当前位置：首页 > news >正文

CS内网渗透 ----【内网渗透实战】PsExec vs Telnet：建立IPC通道实现横向移动与域控上线全解析

news 来源：原创 2025/7/6 5:39:14

1. 什么是 PsExec？

2. 什么是 Telnet？

3. PsExec 与 Telnet 的区别及优势

3.1 主要区别

3.2 内网渗透中的优势

4. 实际案例 —— 使用 PsExec 上线域控主机

案例背景

操作步骤

案例效果

5. 总结

利用 PsExec 建立 IPC 通道 —— IPC 的定义、关系与实际应用

1. 什么是 IPC？

1.1 IPC 的基本概念

1.2 IPC$ 共享的作用

2. PsExec 与 IPC 的关系

2.1 PsExec 的工作原理

2.2 关系说明

3. 内网渗透中的实际应用

3.1 实际使用场景

3.2 具体使用方法示例

示例 1：通过 PsExec 使用明文密码建立 IPC$ 连接

示例 2：利用 NTLM 哈希进行 PTH 攻击并建立 IPC$ 通道

3.3 应用优势总结

4. 总结

PsExec 在内网渗透中的应用，包括如何使用 PsExec、它与 Telnet 的区别以及 PsExec 在横向移动、上线域控主机等场景中的优势。最后附上一个企业中实际的案例，帮助你充分理解和掌握该工具的使用方法。

1. 什么是 PsExec？

PsExec 是 Microsoft Sysinternals 套件中的一款工具，允许在远程 Windows 系统上执行命令和启动交互式 shell。其主要特点包括：

无需安装客户端：只需在本地系统上运行 PsExec，即可在目标主机上远程执行命令。
利用 SMB 协议传输：通过 SMB 共享文件复制及执行远程命令，无需预先在目标主机上安装服务。
支持凭证传递：可指定域用户和密码，帮助实现远程认证。
支持输出重定向：可以将远程命令的输出直接显示在本地控制台上。

2. 什么是 Telnet？

Telnet 是一种较老的远程登录协议，允许用户通过命令行界面与远程系统交互。其特点如下：

基于明文传输：所有数据均未加密，存在安全隐患。
功能有限：主要用于建立基本的远程会话，不支持文件复制或更复杂的任务。
默认不启用：现代 Windows 系统默认不启用 Telnet 服务，且许多网络环境中会被防火墙阻断。

3. PsExec 与 Telnet 的区别及优势

3.1 主要区别

安全性：
- Telnet：明文传输，易被窃听，安全性低。
- PsExec：使用 SMB 协议，可结合 Windows 内置身份验证机制，相对安全（但仍需注意凭证保护）。
功能性：
- Telnet：仅提供基本的远程命令行会话。
- PsExec：支持远程执行、文件传输、交互式 shell 以及输出重定向，还可指定高权限运行。
部署需求：
- Telnet：目标主机需启用 Telnet 服务，且可能受防火墙限制。
- PsExec：只需目标主机开放 SMB（通常在内网中默认开放），无需额外服务安装。

3.2 内网渗透中的优势

高隐蔽性与灵活性：
PsExec 能利用域用户凭证远程执行命令，通常不需要安装额外的代理，降低了被检测的风险。
凭证复用与横向移动：
当企业内部存在口令复用问题时，PsExec 可利用已获得的域用户凭证（包括通过 PTH 攻击提取的哈希或明文密码）在内网中迅速横向移动。
适用于控制域控主机：
由于域控主机通常允许 SMB 连接和远程命令执行，PsExec 成为上线域控的常用工具。它可以借助正确的域凭证直接在域控上启动命令提示符，实现进一步的权限扩散和内网控制。

4. 实际案例 —— 使用 PsExec 上线域控主机

案例背景

在某企业内网渗透过程中，你已成功获得一台普通工作站的管理员权限，并通过 Mimikatz 提取到了域用户“DOMAIN\jdoe”的明文密码或 NTLM 哈希。你发现“DOMAIN\jdoe”在多个系统中存在口令复用现象，并且域控主机允许 SMB 远程命令执行。接下来，你计划利用 PsExec 上线域控主机，从而实现对整个域的控制。

操作步骤

准备工作：
- 确保你有 PsExec 工具（可从 Microsoft Sysinternals 官网下载）。
- 验证目标域控主机的 IP 地址（例如：192.168.1.100）。
- 获得“DOMAIN\jdoe”的有效凭证（例如密码：Passw0rd! 或对应 NTLM 哈希）。
使用明文密码登录（示例）： 打开命令提示符，执行以下命令：
```
psexec.exe \\192.168.1.100 -u DOMAIN\jdoe -p Passw0rd! cmd
```
- 该命令会在目标域控主机上启动一个 CMD 进程，并将输出重定向到本地窗口。
使用 NTLM 哈希（PTH 攻击示例）： 如果你仅获得了 NTLM 哈希，可以使用类似的工具（如 Impacket 的 psexec.py）来实现 PTH：
```
python psexec.py DOMAIN/jdoe@192.168.1.100 -hashes :<NTLM哈希>
```
- 替换 <NTLM哈希> 为实际提取到的哈希值。成功后，你将获得域控主机的远程命令行。
验证权限： 在获得远程命令行后，输入以下命令确认身份：
```
whoami
```
- 如果显示“NT AUTHORITY\SYSTEM”或“DOMAIN\jdoe”且具备管理员权限，则表示上线成功。

案例效果

横向移动成功： 通过利用口令复用及 PsExec，你成功从普通工作站横向移动至域控主机。
控制扩散： 取得域控主机访问权限后，便可进一步提取更多凭证、部署持久化后门，最终实现对整个企业内网的控制。

5. 总结

PsExec 的作用：
PsExec 是一款高效、灵活的远程命令执行工具，利用 SMB 协议实现无需在目标主机预装软件的远程操作，非常适合在内网渗透中使用。
与 Telnet 的区别：
- 安全性： Telnet 明文传输，而 PsExec 利用 Windows 认证机制；
- 功能性： Telnet 仅限简单会话，PsExec 支持文件传输、交互式命令以及高权限执行；
- 部署需求： Telnet 需目标启用服务，而 PsExec 利用内置 SMB 协议，适用范围更广。
PsExec 优势：
在内网横向移动和凭证复用中，PsExec 能利用域凭证快速上线关键系统（如域控主机），为进一步控制整个网络奠定基础。
实际案例总结：
案例中，通过获取“DOMAIN\jdoe”的凭证并利用 PsExec（或 Impacket 的 psexec.py），成功从一台工作站横向移动至域控主机，证明了利用口令复用与 PTH 攻击在实际企业内网渗透中的高效性。

了解并掌握 PsExec 的使用方法和优势，有助于在内网渗透测试和红队演练中实现更精确的横向移动和控制扩散，同时也提醒防御方加强 SMB 认证及日志监控以防范此类攻击。

利用 PsExec 建立 IPC 通道 —— IPC 的定义、关系与实际应用

在内网渗透中，使用 PsExec 建立 IPC 通道是实现远程命令执行的关键步骤。下面详细说明 IPC 的定义、它与 PsExec 的关系，以及在内网渗透中这两者的实际使用。

1. 什么是 IPC？

1.1 IPC 的基本概念

IPC（Inter-Process Communication） 指的是进程间通信，它允许不同进程之间交换数据或消息。
在 Windows 系统中，IPC$ 是一个特殊的隐藏共享目录，用于支持远程管理和进程间通信。
- 该共享通常由系统自动创建，供管理工具（如 PsExec）使用，以建立到目标系统的 SMB（Server Message Block）连接。

1.2 IPC$ 共享的作用

远程连接：管理员或工具可以通过 IPC$ 共享连接到远程系统，进行管理操作。
凭证验证：通过该共享，系统能验证用户凭证，从而允许远程执行命令和文件传输。

2. PsExec 与 IPC 的关系

2.1 PsExec 的工作原理

PsExec 是一个远程命令执行工具，它利用 SMB 协议与目标系统建立连接。
在建立连接时，PsExec 会默认连接到目标系统的 IPC$ 共享，以便获取远程命令执行所需的访问权限。

2.2 关系说明

依赖关系：
- PsExec 必须通过 IPC$ 共享来建立与目标系统的远程连接，因为该共享提供了一个可以进行管理和控制的通道。
通信通道：
- 通过 IPC$，PsExec 能够传输必要的文件和命令，最终在目标系统上创建一个进程来执行命令。

3. 内网渗透中的实际应用

3.1 实际使用场景

横向移动：
- 攻击者在内网中获得初步权限后，利用已知的域用户凭证，通过 PsExec 建立 IPC$ 连接，实现对其他主机的远程命令执行。
远程命令执行：
- 利用 IPC$ 通道上传执行文件或命令，进而在目标主机上打开交互式 shell，从而执行进一步的渗透操作。

3.2 具体使用方法示例

示例 1：通过 PsExec 使用明文密码建立 IPC$ 连接

psexec.exe \\192.168.1.50 -u DOMAIN\username -p Password cmd

步骤说明：
- 该命令会连接到目标 IP 为 192.168.1.50 的主机。
- PsExec 利用 SMB 协议自动连接到目标系统的 IPC$ 共享。
- 成功后，在目标主机上启动一个 CMD 进程，实现远程命令执行。

示例 2：利用 NTLM 哈希进行 PTH 攻击并建立 IPC$ 通道

使用 Impacket 的 psexec.py：

python psexec.py DOMAIN/username@192.168.1.50 -hashes :<NTLM_Hash>

步骤说明：
- 此命令通过 NTLM 哈希而非明文密码进行身份验证。
- 同样依赖 IPC$ 共享来建立 SMB 连接，实现远程命令执行。

3.3 应用优势总结

隐蔽性高： 利用内网中现有的 SMB 协议和 IPC$ 共享，远程连接不容易引起注意。
操作简便： 无需在目标系统上预装额外的客户端软件，只要目标主机开放了 SMB（通常在内网中默认开放）。
扩展性好： 能够利用 IPC$ 通道在整个内网中横向移动，进而实现对多个系统的控制。

4. 总结

IPC$ 共享在 Windows 系统中充当了远程管理和进程间通信的关键通道，供管理工具和渗透工具使用。
PsExec 依赖于 IPC$ 共享来建立 SMB 连接，实现远程命令执行，是内网渗透中常用的工具。
实际应用中，通过 PsExec 建立 IPC$ 通道后，攻击者可以利用已知凭证或哈希，在内网中迅速横向移动，实现对目标主机（如域控、关键服务器）的远程控制。

掌握了 IPC 的概念和其在 PsExec 中的应用，有助于理解和利用内网中现有的网络管理机制进行高效渗透，同时也提醒防御方重视 SMB/IPC$ 共享的安全配置和访问控制。

1. 什么是 PsExec？

2. 什么是 Telnet？

3. PsExec 与 Telnet 的区别及优势

3.1 主要区别

3.2 内网渗透中的优势

4. 实际案例 —— 使用 PsExec 上线域控主机

案例背景

操作步骤

案例效果

5. 总结

利用 PsExec 建立 IPC 通道 —— IPC 的定义、关系与实际应用

1. 什么是 IPC？

1.1 IPC 的基本概念

1.2 IPC$ 共享的作用

2. PsExec 与 IPC 的关系

2.1 PsExec 的工作原理

2.2 关系说明

3. 内网渗透中的实际应用

3.1 实际使用场景

3.2 具体使用方法示例

示例 1：通过 PsExec 使用明文密码建立 IPC$ 连接

示例 2：利用 NTLM 哈希进行 PTH 攻击并建立 IPC$ 通道

3.3 应用优势总结

4. 总结

相关文章：