Post81 nn

Instalando Metasploit en Windows 


Metasploit es una de la más popular y conocida herramienta de Pentesting desarrollada en el área de seguridad Informática, además de ser un proyecto open source nos proporciona una amplia biblioteca de vulnerabilidades informáticas, esta herramienta no solamente se encuentra disponible para los sistemas operativos de Linux, también lo podemos encontrar para la plataforma de Windows en sus siguientes ediciones mantenidas por su desarrollador Rapid7.

Metasploit Framework


Versión gratuita basada en la interfaz de línea de comando diseñada para desarrolladores e investigadores de seguridad, nos ofrece poder importar el análisis de otras herramientas complementarias (Ejemplo Nmap), explotación y ataques de fuerza bruta.


Edición Community Metasploit


Metasploit Community en su versión gratis y diseñada para el estudiante con una interfaz basada en la web, nos proporciona las herramientas para realizar un escáner de la red, navegar por los diferentes módulos y explotaciones de manera manual.


Metasploit express


Una versión de pago que ofrece una interfaz gráfica de usuario diseñada para organizaciones con redes pequeñas, te permite realizar un análisis de descubrimiento en la red y explotación de vulnerabilidades.


Metasploit Pro


Edición de pago de Metasploit, dispone de 15 días gratis para su uso incluye todas las características de su edición Express y Community, pero adicionalmente nos ofrece las siguientes características:


  1. Creación de Payloads dinámicos con opciones para evadir antivirus
  1. Gestión para crear y lanzar Phishing.
  1. Escáner de vulnerabilidades web basado en el OWASP Top 10
  1. Línea de Comando basado en las opciones de interfaz web


Versiones de metasploit


Para Instalar Alguna de las versiones anteriormente descritas podemos hacerlo desde la página de Rapid7

https://www.rapid7.com/products/metasploit/download/editions/

Seguidamente nos pedirá ingresar nuestros datos para poder permitirnos descargar el software, en este registro nos pedirá:

  1. Nombre
  1. Apellido
  1. Título de trabajo
  1. Título de nivel profesional
  1. Nombre Compañía
  1. Teléfono
  1. Correo electrónico
  1. País
  1. Tipo de usuario

Posteriormente al registro realizaremos la descarga mientras nos envía una llave de licencia al correo electrónico que nosotros indicamos en el formulario.

Descargado el programa procedemos con la instalación:



Instalador de metasploit


Aceptamos los términos y condiciones 

Elegimos la ruta de instalación y definimos el nombre del servidor “Localhost”


Términos y condiciónes

Damos clic en siguiente y esperamos que termine el proceso de instalación
A continuación podemos iniciar Metasploit 



Finalización de la instalación

Anteriormente indicamos el nombre del servidor “Localhost” y el puerto “3790”, de este modo el  software nos abrirá el navegador con la ruta  https://localhost:3790/. Probablemente lo más seguro es que nos indique que la pagina no es una conexión privada y debamos dar confianza a la página.


Problema de conexión

Para comenzar a terminar el proceso de instalación nos pedirá crear un usuario y asignar una contraseña, cual deberemos utilizar cada vez que ingresemos en la herramienta.


Información del login

Posteriormente ingresamos la Licencia que nos enviaron al correo electrónico


Información del correo electrónico

Terminado el proceso de instalación, podemos comenzar a utilizar la herramienta para este caso probaremos la edición Metasploit PRO cual nos mostrará la siguiente interfaz:


Metasploit Pro

A diferencia de la Metasploit Community la edición PRO nos aporta 2 herramientas de inicio rápido: Quick Start Wizards y Global Tools.

Estos asistentes nos proporcionan una interfaz guiada para realizar tareas como escanear la red, explotar un objetivo, crear campañas de ingeniería social (Phishing), escanear y explotar aplicaciones web, validar vulnerabilidades, generar Payload’s y crear una prueba de segmentación.

En Metasploit Web cuando comencemos una prueba de Pentesting debemos crear un proyecto, para este caso debemos hacer Click en New Project e indicar el nombre del proyecto, una descripción y  el rango o IP que utilizaremos como objetivo, así sucesivamente ingresaremos al panel general con las opciones básicas necesarias para un proyecto de pruebas en Metasploit, a continuación se detallan estas opciones:


1.- Overview: No muestra un resumen general de los descubrimientos que vayamos obteniendo, estos pueden ser servicios, hosts, vulnerabilidades, sesiones abiertas, actividades recientes, entre otros.



Vulnerabilidades en metasploit 


2.- Analysis: En este apartado Metasploit irá identificando la información técnica que vayamos descubriendo cómo los hosts, notas, servicios, vulnerabilidades, credenciales, datos capturados y visualizar una topología de red de manera intuitiva.


Análisis de los sistemas


3.- Sessions: Cuando comprometemos el servicio de un equipo, podremos ver la sesión disponible en este apartado, en el cual se nos permita hacer uso de una consola bash para efectuar comandos de manera remota.



Sesiones activas


4.- Campaigns: Esta característica es propia de la versión PRO, nos permite crear un ataque Phishing,   



Campaña de phishing


5.- Web Apps: Esta característica también es propia de Metasploit PRO, nos proporciona una visión de las posibles vulnerabilidades web, identificadas posteriormente a realizar WebScan.



Web Scan


6.- Modules: Aquí podemos buscar un módulo en específico puede ser un exploit o auxiliary, adicionalmente de una descripción del módulo, la plataforma, su código CVE y su efectividad mediante un nivel basado en estrellas.


Modulos disponibles


7.- Credentials: Esta pestaña nos permite administrar las credenciales que vayamos obteniendo de los servicios identificados, adicionalmente podemos realizar ataques de fuerza bruta donde se intentara autenticar en los servicios de los hosts.


Credenciales de acceso

Fuerza bruta


8.- Reports: Cuando terminemos el proceso de Pentesting, Metasploit cuenta con una serie de informes organizados en hallazgos y gráficos estadísticos que podemos utilizar para compilar los resultados de las pruebas y así consolidar los datos en un formato con XML por ejemplo.


Guardando reportes



9.- Exports: A diferencia de la pestaña Reports, aquí se exportan los datos técnicos que fueron recolectados durante el proyecto.


Exportación de datos

10.- Tasks: Cada acción que realicemos en Metasploit y que conlleve un proceso de fondo se verá reflejado en el apartado de tareas, podremos ver el estado actual de alguna tarea de escaneo, explotación, generación de informe, entre otros.


Tareas en metasploit




Artículos que te pueden interesar