Payloads: Staged vs. Stageless und Meterpreter

Ein Payload ist der Code, der nach einem erfolgreichen Exploit auf dem Ziel ausgeführt wird. Er bestimmt, was der Angreifer erhält: eine Shell, Befehlsausführung, Dateizugriff oder einen voll ausgestatteten Agenten wie Meterpreter.

Stageless-Payloads (/) enthalten alles in einer einzigen Binärdatei – sie sind größer, aber einfacher und benötigen nach der ersten Übertragung keinen Netzwerk-Callback. Staged-Payloads (//) senden zunächst einen winzigen Stager, der die zweite Stufe vom Handler herunterlädt.

Verwenden Sie stageless, wenn das Ziel nach dem ersten Exploit keinen Internetzugang oder Zugriff auf den Handler hat – der Payload muss in sich abgeschlossen sein. Verwenden Sie staged, wenn Sie einen kleineren initialen Payload wünschen und eine zuverlässige Verbindung zum Handler vorhanden ist.

Meterpreter ist der fortschrittliche Payload von Metasploit. Er läuft vollständig im Arbeitsspeicher, verwendet verschlüsselte Kommunikation und stellt eine umfangreiche API bereit: Dateisystemzugriff, Prozessmigration, Keylogging, Screenshot-Erstellung und Pivoting.

Wichtige Meterpreter-Befehle für die Post-Exploitation umfassen Systeminformationen, Prozesslisten, Dateioperationen und Netzwerkfunktionen.

Migrieren Sie den Meterpreter-Prozess in einen stabileren oder weniger verdächtigen Prozess (z. B. explorer.exe unter Windows). Dadurch können auch Berechtigungen erweitert werden, wenn die Migration in einen Prozess mit höheren Rechten erfolgt.

msfvenom erzeugt eigenständige Payload-Dateien (EXE, ELF, APK, Shellcode) zur Übertragung per Phishing, USB-Datenträger oder Web-Shell in autorisierten Tests.

Das Auxiliary-Modul multi/handler empfängt Reverse-Shell-Verbindungen. Konfigurieren Sie es vor der Übertragung des Payloads mit demselben Payload, LHOST und LPORT, die Sie in msfvenom verwendet haben.

msfvenom-Encoder können Payloads verschleiern, um eine grundlegende signaturbasierte AV-Erkennung zu umgehen. Hinweis: Moderne EDR-Systeme verwenden Verhaltenserkennung – Encoder allein reichen gegen fortschrittliche Schutzmechanismen nicht aus.

Reverse-Payloads verbinden sich vom Ziel zum Angreifer (besser geeignet für NAT und Firewalls). Bind-Payloads lauschen auf dem Ziel – der Angreifer verbindet sich mit ihnen. Reverse wird in den meisten Szenarien bevorzugt.

Verteidiger erkennen Meterpreter anhand von Netzwerk-Signaturen (C2-Datenverkehrsmuster), durch Speicher-Scanning (Artefakte der reflektiven DLL-Injektion) und mittels Verhaltensanalyse (Process Hollowing, ungewöhnliche Eltern-Kind-Beziehungen).

Wodurch unterscheidet sich ein Staged-Payload in Metasploit von einem Stageless-Payload?

Wählen Sie Staged-Payloads für eine geringe anfängliche Größe und Stageless-Payloads für eine in sich abgeschlossene Übertragung. Meterpreter ist der leistungsfähigste Payload für die Post-Exploitation: Er läuft im Arbeitsspeicher, kommuniziert verschlüsselt und ist erweiterbar. Verwenden Sie msfvenom zum Erzeugen eigenständiger Binärdateien und konfigurieren Sie immer multi/handler, um Callbacks zu empfangen.