タイトル通り、MetasploitのサイトにあるWriting a HTTP LoginScannerに従って、HTTP LoginScannerを書いてみました。
ガイドでは、Symantec Web Gatewayのトライアル版を使用することになっていますが、見つけることができませんでしたので、テスト用にログインするだけのサイトを作りました。
サイトの準備
Ubuntuサーバーで、LAMP環境を作ります。
テスト用なので、UFW等の設定は行いません。
UbuntuサーバーのIPアドレス：192.168.56.133
Apacheのインストール
sudo apt update
sudo apt upgrade
sudo apt install apache2
ブラウザで、以下のURLにアクセスして、デフォルトページが表示されるか、確認します。
http://192.168.56.133
MySQLのインストール
sudo apt install mysql-server
セキュリティの設定をします。
sudo mysql_secure_installation
VALIDATE PASSWORD PLUGINは、Nで回答し、以降は、Yで回答します。
完了したら、MySQLコンソールにログインできるか、確認します。
sudo mysql
ログイン出来たら、以下のコマンドで、終了します。
exit
PHPのインストール
sudo apt install php libapache2-mod-php php-mysql
PHPの動作確認をします。
php -v
PHPとApacheの連携を確認します。
以下のファイルを作成します。
sudo nano /var/www/html/info.php
info.php
<?php phpinfo(); ?>
ブラウザで、以下のURLにアクセスして、PHPのインフォメーションが表示されるか、確認します。
http://192.168.56.133/info.php
確認ができたら、ファイルを削除します。
sudo rm /var/www/html/info.php
データベースの準備
MySQLにログインします。
sudo mysql
データベース(example_database)を作成します。
CREATE DATABASE example_database;
ユーザー(example_user)を作成して、パスワード(password)を設定します。
CREATE USER 'example_user'@'%' IDENTIFIED WITH mysql_native_password BY 'password';
example_userにexample_databaseの権限を付与します。
GRANT ALL ON example_database.* TO 'example_user'@'%';
一旦、MySQLから、ログアウトします。
exit
example_userで、MySQLにログインします。
mysql -u example_user -p
example_databaseに、認証で使用するusernameとpasswordのテーブル(users)を作成します。
CREATE TABLE example_database.users (
user_id INT AUTO_INCREMENT,
username VARCHAR(255),
password VARCHAR(255),
PRIMARY KEY(user_id)
);
認証用のデータを作成します。
INSERT INTO example_database.users (username,password) VALUES ("leia_organa","help_me_obiwan");
確認します。
select * from example_database.users;
+---------+-------------+----------------+
| user_id | username | password |
+---------+-------------+----------------+
| 1 | leia_organa | help_me_obiwan |
+---------+-------------+----------------+
MySQLから、ログアウトします。
exit
サイトの作成
/var/www/htmlにtestsiteを作成します。
sudo mkdir /var/www/html/testsite
以下の3つのPHPファイルを作成します。
dbconfig.php
<?php
$dsn = 'mysql:host=localhost;dbname=example_database;charset=utf8';
$user = 'example_user';
$password = 'password';
try {
$pdo = new PDO($dsn, $user, $password);
} catch (PDOException $e) {
echo 'Connection failed: ' . $e->getMessage();
}
?>
login.php
<?php
session_start();
require_once 'dbconfig.php';
if(isset($_POST['username']) && isset($_POST['password'])) {
$username = $_POST['username'];
$password = $_POST['password'];
$sql = 'SELECT * FROM users WHERE username = :username';
$stmt = $pdo->prepare($sql);
$stmt->execute(['username' => $username]);
$user = $stmt->fetch();
if(isset($user['username']) && $password === $user['password']) {
$_SESSION['username'] = $user['username'];
session_regenerate_id();
header('Location: ./index.php');
} else {
echo 'ログイン失敗';
?>
<br><a href="./login.php">login.php</a>
<?php
}
} else {
?>
<form action="login.php" method="post">
<label for="username">ユーザー名:</label>
<input type="text" id="username" name="username"><br>
<label for="password">パスワード:</label>
<input type="password" id="password" name="password"><br>
<input type="submit" value="ログイン">
</form>
<?php
}
?>
index.php
<?php
session_start();
if(isset($_POST['logout'])) {
session_destroy();
header('Location:./login.php');
}
if(isset($_SESSION['username'])) {
echo 'ログイン成功';
?>
<form action="index.php" method="post">
<input type="hidden" id="logout" name="logout">
<input type="submit" value="ログアウト">
</form>
<?php
} else {
header('Location:./login.php');
}
?>
動作
ブラウザで、http://192.168.56.133/testsite/にアクセスすると、http://192.168.56.133/testsite/login.phpにリダイレクトします。
ユーザー名、パスワードで認証すると、http://192.168.56.133/testsite/index.phpにリダイレクトします。
認証に失敗した時は、「ログイン失敗」とlogin.phpに戻るリンクが表示されますので、リンクで戻ります。
index.phpのログアウトボタンをクリックすると、login.phpに戻ります。
ユーザー名：leia_organa
パスワード：help_me_obiwan
HTTP LoginScannerの作成
ログイン時の動作の確認
ログイン成功時のリクエストとレスポンス
ログインに成功した時は、302でレスポンスして、Locationヘッダーにindex.phpがあります。
POST /testsite/login.php HTTP/1.1
Host: 192.168.56.133
Content-Length: 44
Cache-Control: max-age=0
Accept-Language: en-US,en;q=0.9
Origin: http://192.168.56.133
Content-Type: application/x-www-form-urlencoded
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/130.0.6723.70 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7
Referer: http://192.168.56.133/testsite/login.php
Accept-Encoding: gzip, deflate, br
Cookie: PHPSESSID=k55vh6i6neboo7istaeag3krin
Connection: keep-alive
username=leia_organa&password=help_me_obiwan
HTTP/1.1 302 Found
Date: Tue, 06 May 2025 06:30:44 GMT
Server: Apache/2.4.58 (Ubuntu)
Expires: Thu, 19 Nov 1981 08:52:00 GMT
Cache-Control: no-store, no-cache, must-revalidate
Pragma: no-cache
Set-Cookie: PHPSESSID=32qos1p3mfdidluaa8021d06p0; path=/
Location: ./index.php
Content-Length: 0
Keep-Alive: timeout=5, max=100
Connection: Keep-Alive
Content-Type: text/html; charset=UTF-8
GET /testsite/index.php HTTP/1.1
Host: 192.168.56.133
Cache-Control: max-age=0
Accept-Language: en-US,en;q=0.9
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/130.0.6723.70 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7
Referer: http://192.168.56.133/testsite/login.php
Accept-Encoding: gzip, deflate, br
Cookie: PHPSESSID=32qos1p3mfdidluaa8021d06p0
Connection: keep-alive
HTTP/1.1 200 OK
Date: Tue, 06 May 2025 06:30:44 GMT
Server: Apache/2.4.58 (Ubuntu)
Expires: Thu, 19 Nov 1981 08:52:00 GMT
Cache-Control: no-store, no-cache, must-revalidate
Pragma: no-cache
Vary: Accept-Encoding
Content-Length: 168
Keep-Alive: timeout=5, max=99
Connection: Keep-Alive
Content-Type: text/html; charset=UTF-8
ログイン成功<form action="index.php" method="post">
<input type="hidden" id="logout" name="logout">
<input type="submit" value="ログアウト">
</form>
ログイン失敗時のリクエストとレスポンス
ログインに失敗した時は、200でレスポンスします。
POST /testsite/login.php HTTP/1.1
Host: 192.168.56.133
Content-Length: 53
Cache-Control: max-age=0
Accept-Language: en-US,en;q=0.9
Origin: http://192.168.56.133
Content-Type: application/x-www-form-urlencoded
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/130.0.6723.70 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7
Referer: http://192.168.56.133/testsite/login.php
Accept-Encoding: gzip, deflate, br
Cookie: PHPSESSID=32qos1p3mfdidluaa8021d06p0
Connection: keep-alive
username=leia_organa&password=like_my_father_beforeme
HTTP/1.1 200 OK
Date: Tue, 06 May 2025 06:45:13 GMT
Server: Apache/2.4.58 (Ubuntu)
Expires: Thu, 19 Nov 1981 08:52:00 GMT
Cache-Control: no-store, no-cache, must-revalidate
Pragma: no-cache
Content-Length: 58
Keep-Alive: timeout=5, max=100
Connection: Keep-Alive
Content-Type: text/html; charset=UTF-8
ログイン失敗<br><a href="./login.php">login.php</a>
HTTP LoginScannerの作成
HTTP LoginScanner テンプレートは次のようになります。
空のattempt_loginメソッドしかありません。
attempt_loginが自動的に呼び出されます。
require 'metasploit/framework/login_scanner/http'
module Metasploit
module Framework
module LoginScanner
class SymantecWebGateway < HTTP
# Attempts to login to the server.
#
# @param [Metasploit::Framework::Credential] credential The credential information.
# @return [Result] A Result object indicating success or failure
def attempt_login(credential)
end
end
end
end
end
クラス名を変更して、標準的なattempt_loginを記入します。
require 'metasploit/framework/login_scanner/http'
module Metasploit
module Framework
module LoginScanner
class TestSite < HTTP
def attempt_login(credential)
result_opts = {
credential: credential,
status: Metasploit::Model::Login::Status::INCORRECT,
proof: nil,
host: host,
port: port,
protocol: 'tcp'
}
result_opts.merge!(do_login(credential.public, credential.private))
Result.new(result_opts)
end
end
end
end
end
PHPSESSIDを取得するget_session_idメソッドを追加します。
require 'metasploit/framework/login_scanner/http'
module Metasploit
module Framework
module LoginScanner
class TestSite < HTTP
def get_session_id
login_uri = normalize_uri("#{uri}/testsite/login.php")
res = send_request({'uri' => login_uri})
sid = res.get_cookies.scan(/(PHPSESSID=\w+);*/).flatten[0] || ''
return sid
end
def attempt_login(credential)
result_opts = {
credential: credential,
status: Metasploit::Model::Login::Status::INCORRECT,
proof: nil,
host: host,
port: port,
protocol: 'tcp'
}
result_opts.merge!(do_login(credential.public, credential.private))
Result.new(result_opts)
end
end
end
end
end
実際にリクエストの送信とレスポンスの確認を行うdo_loginを追加します。
レスポンスの確認は、ロケーションヘッダーでtestsite/index.phpページにリダイレクトされることを利用しています。
test_site.rb
require 'metasploit/framework/login_scanner/http'
module Metasploit
module Framework
module LoginScanner
class TestSite < HTTP
LOGIN_STATUS = Metasploit::Model::Login::Status
def get_session_id
login_uri = normalize_uri("#{uri}/testsite/login.php")
res = send_request({'uri' => login_uri})
sid = res.get_cookies.scan(/(PHPSESSID=\w+);*/).flatten[0] || ''
return sid
end
def do_login(username, password)
protocol = ssl ? 'https' : 'http'
peer = "#{host}:#{port}"
login_uri = normalize_uri("#{uri}/testsite/login.php")
res = send_request({
'uri' => login_uri,
'method' => 'POST',
'cookie' => get_session_id,
'headers' => {
'Referer' => "#{protocol}://#{peer}/#{login_uri}"
},
'vars_post' => {
'username' => username,
'password' => password
}
})
if res && res.headers['Location'].include?('index.php')
return {:status => LOGIN_STATUS::SUCCESSFUL, :proof => res.to_s}
end
{:proof => res.to_s}
end
def attempt_login(credential)
result_opts = {
credential: credential,
status: Metasploit::Model::Login::Status::INCORRECT,
proof: nil,
host: host,
port: port,
protocol: 'tcp'
}
result_opts.merge!(do_login(credential.public, credential.private))
Result.new(result_opts)
end
end
end
end
end
保存先
/usr/share/metasploit-framework/lib/metasploit/framework/login_scanner/
auxiliary moduleの作成
auxiliary moduleはユーザーインターフェースのような役割を果たします。
モジュールの動作を記述し、オプションの処理、オブジェクトの初期化、レポート作成などを行います。
auxiliary moduleのテンプレートは次のようになります。
initializeメソッドと空のrun_hostメソッドがあります。
initializeメソッドは、show infoで表示される情報になると思います。
run_hostメソッドが、メインのメソッドになります。
##
# This module requires Metasploit: https://metasploit.com/download
# Current source: https://github.com/rapid7/metasploit-framework
##
require 'metasploit/framework/login_scanner/symantec_web_gateway'
require 'metasploit/framework/credential_collection'
class MetasploitModule < Msf::Auxiliary
include Msf::Exploit::Remote::HttpClient
include Msf::Auxiliary::AuthBrute
include Msf::Auxiliary::Report
include Msf::Auxiliary::Scanner
def initialize(info = {})
super(
update_info(
info,
'Name' => 'Symantec Web Gateway Login Utility',
'Description' => %q{
This module will attempt to authenticate to a Symantec Web Gateway.
},
'Author' => [ 'sinn3r' ],
'License' => MSF_LICENSE,
'DefaultOptions' => {
'RPORT' => 443,
'SSL' => true,
'SSLVersion' => 'TLS1'
}
)
)
end
def run_host(ip)
end
end
initializeメソッドを修正して、LoginScannerオブジェクトを初期化するscannerメソッドを追加します。
##
# This module requires Metasploit: https://metasploit.com/download
# Current source: https://github.com/rapid7/metasploit-framework
##
require 'metasploit/framework/login_scanner/test_site'
require 'metasploit/framework/credential_collection'
class MetasploitModule < Msf::Auxiliary
include Msf::Exploit::Remote::HttpClient
include Msf::Auxiliary::AuthBrute
include Msf::Auxiliary::Report
include Msf::Auxiliary::Scanner
def initialize(info = {})
super(
update_info(
info,
'Name' => 'Test Site Login Utility',
'Description' => %q{
This module will attempt to authenticate to a Test Site.
},
'Author' => [ 'tsuko5963' ],
'License' => MSF_LICENSE,
'DefaultOptions' => {
'RPORT' => 80,
'SSL' => false,
}
)
)
end
def scanner(ip)
@scanner ||= lambda {
cred_collection = Metasploit::Framework::CredentialCollection.new(
password: datastore['PASSWORD'],
username: datastore['USERNAME'],
)
return Metasploit::Framework::LoginScanner::TestSite.new(
configure_http_login_scanner(
host: ip,
port: datastore['RPORT'],
cred_details: cred_collection,
stop_on_success: datastore['STOP_ON_SUCCESS'],
bruteforce_speed: datastore['BRUTEFORCE_SPEED'],
connection_timeout: 5
))
}.call
end
def run_host(ip)
end
end
scannerメソッドの呼び出しを行うbruteforceメソッドと
ログイン成功時のレポートを行うreport_good_credメソッドと
ログイン失敗時のレポートを行うreport_bad_credメソッドを追加します。
test_site_login.rb
##
# This module requires Metasploit: https://metasploit.com/download
# Current source: https://github.com/rapid7/metasploit-framework
##
require 'metasploit/framework/login_scanner/test_site'
require 'metasploit/framework/credential_collection'
class MetasploitModule < Msf::Auxiliary
include Msf::Exploit::Remote::HttpClient
include Msf::Auxiliary::AuthBrute
include Msf::Auxiliary::Report
include Msf::Auxiliary::Scanner
def initialize(info = {})
super(
update_info(
info,
'Name' => 'Test Site Login Utility',
'Description' => %q{
This module will attempt to authenticate to a Test Site.
},
'Author' => [ 'tsuko5963' ],
'License' => MSF_LICENSE,
'DefaultOptions' => {
'RPORT' => 80,
'SSL' => false,
}
)
)
end
def scanner(ip)
@scanner ||= lambda {
cred_collection = Metasploit::Framework::CredentialCollection.new(
password: datastore['PASSWORD'],
username: datastore['USERNAME'],
)
return Metasploit::Framework::LoginScanner::TestSite.new(
configure_http_login_scanner(
host: ip,
port: datastore['RPORT'],
cred_details: cred_collection,
stop_on_success: datastore['STOP_ON_SUCCESS'],
bruteforce_speed: datastore['BRUTEFORCE_SPEED'],
connection_timeout: 5
))
}.call
end
def report_good_cred(ip, port, result)
service_data = {
address: ip,
port: port,
service_name: 'http',
protocol: 'tcp',
workspace_id: myworkspace_id
}
credential_data = {
module_fullname: self.fullname,
origin_type: :service,
private_data: result.credential.private,
private_type: :password,
username: result.credential.public,
}.merge(service_data)
login_data = {
core: create_credential(credential_data),
last_attempted_at: DateTime.now,
status: result.status,
proof: result.proof
}.merge(service_data)
create_credential_login(login_data)
end
def report_bad_cred(ip, rport, result)
invalidate_login(
address: ip,
port: rport,
protocol: 'tcp',
public: result.credential.public,
private: result.credential.private,
realm_key: result.credential.realm_key,
realm_value: result.credential.realm,
status: result.status,
proof: result.proof
)
end
def bruteforce(ip)
scanner(ip).scan! do |result|
case result.status
when Metasploit::Model::Login::Status::SUCCESSFUL
print_brute(:level => :good, :ip => ip, :msg => "Success: '#{result.credential}'")
report_good_cred(ip, rport, result)
when Metasploit::Model::Login::Status::UNABLE_TO_CONNECT
vprint_brute(:level => :verror, :ip => ip, :msg => result.proof)
report_bad_cred(ip, rport, result)
when Metasploit::Model::Login::Status::INCORRECT
vprint_brute(:level => :verror, :ip => ip, :msg => "Failed: '#{result.credential}'")
report_bad_cred(ip, rport, result)
end
end
end
def run_host(ip)
bruteforce(ip)
end
end
保存先
~/.msf4/modules/auxiliary/scanner/http/
実行
Metasploitを起動します。
msfconsole
モジュールを読み込ませます。
[msf](Jobs:0 Agents:0) >> use auxiliary/scanner/http/test_site_login
RHOSTS,USERNAME,PASSWORDを設定します。
[msf](Jobs:0 Agents:0) auxiliary(scanner/http/test_site_login) >> set rhosts 192.168.56.133
rhosts => 192.168.56.133
[msf](Jobs:0 Agents:0) auxiliary(scanner/http/test_site_login) >> set username leia_organa
username => leia_organa
[msf](Jobs:0 Agents:0) auxiliary(scanner/http/test_site_login) >> set password help_me_obiwan
password => help_me_obiwan
実行します。
[msf](Jobs:0 Agents:0) auxiliary(scanner/http/test_site_login) >> run
[+] 192.168.56.133:80 - Success: 'leia_organa:help_me_obiwan'
[!] No active DB -- Credential data will not be saved!
[*] Scanned 1 of 1 hosts (100% complete)
[*] Auxiliary module execution completed
ログインに成功しました。
WireSharkで通信を確認すると、PHPSESSIDを取得するために、GETでリクエストして、その後、POSTでリクエストしています。
GET /testsite/login.php HTTP/1.1
Host: 192.168.56.133
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/131.0.0.0 Safari/537.36
HTTP/1.1 200 OK
Date: Tue, 06 May 2025 07:50:07 GMT
Server: Apache/2.4.58 (Ubuntu)
Set-Cookie: PHPSESSID=51ms1fhvkn5s34l0hrsvsl54qu; path=/
Expires: Thu, 19 Nov 1981 08:52:00 GMT
Cache-Control: no-store, no-cache, must-revalidate
Pragma: no-cache
Vary: Accept-Encoding
Content-Length: 317
Content-Type: text/html; charset=UTF-8
<form action="login.php" method="post">
<label for="username">...............:</label>
<input type="text" id="username" name="username"><br>
<label for="password">...............:</label>
<input type="password" id="password" name="password"><br>
<input type="submit" value="............">
</form>
POST /testsite/login.php HTTP/1.1
Host: 192.168.56.133
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/131.0.0.0 Safari/537.36
Cookie: PHPSESSID=51ms1fhvkn5s34l0hrsvsl54qu
Referer: http://192.168.56.133:80//testsite/login.php
Content-Type: application/x-www-form-urlencoded
Content-Length: 44
username=leia_organa&password=help_me_obiwan
HTTP/1.1 302 Found
Date: Tue, 06 May 2025 07:50:07 GMT
Server: Apache/2.4.58 (Ubuntu)
Expires: Thu, 19 Nov 1981 08:52:00 GMT
Cache-Control: no-store, no-cache, must-revalidate
Pragma: no-cache
Set-Cookie: PHPSESSID=seesrcj3lrdka9vkuighdgm1gd; path=/
Location: ./index.php
Content-Length: 0
Content-Type: text/html; charset=UTF-8