Pentesting y generación de exploits con Metasploit

Abstract

El propósito de este trabajo es planificar y documentar las diferentes etapas y técnicas realizadas en un proceso de pentesting, así como estudiar el framework Metasploit para integrar y ejecutar los exploits desarrollados. Empezamos con el escaneo, identificación y análisis de vulnerabilidades de un sistema remoto, continuamos con la creación de un exploit que nos permita tomar ventaja de una vulnerabilidad para acceder a dicho sistema, sobre el cual examinamos las posibles acciones de post-explotación que podemos realizar para intentar tomar control del sistema; y, finalmente, ofrecemos un conjunto de medidas que ayuden a mitigar los problemas de seguridad detectados.

El propòsit d'aquest treball és planificar i documentar les diferents etapes i tècniques realitzades en un procés de pentesting, així com estudiar el framework Metasploit per a integrar i executar els exploits desenvolupats. Comencem amb l'escaneig, identificació i anàlisi de vulnerabilitats d'un sistema remot, continuem amb la creació d'un exploit que ens permeti prendre avantatge d'una vulnerabilitat per a accedir a aquest sistema, sobre el qual examinem les possibles accions de post-explotació que podem realitzar per a intentar prendre control del sistema; i, finalment, oferim un conjunt de mesures que ajudin a mitigar els problemes de seguretat detectats.

The purpose of this work is to plan and document the different phases and techniques realized in a pentesting process, as well as the study of Metasploit framework to integrate and execute the developed exploits. We start with the scanning, identification and analysis of vulnerabilities of a remote system, we continue with the creation of an exploit that allows us to take advantage of a vulnerability to access to this system, on which we examine the possible post-exploitation actions that we can perform to try to take control of the system; then finally, we offer a set of techniques that help to mitigate the security problems detected.