Meterpreter

Définition

Meterpreter est l'agent de post-exploitation avancé du Metasploit Framework, injecté en mémoire dans les processus des systèmes compromis via des exploits Metasploit. Contrairement à un simple shell inversé (reverse shell), Meterpreter est un agent complet avec des capacités étendues de post-exploitation, une communication chiffrée TLS, et une architecture de plugins extensible — tout cela sans écrire de fichier sur le disque de la cible. Meterpreter fonctionne par injection réflective : le payload Meterpreter est injecté dans un processus existant (explorer.exe, notepad.exe) via le mécanisme de reflective DLL loading, sans créer de nouveau processus ni écrire de fichier. Toutes les communications avec le C2 Metasploit (msf) sont chiffrées en TLS. Le protocol de communication est propriétaire (basé sur TLV — Type Length Value) et bidirectionnel. Les commandes Meterpreter couvrent toutes les phases de post-exploitation : système (sysinfo, getuid, getpid, ps, kill), fichiers (upload, download, edit, search), réseau (ifconfig, route, netstat, portfwd pour le port forwarding, socks pour le pivot SOCKS5), elévation de privilèges (getsystem — tente plusieurs techniques d'escalade locale), credentials (hashdump pour les hashes SAM, load kiwi pour Mimikatz intégré), persistance (run persistence pour backdoors), pivoting (route add pour le routage via la session, run auxiliary/server/socks5), et extensions (load extapi, load espia, load incognito pour la manipulation de tokens). Les extensions Meterpreter peuvent être chargées à la demande : load kiwi (Mimikatz), load mimikatz, load extapi (fonctions Windows avancées), load espia (screenshots, webcam), et load incognito (manipulation de tokens d'impersonation pour escalade de privilèges via token stealing).