Ps exec (kontrollera annan dator LAN)

[.RIHTT]

Hej.

Jag har en xp-terminal inom mitt lokala LAN som ej svarar på lokal input. 
Ctrl-Alt-Del   ger menyvalet  

 Men man kan ej nå task manager för att avsluta processen.

(det är meningen att slutanvändarna inte ska kunna göra det här by design....
Litet bakslag för en tekniker dock   ) 

Man kan dock ta logout, shutdown samt reboot. 
Men det är lika sofistikerat som att stänga av/på  strömknappen i princip. 


Hade jag haft radmin server eller liknande installerat på datorn kunde man ju busenkelt upprättat terminalfönster mot den.
Men nu kan jag ju inte det. 

Så dök denna video upp i mitt minne.
Framspolat:  3: 38
 

Ingen barnlek.
Men han förklarar iaf att med ett substitut för psexec- kunde upprätta session meterpreter till sin frysta dator
från ett annat system. Och döda processen.

Hur han lyckades är dock vårt projekt att lösa. 
Jag antar fjärrdatorn måste lyssna på nätverkstrafik, då all lokal input är inaktiverat.
Hur han fick en payload exekverad, och vilken sort är främsta pusslet att lösa.




PS Kommentar.
Varför SysInternals PsExec inte nödvändigtvis kommer fungera för mig:

"As with many of the tools in the PsTools suite, PsExec's ability to run processes remotely requires that both the local and remote computers have file and print sharing (i.e., the Workstation and Server services) enabled

and that the default Admin$ share (a hidden share that maps to the \windows directory) is defined on the remote system. "


 

Redigerad September 6, 2016 av .RIHTT
kompletterande

[.RIHTT]

PS.  Detta program är inte XP-specifikt, stödjer NT 4. -  framåt


Update:
Hade ett nytt ärende, där jag fick chansen att prova på psexec.


Bakgrund:
En klient-terminal på ett hotell har en imagebyggd windows7
Den har automatisk windows logon *behöver ej ange användare vid start
Den sitter på ett eget subnät med statisk ip.
Efter en händelse (troligen strömbortfall,störningar)
gick 2st  terminaler ner.

Blåskärm på den ena, och nu stod plötsligt den här Windows7-klienten i ett utloggat läge.
liknande Bild

Det gick heller inte logga in med varken förslagen "Användaren" eller att ange
"Administrator" som det bör vara.


Omstarter gav samma resultat.
Är den hackad?  Har någon användare plötsligt mixtrat med konton?


Åtgärder:
Start i felsäkert läge testades utan framgång.
Övervägde UEFI/USB Boot då lokal rescue_partition saknas.
Maskinen svarade på ping.
Det gick dock inte slå upp katalog från en enhet som tidigare gjort det:

\\dator
\\dator\c$    <--- hidden share på admin



Försök med PSExec:
Upprättade från samma enhet som innan, psexec i kommandotolken och fick åtminstone
en respons, negativ sådan. Åtkomst nekad.

Provade en del allmänna utan resultat.
Man kan framkalla att cmd körs på fjärrsystemet med högre behörigheter:

psexec \\remote -u remote\administrator

Testade alternativa user-switchar och argument med antingen nekad åtkomst eller inget svar.
Började bli trött och kvällen närmade sig (utan lunch) !
Då gav jag upp psexec och istället testade om  enhet2 kunde göra databasuppslag på den...


enhet2  &   Försök2    (SQL   WTF!?)

start applikation
server kontakt etablerad (!)
read/write success.

Helt otroligt. Enhet 2  kunde arbeta med normal prestanda mot sql-servern som finns på den låsta datorn.
Men psecex kunde inte göra ett dugg*
Jag antog då att i utloggat läge så låser windows7 ute det mesta.   +  UAC.

Därefter tog jag till en beprövad backdoor med utilman.exe hacket
Systemdisken monterades som slave, backup togs på kritiska filer.
Skiftade namn på utilman och cmd.
Bootade om.

Då vid login-screen fick jag äntligen fram kommandotolken och tog mig in:
 

net users

net user administrator *

Listade först utifall någon ändrat/adderat användare.
blanksteg och *   ger möjlighet att ange nytt lösen till adminkontot och detta skriver man i blindo vilket kan förvilla första gången. 



*Förklaring/Efterspel

psexec ska kunna köras som SYSTEM på målsystemet. Vilket jag provade.
Detta hjälpte förmodligen inte pga att  UAC som man isf bör komma åt först:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System

ska sättas till 1 på

LocalAccountTokenFilterPolicy 

*SQL fungerade pga att brandväggen tillåter det. port 1433.

Så kan jag rekommendera psexec? njae troligen inte.