Wichtige Windows-Befehle und Dateien für Pentesting

Windows Pentest Essentials

Kategorie: Post-Exploitation → Windows Recon & Privilege Escalation

Allgemeine Systeminformationen

systeminfo              # OS-Version, Patches, Hotfixes, Architektur
hostname                # Rechnername
whoami                  # Aktueller Benutzer
whoami /priv            # Aktive Benutzerrechte
whoami /groups          # Gruppenmitgliedschaften
tasklist                # Aktive Prozesse

Benutzer- und Gruppeninformationen

net user                # Liste aller Benutzer
net localgroup          # Liste aller Gruppen
net user <user>         # Details zu einem Benutzer
net localgroup administrators  # Mitglieder der Admin-Gruppe

Dateisystem & Rechte

dir /s /b              # Rekursive Dateisuche
icacls <file|dir>      # Berechtigungen anzeigen
findstr /si password *.txt  # Passwortsuche in Textdateien

Netzwerkanalyse

ipconfig /all          # Netzwerkinfos
netstat -ano           # Verbindungen und Ports
route print            # Routing-Tabelle
arp -a                 # ARP-Cache

Services und Tasks

sc queryex type= service state= all  # Alle Dienste
schtasks /query /fo LIST /v          # Geplante Tasks mit Details

Registry – Interessante Pfade

HKLM\Software\Microsoft\Windows\CurrentVersion\Run           # Autostarts
HKCU\Software\Microsoft\Windows\CurrentVersion\Run           # User-Autostarts
HKLM\SYSTEM\CurrentControlSet\Services                         # Dienste
HKLM\SAM                                                        # Lokale Kontoinformationen (NTLM Hashes)

PowerShell Hilfsbefehle

Get-Command               # Liste aller verfügbaren Cmdlets
Get-Help <cmd>            # Hilfe zu einem Cmdlet
Get-ExecutionPolicy       # PowerShell-Restriktionen

Tools & Methoden

  • Seatbelt.exe: Sammeln von Informationen über Berechtigungen, Richtlinien, Token usw.

  • PowerUp.ps1: Privilege Escalation Checks (lokal, Dienste, Registry usw.)

  • SharpUp: .NET-Version von PowerUp

  • AccessChk.exe: Zeigt Zugriffsrechte auf Dateien, Prozesse, Registry etc.

  • winPEAS: Automatisierte Enumeration

Typische Privilege Escalation-Vektoren

  • Unquoted Service Paths

  • Schwach konfigurierte Dienste mit Schreibrechten

  • AlwaysInstallElevated Policy

  • Autostart-Registry Keys mit Schreibrechten

  • In-Memory Injection (z. B. über PowerShell)

  • DLL Hijacking

  • Kernel Exploits (selten, aber möglich)

Hilfreiche Dateien & Orte

C:\Program Files
C:\ProgramData
C:\Users\<username>\AppData\Roaming
C:\Users\<username>\AppData\Local
C:\Users\<username>\Desktop
C:\Windows\Tasks
C:\Windows\Temp

Tipp: Verwende winPEAS.bat oder winPEASany.exe, um automatisiert alle relevanten Informationen für die Eskalation zu erhalten.

PreviousLinpeasNextPrivilege escalation

Last updated