Metasploit Framework

01무엇이고, 어떤 일을 하나

• 모듈의 지원 제품·버전·전제 조건을 읽는다.
• 진단 결과와 실제 재현 조건의 차이를 확인한다.
• 시험 전후의 패킷·프로세스·경보를 대응 관점에서 비교한다.

02어떤 순서로 동작하나

1. 모듈 선택과 적합성

   Framework가 모듈의 메타데이터·옵션·지원 대상을 읽는다. Auxiliary·Exploit·Payload 등의 범주는 서로 다른 기능이며 모듈 존재가 대상의 취약성을 뜻하지 않는다.

2. 구성 결합

   사용자가 정한 시험 범위와 모듈 옵션을 적용하고 필요한 경우 대상 플랫폼에 맞는 Payload·연결 처리 구성을 결합한다. 플랫폼·권한·프로토콜 조건이 맞아야 의도한 시험이 된다.

3. 작업과 세션 관리

   콘솔과 Framework가 작업 상태·출력·발생한 세션을 관리한다. 세션이 만들어진 경우에도 그 권한과 기능은 선택한 동작 및 대상 상태에 따라 달라진다.

4. 증거·복구 연결

   허가된 격리 시험의 도구 출력과 대상 로그·프로세스·서비스 영향을 비교한다. 성공 문구 하나를 관리자 권한·탐지 우회·전체 시스템 침해의 동일한 증거로 사용하지 않는다.

03먼저 알아둘 용어와 구성요소

Exploit module

특정 취약점의 성립 조건과 동작을 구현한 모듈.

Auxiliary

스캐너 등 여러 보조 시험 동작을 제공하는 모듈 범주.

Payload

실행 기회가 생긴 뒤 수행할 동작을 표현하는 구성 요소.

Session

시험 대상과 만들어진 상호작용 상태로 그 자체가 모든 권한의 증거는 아니다.

msfconsole

Framework의 모듈·작업을 다루는 콘솔 인터페이스.

Exploit

특정 취약 조건을 다루는 모듈 범주.

Meterpreter

세션을 통해 상호작용하는 Payload 계열로 Framework 전체와 동일하지 않다.

04예제로 따라가기

• 모듈이 Windows용이라고 명시되면 같은 서비스 이름의 Linux 대상에 자동 적용할 수 있다고 판단하지 않는다.
• 프로세스 연결 흔적이 남아도 전체 관리자 권한을 얻었다는 결론에는 별도 권한 증거가 필요하다.
• msfvenom으로 만든 출력이 인코딩되어 있어도 모든 보안 제품의 탐지를 피한다는 뜻은 아니다. 형식 변환과 악성 행위의 은폐는 다른 문제다.

05혼동하기 쉬운 점과 확인 기준

• 프레임워크의 설치나 모듈 존재는 대상이 취약하다는 증거가 아니다.
• 모듈 종류와 부작용을 확인하지 않은 자동 실행은 격리 시험에서도 서비스 중단을 일으킬 수 있으므로 내용 이해와 검증 범위를 우선한다.

06상세 노트 · 실습 자료

헤더 구조, 설정 예시, 수치 계산과 수업 캡처는 아래 노트에서 이어집니다.