Mit der Veröffentlichung von Metasploit Community konnte Rapid7 zum zweijährigen Firmenjubiläum mit einer Überraschung aufwarten. Am 18.Oktober 2011 stellte HD Moore diese Version der Community vor.
Mit Metasploit Pro hatte Rapid7 eine bewährte Plattform für professionelle Penetrationstester und IT-Experten geschaffen. Viele kleinere Unternehmen können sich diese Software auf Grund ihrer wirtschaftlichen Situation aber nicht leisten und nutzten stattdessen weiterhin das Metasploit Framework.
Um auch diese Nutzer eine einfache end effektive Suche nach Schwachstellen in ihren IT-Systeme zu ermöglichen, hat Rapid7 sich entschlossen eine Community-Version zu veröffentlichen.
Gleichzeitig sichert sie zu, dass das Metasploit-Framework auch weiterhin den interessierten Nutzern kostenlos zur Verfügung gestellt wird. Das wird insbesondere die Softwareentwickler und Skript-Schreiber gefreut haben, die auch weiterhin auf eine leistungsstarke Plattform zur Erstellung von benutzerdefinierte Tools und Exploits bauen wollen.
Ab der Version 4.1 wird die Metasploit-Community-Version mit einem gemeinsamen Installer ausgestattet, die das Metasploit Framework beinhaltet. Ähnlich wie Nexpose Community kann Metasploit Community nun sowohl privat als auch kommerziell kostenlos heruntergeladen und genutzt werden. Somit erhalten interessierte Anwender eine grafische Benutzeroberfläche, die der kommerziellen Version Metasploit Pro entspricht. Somit wird eine einfache Auswahl der Ziele sichergestellt. Nach erfolgreicher Infiltrierung können die einzelnen Sessions verwaltet und alle verfügbaren Module zur Post-Exploitation genutzt werden.
Folgende minimalen Anforderungen werden an das System gestellt:
- 2 GHz+ CPU
- 2 GB RAM (4 GB empfohlen)
- 500MB+ verfügbaren Festplattenplatz
- 10/100 Mbps Netzwerkkarte
Folgende Betriebssysteme können genutzt werden:
- Windows XP, 2003, Vista, 2008 Server, and Windows 7
- Red Hat Enterprise Linux 5.x, 6.x – x86 and x86_64
- Ubuntu Linux 8.04, 10.04 – x86 and x86_64
Folgende Browser können eingesetzt werden:
- Mozilla Firefox 4.0+
- Microsoft Internet Explorer 9
- Google Chrome 10+
Als Unterschied zu Metasploit Pro können in Metasploit Community keine Sozial-Engineering Angriffe (Campaigns) geplant oder erstellt werden. Eine automatische Untersuchung von Webapplikationen auf Schwachstellen und ist ebenfalls nicht möglich. Weiterhin sind die Möglichkeiten zum automatisierten Einsatz von Modulen bzw. der Bruteforce-Tools stark eingeschränkt. Metasploit Community ist auf die Nutzung von 32 IP-Adressen beschränkt. Dies ist insbesondere zu beachten wenn man plant, diese Software innerhalb größerer Netzwerksegmente einzusetzen.
Besonders gut ist die Nexpose-Integration gelungen. Somit ist man z.B. in der Lage, einen Nmap-Portscan innerhalb eines Netzwerkes durchzuführen und danach ausgewählte Hosts mittel Nexpose Community einer Prüfung zu unterziehen. Die Ergebnisse werden automatisch in Metasploit übernommen und angezeigt.
Voraussetzung dafür ist, dass auf dem gleichen oder einem anderen System, Nexpose Community installiert ist und die Zugangsdaten dafür in Metasploit Community hinterlegt sind.
Die folgenden Videos zeigen die Vorgehensweise in einer Testumgebung:
Teil 1 zeigt die Einstellungen zur Nutzung von NeXpose Community und den Scan mittels Nmap. Danach werden die Ergebnisse automatisch in Metasploit Community übernommen und dargestellt.
[youtube LJT-y1aizys]
Teil 2 zeigt die Nutzung der Exploits. Folgendes Exploits werden eingesetzt:
exploit/multi/samba/usermap_script für den HOst mit der IP- Adresse: 192.168.222.129
exploit/windows/smb/ms08_067_netapi für den Host mit der IP-Adresse: 192.168.222.70
[youtube NAE9U-0VZXA]