---
title: "Operator-Toolkits — Katalog & Referenz · VORNAC Research"
description: "Meterpreter, PowerShell und der erweiterte Pentest-Toolkit-Katalog — empfohlene Defaults pro Slot, ergänzt um Linux- und Python-Operator-Notizen."
url: https://www.vornac.com/research/offensive-tradecraft/operator-toolkits
lang: de
published: 2026-06-02
updated: 2026-06-02
alternate_en: https://www.vornac.com/en/research/offensive-tradecraft/operator-toolkits
---

[Research-Index](https://www.vornac.com/research) / [1 · Offensive Tradecraft](https://www.vornac.com/research/offensive-tradecraft) / Operator-Toolkits — Katalog & Referenz

Referenz · [1 Offensive Tradecraft](https://www.vornac.com/research/offensive-tradecraft)

# Operator-Toolkits — Katalog & Referenz.

Meterpreter, PowerShell und der erweiterte Pentest-Toolkit-Katalog — empfohlene Defaults pro Slot, ergänzt um Linux- und Python-Operator-Notizen.

## Toolkit pro Slot — Standard + Fallback

-   **C2.** Standard Sliver (Open Source, modern, robust). Fallback Cobalt Strike (noch die polierte Baseline, IOC-laut). Mythic für Engagements mit modularen Agent-Bedarf.
-   **Initial Access — Windows.** Standard `InveighZero` für LLMNR/NBT-NS-Responder + `ntlmrelayx`-Kette. Fallback `responder` + `impacket-ntlmrelayx`.
-   **Credential-Dump — Windows.** Standard `nanodump` (PROCEXP152-Style, umgeht viele EDR-LSASS-Hooks). Fallback `secretsdump.py -ntds` via VSS-Shadow-Copy auf DC.
-   **Lateral Movement.** Standard WinRM via `evil-winrm` (am leisesten), dann SMB-Exec via `impacket-psexec`, letzter Ausweg DCOM via `impacket-dcomexec`.
-   **Privilege-Escalation-Enum.** Standard `winPEAS` / `linPEAS`. Fallback `PowerUp.ps1` für Windows-Token-Pfade.
-   **Exfiltration.** Standard DNS über Cloudflare DoH (`iodine`, custom). Fallback HTTPS zu Angreifer-Domain mit valid Let's Encrypt Cert.

## Meterpreter — Kommandos auswendig

-   **Session-Management.** `background`, `sessions -i N`, `sessions -u N` Shell→Meterpreter upgraden, `sessions -K` alle killen.
-   **Pivoting.** `route add 10.10.10.0/24 N`, dann `auxiliary/server/socks_proxy` operator-seitig.
-   **Post-Module.** `post/windows/gather/hashdump`, `post/windows/manage/migrate`, `post/multi/recon/local_exploit_suggester`.
-   **Nicht.** `getsystem` auf EDR-gehärteten Hosts — jede Technik wird geflagged. Stattdessen credential-basierte Pfade.

## PowerShell, die modernes EDR übersteht

-   **AMSI-Bypass.** `amsi.dll!AmsiScanBuffer` in-Memory patchen bevor Payload geladen wird. Signaturen rotieren; aktuellen Loader nutzen.
-   **Constrained-Language-Mode-Escape.** Signierten Binary finden, der angreifer-kontrollierte DLL lädt (DLL-Hijack via signierte COM-/RunDLL-Oberfläche).
-   **Vermeiden: `Invoke-Expression`, `DownloadString`.** Beide ETW-geloggt und signature-matched. Lieber `[Reflection.Assembly]::Load([Convert]::FromBase64String(...))` mit rotierter Obfuskation.
-   **PowerShell-Logging auf Script-Block-Ebene deaktivieren.** ETW patchen via `ntdll!EtwEventWrite`-Hook vor jedem geloggten Kommando.

## Linux-Post-Foothold

-   **Capability-Enum.** `getcap -r / 2>/dev/null`. `cap_setuid`, `cap_dac_read_search`, `cap_sys_admin` sind sofortige Wege zu root.
-   **SUID-Ketten.** `find / -perm -4000 -type f 2>/dev/null`. Jedes Resultat gegen GTFOBins prüfen.
-   **Kernel-Exploit-Auswahl.** `uname -a` + `linux-exploit-suggester.sh`. Nur letzter Ausweg — Kernel-Exploits crashen Hosts, Scope explizit dokumentieren.
-   **Cron + systemd.** `cat /etc/crontab /etc/cron.*/* 2>/dev/null`; `systemctl list-timers`. Beschreibbare Cron-Scripts laufen oft genug als root, um zuerst zu prüfen.
-   **Mount + Path-Injection.** `mount | grep -v nosuid` für fehlende nosuid-Mount-Option; `echo $PATH` für beschreibbare PATH-Einträge vor Root-Kommandos.

**Faustregel**Tool an die defensive Haltung des Hosts anpassen. Cobalt Strike auf vanilla-Defender-Host ist okay. Cobalt Strike auf Crowdstrike-managed Host ist ein schneller Weg, erwischt zu werden. Wissen, was sie betreiben, bevor du lädst.

Domain

[1 · Offensive Tradecraft](https://www.vornac.com/research/offensive-tradecraft)

Stufe

Referenz

Engagement-Phasen

Methodik

Veröffentlicht

2\. Juni 2026

Akronym nachschlagen?

[Glossar öffnen](https://www.vornac.com/glossary)

## Verwandte Notizen in dieser Domain

-   [Featured Umfassende Pentest-Referenz](https://www.vornac.com/research/offensive-tradecraft/comprehensive-pentest-reference)
-   [Featured Pentest-Methodik — kanonische Referenz](https://www.vornac.com/research/offensive-tradecraft/pentest-methodology-canon)
-   [Featured Advanced Pentest & Red Team](https://www.vornac.com/research/offensive-tradecraft/advanced-pentest-and-redteam)
-   [Featured Recon & Discovery](https://www.vornac.com/research/offensive-tradecraft/recon-and-discovery)
-   [Featured Web Server — Angriff & Verteidigung](https://www.vornac.com/research/offensive-tradecraft/web-server-attack-defense)
-   [Featured Active Directory Pentest](https://www.vornac.com/research/offensive-tradecraft/active-directory-pentest)
-   [Featured Internal Pivoting & Lateral Movement](https://www.vornac.com/research/offensive-tradecraft/internal-pivoting)
-   [Referenz Recon-Tooling — Operator-Referenz](https://www.vornac.com/research/offensive-tradecraft/recon-tooling)
-   [Referenz Automatisierung vs. manuelles Testing](https://www.vornac.com/research/offensive-tradecraft/automation-vs-manual)
-   [Background Social Engineering & Phishing](https://www.vornac.com/research/offensive-tradecraft/social-engineering-phishing)
-   [Background Pentester-Grundlagen & CTF-Praxis](https://www.vornac.com/research/offensive-tradecraft/pentester-foundations)

[Vorherige Notiz Recon-Tooling — Operator-Referenz](https://www.vornac.com/research/offensive-tradecraft/recon-tooling) [Zurück zur Domain](https://www.vornac.com/research/offensive-tradecraft) [Nächste Notiz Automatisierung vs. manuelles Testing](https://www.vornac.com/research/offensive-tradecraft/automation-vs-manual)

Von der Referenz zum Befund

## Validieren Sie das in Ihrer eigenen Umgebung.