Wichtige Windows-Befehle und Dateien für Pentesting

Windows Pentest Essentials

Kategorie: Post-Exploitation → Windows Recon & Privilege Escalation

---

Allgemeine Systeminformationen

systeminfo              # OS-Version, Patches, Hotfixes, Architektur
hostname                # Rechnername
whoami                  # Aktueller Benutzer
whoami /priv            # Aktive Benutzerrechte
whoami /groups          # Gruppenmitgliedschaften
tasklist                # Aktive Prozesse

---

Benutzer- und Gruppeninformationen

net user                # Liste aller Benutzer
net localgroup          # Liste aller Gruppen
net user <user>         # Details zu einem Benutzer
net localgroup administrators  # Mitglieder der Admin-Gruppe

---

Dateisystem & Rechte

dir /s /b              # Rekursive Dateisuche
icacls <file|dir>      # Berechtigungen anzeigen
findstr /si password *.txt  # Passwortsuche in Textdateien

---

Netzwerkanalyse

ipconfig /all          # Netzwerkinfos
netstat -ano           # Verbindungen und Ports
route print            # Routing-Tabelle
arp -a                 # ARP-Cache

---

Services und Tasks

sc queryex type= service state= all  # Alle Dienste
schtasks /query /fo LIST /v          # Geplante Tasks mit Details

---

Registry – Interessante Pfade

HKLM\Software\Microsoft\Windows\CurrentVersion\Run           # Autostarts
HKCU\Software\Microsoft\Windows\CurrentVersion\Run           # User-Autostarts
HKLM\SYSTEM\CurrentControlSet\Services                         # Dienste
HKLM\SAM                                                        # Lokale Kontoinformationen (NTLM Hashes)

---

PowerShell Hilfsbefehle

Get-Command               # Liste aller verfügbaren Cmdlets
Get-Help <cmd>            # Hilfe zu einem Cmdlet
Get-ExecutionPolicy       # PowerShell-Restriktionen

---

Tools & Methoden

• Seatbelt.exe: Sammeln von Informationen über Berechtigungen, Richtlinien, Token usw.

• PowerUp.ps1: Privilege Escalation Checks (lokal, Dienste, Registry usw.)

• SharpUp: .NET-Version von PowerUp

• AccessChk.exe: Zeigt Zugriffsrechte auf Dateien, Prozesse, Registry etc.

• winPEAS: Automatisierte Enumeration

---

Typische Privilege Escalation-Vektoren

• Unquoted Service Paths

• Schwach konfigurierte Dienste mit Schreibrechten

• AlwaysInstallElevated Policy

• Autostart-Registry Keys mit Schreibrechten

• In-Memory Injection (z. B. über PowerShell)

• DLL Hijacking

• Kernel Exploits (selten, aber möglich)

---

Hilfreiche Dateien & Orte

C:\Program Files
C:\ProgramData
C:\Users\<username>\AppData\Roaming
C:\Users\<username>\AppData\Local
C:\Users\<username>\Desktop
C:\Windows\Tasks
C:\Windows\Temp

---

Tipp: Verwende winPEAS.bat oder winPEASany.exe, um automatisiert alle relevanten Informationen für die Eskalation zu erhalten.