1. Wat is Post-Exploitation?
Post-Exploitation is alles wat je doet nadat je een systeem succesvol hebt gehackt. Een succesvolle hack levert je vaak een Command Shell op. Je begint dan met het onderzoeken van je omgeving (Situational Awareness):
whoami: Welke gebruiker ben ik?ipconfig(Windows) ofifconfig(Linux) : In welk netwerk zit ik?netstat: Welke andere computers praten er met deze computer?
2. Privilege Escalation (PrivEsc)
Meestal kom je na een hack binnen als een "low-privileged user" (zoals de webserver-gebruiker www-data). Je mag dan bijna niks: geen wachtwoorden stelen, geen software installeren en geen logs wissen.
Privilege Escalation is het proces waarbij je zoekt naar configuratiefouten of kwetsbaarheden ín het systeem zélf, om je rechten te verhogen naar root (Linux) of NT AUTHORITY\SYSTEM (Windows).
3. Linux PrivEsc Vectoren
Hoe word je root op een Linux server?
- Sudo configuratiefouten: Soms mag de gebruiker
www-dataspecifiek het commandosudo nmapofsudo vimrunnen zonder wachtwoord. Een slimme hacker kan vanuitvimdirect een root-shell openen! - SUID Binaries: Dit zijn programma's die altijd draaien met root-rechten, ongeacht wie ze uitvoert (zoals
/usr/bin/passwd). Als een hacker een fout vindt in zo'n SUID programma, erft hij die root-rechten. - Cron Jobs: Dit zijn geplande taken. Draait er elke minuut een root-scriptje? Misschien kun je dat script overschrijven met je eigen payload.
4. Windows PrivEsc Vectoren
Hoe word je SYSTEM op een Windows netwerk?
- Unquoted Service Paths: Als een Windows-service opstart vanaf
C:\Program Files\Mijn App\app.exe(zonder aanhalingstekens), en jij kunt een malafide virus opslaan alsC:\Program.exe, dan zal Windows jouw virus uitvoeren als beheerder! - Kernel Exploits: Net als bij webapplicaties, zitten er soms fouten in Windows zelf. Oude Windows-versies kunnen lokaal gehackt worden met tools zoals PrintNightmare.
- Cleartext Passwords in Registry: Vaak laten beheerders per ongeluk wachtwoorden slingeren in de Windows Registry of in Unattend.xml installatiebestanden.
5. Lateral Movement & Pivoting
Een typisch bedrijfsnetwerk heeft meerdere computers (endpoints) en servers (Active Directory Domain Controllers). Zodra je beheerder bent op pc A, kun je "Lateraal Bewegen". Je steelt de inloggegevens van pc A en probeert daar direct mee in te loggen op de belangrijkere server B.
Pivoting betekent dat je een gehackte computer gebruikt als proxy/tussenstation om nóg dieper het interne netwerk in te scannen, plekken waar je vanaf het openbare internet nooit bij kon komen.