Sortie de Metasploit 3.4

Metasploit est une boîte à outils servant à faciliter les tests d'intrusion. À l'origine c'était un jeu réseau, mais il a évolué pour devenir en 2003 un outil facilitant l'exploitation de failles. Il propose une base de données d'exploit (permettant d'exploiter les vulnérabilités des logiciels pour entrer sur une machine et en prendre le contrôle) à utiliser en conjonction avec une base de données de payload (shellcodes, permettant d'effectuer diverses actions sur la machine attaquée).

Cette nouvelle version corrige de nombreux bugs, apporte cent nouveaux exploits, mais également de nouvelles cibles pour les outils de découverte de mots de passe par force brute, et de nombreuses améliorations pour meterpreter : capture d'écran de la machine attaquée, compression et obfuscation des échanges réseau, etc. Écrit en Ruby, Metasploit s'est étoffé au fil des versions en offrant un grand panel d'outils tiers tels que :

• Karmetasploit (issu d'un projet tiers nommé KARMA, puis intégré à Metasploit) : utilisé avec Air*-ng, permet de créer de fausses bornes d'accès Wi-Fi pour, par exemple, écouter ce que fait l'utilisateur, ou encore attaquer son navigateur web ;
  
• meterpreter : boîte à outils pour travailler sur la machine attaquée. En fait, c'est une sorte de mega-shellcode qui permet de faire simplement les opérations typiques : redirection de port, injection de code à distance, accès au système de fichiers, etc. Les objectifs sont de pouvoir fonctionner dans un chroot, en l'absence de bibliothèques et autres exécutables tels que /bin/sh, et de le faire le plus discrètement possible : pas de nouveau processus, injection dans le programme attaqué sans pour autant en stopper le flux d'exécution, etc. ;
  
• msfencode : permet de dissimuler ses shellcodes, typiquement utilisé comme technique d'évasion contre les antivirus et autres IDS ;
  
• Metasm (projet tiers, développé initialement par Orange Labs puis par Sogeti/ESEC, intégré à Metasploit, sous license LGPL) : un outil pour transformer du code binaire en objets Ruby, jouer avec, puis reconstruire à nouveau un binaire. Le but est l'injection de code et la rétro-ingénierie (exemple d'utilisation pour effectuer de la désobfuscation). Une introduction présentée lors du SSTIC 2007 est disponible dans ce PDF ;
  
• db_autopwn : permet d'exploiter les informations obtenues par différents scanners tels que Nessus et Nmap.
  

On note également la présence d'outils de fuzzing, de recherche de mots de passe par force brute, d'empoisonnement de cache DNS, etc. Bref c'est vraiment un couteau suisse.

L'année dernière Metasploit a été racheté par Rapid7. Depuis il existe une version open source et une version propriétaire, qui est soit gratuite (à usage restreint), soit payante. Elle intègre dans ce dernier cas NeXpose (outil de détection de vulnérabilités), Nmap, ainsi qu'un module de génération de rapports.

Metasploit est maintenant distribué sous license BSD, bien que l'ancienne Metasploit Framework License, nettement plus contraignante, soit encore évoquée dans le dépôt SVN pour certains composants.

Enfin pour finir, on note l'existence du projet Metasploitable, une image VMware servant de mini-laboratoire pour tester Metasploit (on peut trouver son torrent sur cette page).

Aller plus loin

• Metasploit (49 clics)
• Notes de version (2 clics)
• Metasm (15 clics)
• Karmetasploit (12 clics)
• Un tutorial (63 clics)