Metasploit 데이터를 Httpx로?
오랜만에 Metasploit 관련 글을 쓰는 것 같습니다. 다름이 아니라 netpen이라는 plugin을 하나 찾았는데, 이를 이용하면 Metasploit으로 수집한 정보를 가지고 nuclei나 zap/burp 등 다른 도구와 파이프 라인으로 구성해서 사용하기 좋아보였습니다.
Netpen
공식 플러그인은 아니고 wdahlenburg가 만들어둔 플러그인 스크립트로 metasploit에서 수집된 정보를 host:port 형태로 콤보 리스트를 만들어줍니다. 간단한 작업이지만 막상 metasploit으로 수집하고 이를 다시 파싱하려면 약간 귀찮은데요. 이 플러그인은 이러한 점을 딱 해결해줍니다.
- https://github.com/wdahlenburg/MSF-Plugins/blob/main/netpen.rb
Add plugin
repo에서 코드를 받아서 metasploit의 plugin 디렉토리에 넣어줍니다. 코드는 #netpen code부분에 추가해두었습니다.
wget -P /opt/metasploit-framework/embedded/framework/plugins/ \
https://raw.githubusercontent.com/wdahlenburg/MSF-Plugins/main/netpen.rb
이후 metasploit에서 load 명령으로 netpen 플러그인을 로드할 수 있습니다.
msf6> load netpen
[*] Successfully loaded plugin: Network Pentest Toolset
Test
Recon for testing
테스트를 위해 임의로 몇개 도메인을 nmap으로 포트스캐닝했습니다.
msf6 > db_nmap -PN www.hahwul.com dalfox.hahwul.com testphp.vulnweb.com
이후 services 명령으로 리스트를 살펴보면 80,443 등으로 수집된 것을 볼 수 있습니다.
msf6 > services
Services
========
host port proto name state info
---- ---- ----- ---- ----- ----
44.228.249.3 80 tcp http open
44.228.249.3 443 tcp https filtered
185.199.108.153 80 tcp http open
185.199.108.153 443 tcp https open
185.199.110.153 80 tcp http open
185.199.110.153 443 tcp https open
metasploit이 pentesting 도구로써는 좋지만, 웹 취약점을 테스팅하기에는 솔직히 어려운 부분들이 좀 많습니다. 그나마 CVE나 Exploit 기반 테스팅을 쉽게할 수 있다는 장점이 있었지만, projectdiscovery의 nuclei가 나온 이후 시점부턴 솔직히 좀 매력이 떨어지긴 합니다.
어쩄던 metasaploit에서 host:port 형태로 콤보 데이터를 뽑는건 조금 번거롭습니다.
Make combo
자 그럼 netpen을 이용해서 콤보 리스트를 뽑아봅시다. help를 보면 netpen에서 지원하는 커맨드를 확인할 수 있습니다.
msf6 > help
Network Pentest Toolset Commands
================================
Command Description
------- -----------
grab_all List all services in host:port format
grab_host_port List all related hosts in host:port format based on searchable parameters
grab_web List all web related hosts in host:port format to be passed into httprobe
list_services List all open services
기호에 맞게 사용하시면 되고, 테스트로는 grab_all로 리스트를 뽑아봅시다.
msf6 > grab_all -f host-ports.txt
이후 metasploit을 종료한 후 파일을 열어보면 콤보 리스트 형태로 저장된 것을 볼 수 있습니다.
Send httpx
자 익숙한 포맷(host:port)이 나왔으니 httpx로 전달해서 웹 서비스를 식별해봅시다.
cat host_ports.txt | httpx -sc -title
Netpen code
module Msf
class Plugin::NetPen < Msf::Plugin
class NetPenDispatcher
include Msf::Ui::Console::CommandDispatcher
def name
'Network Pentest Toolset'
end
def commands
{
'grab_web' => 'List all web related hosts in host:port format to be passed into httprobe',
'grab_all' => 'List all services in host:port format',
'grab_host_port' => 'List all related hosts in host:port format based on searchable parameters',
'list_services' => 'List all open services'
}
end
def cmd_grab_web(*_args)
results = []
# Grab all services matching 'http' type
http_services = framework.db.services.where(state: 'open').select { |s| !s.name.nil? and s.name.include? 'http' }
http_services.each do |h|
host = framework.db.hosts(id: h.host_id)[0]
ip = host.address
results << "#{ip}:#{h.port}"
end
# Grab all hosts on port 80 and 443
web_services = framework.db.services.where(state: 'open').select { |s| s.port == 80 || s.port == 443 }
web_services.each do |w|
host = framework.db.hosts(id: w.host_id)[0]
ip = host.address
results << "#{ip}:#{w.port}"
end
results.uniq!
results.each do |r|
print "#{r}\n"
end
end
def cmd_grab_all(*args)
results = []
opts = Rex::Parser::Arguments.new(
'-f' => [false, 'Optionally write host:port combos to file'],
'-h' => [false, 'Display help']
)
file = nil
help = false
opts.parse(args) do |opt, idx, _val|
case opt
when '-h'
help = true
when '-f'
file = args[idx + 1]
end
end
if help
print_line('Usage: grab_all [-f combos.txt]')
return
end
# Grab all services matching 'http' type
services = framework.db.services.where(state: 'open')
services.each do |s|
host = framework.db.hosts(id: s.host_id)[0]
ip = host.address
results << "#{ip}:#{s.port}"
end
results.uniq!
if file.nil?
results.each do |r|
print "#{r}\n"
end
else
fp = File.open(file, 'w')
results.each do |r|
fp.write("#{r}\n")
end
fp.close
end
end
def cmd_grab_host_port(*args)
opts = Rex::Parser::Arguments.new(
'-S' => [false, 'Search for a service string'],
'-p' => [false, 'Inlude specific ports in results (Ex: 80,443-445)']
)
query = nil
ports = nil
opts.parse(args) do |opt, idx, _val|
case opt
when '-S'
query = args[idx + 1]
when '-p'
ports = args[idx + 1]
end
end
if query.nil? && ports.nil?
print_line('Usage: grab_host_port [-S http] [-p 80,443]')
return
end
results = []
unless query.nil?
http_services = framework.db.services.where(state: 'open').select { |s| !s.name.nil? and s.name.include? query }
http_services.each do |h|
host = framework.db.hosts(id: h.host_id)[0]
ip = host.address
results << "#{ip}:#{h.port}"
end
end
unless ports.nil?
port_list = Rex::Socket.portspec_crack(ports)
port_services = framework.db.services.where(state: 'open').where.not(name: nil).select { |s| port_list.include? s.port }
port_services.each do |p|
host = framework.db.hosts(id: p.host_id)[0]
ip = host.address
results << "#{ip}:#{p.port}"
end
end
results.uniq!
results.each do |r|
print "#{r}\n"
end
end
def cmd_list_services(*_args)
services = framework.db.services.where(state: 'open').where.not(name: nil).pluck(:name).map { |s| s.sub('ssl/', '') }
service_dictionary = {}
services.each_with_index do |s, _i|
service_dictionary[s] = services.count(s)
end
service_dictionary = service_dictionary.sort_by { |_k, v| v }.reverse.to_h
service_dictionary.each do |k, _v|
print "#{k}\n"
end
end
end
def name
'Network Pentest Toolset'
end
def desc
'Toolset to assist with basic network pentest tools by leveraging the MSF DB'
end
def initialize(framework, opts)
super
add_console_dispatcher(NetPenDispatcher)
end
def cleanup
remove_console_dispatcher('Network Pentest Toolset')
end
end
end
References
- https://github.com/wdahlenburg/MSF-Plugins/blob/main/netpen.rb