PowerView im Kontext von PowerSploit

PowerSploit bündelt Recon, Codeausführung, Persistenz und Prüfbausteine in einem konsistenten Set.

Der Ordner PowerSploit gehört in einen Pfad aus

Für Benutzerkontexte empfiehlt sich

systemweit dagegen

Ein kurzer Einzeiler entfernt danach die Markierung heruntergeladener Dateien, um Rückfragen der Shell zu verhindern:

Das Modul wird anschließend mit Import-Module PowerSploit geladen. Welche Funktionen bereitstehen, zeigt

Wer nur die Recon-Funktionen benötigt, kann den Unterordner Recon isoliert importieren. Sollte die Ausführungsrichtlinie blockieren, lässt sich diese temporär per

anpassen – in regulierten Umgebungen selbstverständlich dokumentiert und nur für den Prüfzeitraum aktiv.

Domänenrahmen abstecken und Suchraum präzisieren

Die Bestandsaufnahme beginnt mit dem Namensraum. Get-Domain bestätigt die Arbeitsdomäne, Get-DomainController liefert Informationen zu den Domänencontrollern und Replikationspartner. Mit Get-Forest sowie Get-ForestDomain und Get-ForestGlobalCatalog entsteht ein Gesamtüberblick über die Forest-Struktur.

PowerView arbeitet LDAP-nah und filtert Attribute serverseitig – ein Vorteil für Performance und Skalierbarkeit in großen Multi-Site-Umgebungen. Get-DomainUser ohne Parameter listet alle Benutzer, mit Parametern lassen sich gezielte Abfragen ausführen:

• Privilegierte Konten:Get-DomainUser -AdminCount

• Delegationsregeln:Get-DomainUser -AllowDelegation bzw. -DisallowDelegation

• Kerberos-Preauth:Get-DomainUser -KerberosPreauthNotRequired

Die Abgrenzung auf Organisationseinheiten läuft direkt über LDAP. Ein typischer Aufruf lautet

Komplexere Filter erzwingt -LDAPFilter, etwa

Die Authentisierung kann abweichen, etwa in getrennten Admin‑Forests, dann greift ein Anmeldeobjekt als Parameter:

Für Einzelfälle mit eindeutiger Identität trennt PowerView sauber nach samAccountName, SID, DN oder GUID, Wildcards inklusive. Die Ausgabe lässt sich wie gewohnt mit Select-Object“ und Format-List weiter strukturieren.

Gruppen, Mitgliedschaften und Objektkontrolle

Das Cmdlet Get-DomainGroup liefert Zielobjekte, Get-DomainGroupMember -Identity „Domain Admins“ zeigt Admins, Get-DomainManagedSecurityGroup hilft bei dynamischen Konstellationen.

Entscheidend für Sicherheitsprüfungen sind Berechtigungen und Objektkontrolle:

• ACLs anzeigen:Get-DomainObjectAcl

• Auffällige Rechte identifizieren:Find-InterestingDomainAcl

• ACLs ändern (nur autorisiert):Add-DomainObjectAcl

• Besitzverhältnisse prüfen:Set-DomainObjectOwner

Diese Kombination erlaubt reproduzierbare Härtungstests ohne zusätzliche Dritttools und ist damit ein zentraler Bestandteil strukturierter AD-Audits.

Computer, Sitzungen und lokale Angriffsflächen

Get-DomainComputer inventarisiert, Get-DomainComputer -Ping | Select-Object name,operatingsystem trennt erreichbar von offline. Kontext entsteht über aktive Nutzersessions.

Get-NetLoggedon -ComputerName fileserver.contoso.local und Get-NetSession -ComputerName fileserver.contoso.local verknüpfen Identitäten mit konkreten Hosts.

Auf dem Knoten selbst liefern Get-NetLocalGroup -ComputerName server01 und Get-NetLocalGroupMember -ComputerName server01 wichtige Informationen. Für Freigaben im gesamten Netz arbeitet Invoke-ShareFinder breit und schnell, gezielte Suchen nach sensiblen Artefakten beschleunigt Find-InterestingDomainShareFile -Include pass.

Ob administrativer Zugriff auf einem Ziel tatsächlich greift, prüft Test-AdminAccess -ComputerName server02. So entsteht aus wenigen Bausteinen ein konsistentes Bild aktiver Angriffsflächen und Fehlkonfigurationen, das sich direkt in Maßnahmen überführen lässt.

Trusts, Richtlinien und Domänenpolitik

Grenzen einer Domäne sind selten die Grenzen des Risikos. Get-DomainTrust und Get-ForestTrust zeichnen Vertrauenspfade nach und öffnen den Blick für laterale Bewegungen über Domänengrenzen. Get-DomainGPO liefert die GPO‑Objekte, die Abbildungen auf lokale Gruppen zeigen Get-DomainGPOLocalGroup, Get-DomainGPOUserLocalGroupMapping sowie Get-DomainGPOComputerLocalGroupMapping. Ergänzend liest Get-DomainPolicy die Domänenrichtlinie aus, um Kennwort‑ und Sperrregeln oder Signaturzwänge zuverlässig zu beurteilen.

Operative Muster für große Umgebungen

In der Praxis hat sich eine Kombination verschiedener Befehle bewährt:

Zuerst die Kandidatenwahl über Get-DomainUser -AdminCount -AllowDelegation -Properties samaccountname,distinguishedname,lastlogon“.

Danach die Auflösung der Gruppenketten über Get-DomainGroupMember -Identity „Server Operators“ oder vergleichbare Gruppen, jeweils mit anschließender Schnittmenge zur Kandidatenliste.

Abschließend die Host‑Korrelation über Get-NetSession auf den ermittelten Serversystemen.

So entstehen konkrete, prüfbare Befunde statt langer Rohdatensammlungen. Für Querschnittsanalysen über mehrere Child‑Domains baut -Domain die Bindung an einen spezifischen DC auf, bei Bedarf mit -Server für direkte Verbindung zu einem definierten Domänencontroller. Große Resultsets bleiben performant, wenn -Properties nur wirklich benötigte Attribute lädt, -ResultPageSize bei Bedarf angehoben wird und die Projektion früh im Pipeline‑Verlauf erfolgt.

Zusammenspiel mit ergänzenden Werkzeugen

PowerView bildet den Kern, andere Tools erweitern den Kontext.

• BloodHound visualisiert PowerView-Daten und erleichtert komplexe Beziehungsanalysen.

• SharpHound sammelt strukturierte Daten auf Windows-Knoten.

• CrackMapExec prüft SMB-Freigaben und Remotezugriffe.

• Kerberos-Tests: Mit Get-DomainSPNTicket oder Invoke-Kerberoast lassen sich Kerberos-Schwachstellen untersuchen – selbstverständlich nur im autorisierten Rahmen.

Diese Kombination steigert Aussagekraft und Nachvollziehbarkeit, ohne redundante Scans oder riskante Eingriffe zu verursachen.

Praxisnahe Beispielstrecke als zusammenhängender Ablauf

Ein realistischer Ablauf könnte wie folgt aussehen:

• 1. Laden des Moduls: „Import-Module PowerSploit“ und der

• 2. Basiserkundung: Get-Domain und Get-DomainController.

• 3. Privilegierte Konten prüfen: Get-DomainUser -AdminCount -AllowDelegation -Properties samaccountname,lastlogon

• 4. OU‑Konzentration setzen: Get-DomainUser -SearchBase „LDAP://OU=Server,OU=Prod,DC=contoso,DC=local“ -Properties samaccountname,distinguishedname“.

• 5. Kontrolle über Gruppenobjekte untersuchen: Find-InterestingDomainAcl

• 6. Erreichbarkeit und OS‑Lage prüfen: Get-DomainComputer -Ping | Select-Object name,operatingsystem

• 7. Identitäten mit Hostrealität verbinden: Get-NetLoggedon und Get-NetSession

• 8. Freigaben kartiern: Invoke-ShareFinder

• 9. Sensible Artifakte aufdecken: Find-InterestingDomainShareFile -Include pass

• 10. Administrative Zugänge validieren: Test-AdminAccess -ComputerName server02

• 11. Governance analysieren: Get-DomainTrust und Get-DomainGPO

Die gesamte Strecke bleibt reproduzierbar, skriptbar und revisionssicher, da jede Abfrage und jeder Filter im Protokoll eindeutig ist.

Fazit

PowerView ist weit mehr als ein Recon-Tool: Es liefert eine präzise, auditierbare Sicht auf Active Directory und ermöglicht Administratoren wie Sicherheitsteams, komplexe Umgebungen nachvollziehbar zu dokumentieren und Schwachstellen gezielt zu beheben.

In Verbindung mit ergänzenden Werkzeugen wie BloodHound oder CrackMapExec entsteht ein belastbares Gesamtbild, das Transparenz in sonst schwer überschaubare AD-Strukturen bringt – vorausgesetzt, der Einsatz erfolgt verantwortungsvoll und im autorisierten Rahmen.

Definition

Was ist Active Directory?