7.- Credentials: Esta pestaña nos permite administrar las credenciales que vayamos obteniendo de los servicios identificados, adicionalmente podemos realizar ataques de fuerza bruta donde se intentara autenticar en los servicios de los hosts.

 

 

Credenciales de acceso

 

Fuerza bruta

 

8.- Reports: Cuando terminemos el proceso de Pentesting, Metasploit cuenta con una serie de informes organizados en hallazgos y gráficos estadísticos que podemos utilizar para compilar los resultados de las pruebas y así consolidar los datos en un formato con XML por ejemplo.

 

 

Guardando reportes

 

9.- Exports: A diferencia de la pestaña Reports, aquí se exportan los datos técnicos que fueron recolectados durante el proyecto.

 

 

 

 

10.- Tasks: Cada acción que realicemos en Metasploit y que conlleve un proceso de fondo se verá reflejado en el apartado de tareas, podremos ver el estado actual de alguna tarea de escaneo, explotación, generación de informe, entre otros.

 

Tareas en metasploit