Atomic Red Team项目PsExec远程执行命令问题分析与解决方案

问题背景

在使用Atomic Red Team项目进行安全测试时，测试人员发现T1569.002技术项（使用PsExec在远程主机上执行命令）无法正常工作。该测试原本设计用于模拟攻击者使用PsExec工具在远程系统上执行命令的行为，但在实际执行过程中遇到了技术障碍。

问题现象

当测试人员尝试执行以下命令时：

Invoke-AtomicTest -AtomicTechnique T1569.002 -TestGuids 873106b7-cfed-454b-8680-fa9f6400431c -InputArgs @{"remote_host" = [FQDN]; "user_name" = [USER]; "password" = [PASSWORD]}

系统返回错误信息：

PathToAtomicsFolder = C:\AtomicRedTeam\atomics
Executing test: T1569.002-1 Use PsExec to execute a command on a remote host
The filename, directory name, or volume label syntax is incorrect.
Exit code: 1
Done executing test: T1569.002-1 Use PsExec to execute a command on a remote host

根本原因分析

经过深入分析，发现该问题由多个因素共同导致：

1. 执行器配置问题：原测试使用command_prompt作为执行器，但在某些环境下对路径解析存在问题。

2. PsExec参数不完整：新版本PsExec需要额外的交互式会话标志(-i)才能正常工作。

3. 权限问题：测试需要在提升权限的PowerShell环境中运行，但原测试缺少相应的前提条件检查。

4. 默认值问题：默认的remote_host值(\localhost)在域环境中可能无法正常工作。

解决方案

针对上述问题，我们提出以下改进方案：

1. 修改执行器类型： 将执行器从command_prompt改为powershell，以提供更强大的路径解析能力。

2. 更新PsExec命令：

& "PathToAtomicsFolder\..\ExternalPayloads\PsExec.exe" -i \\#{remote_host} -u #{user_name} -p #{password} -accepteula "C:\Windows\System32\calc.exe"

关键改进点：

• 添加&符号确保PowerShell正确解析可执行文件路径
• 添加-i参数确保新版本PsExec正常工作
• 使用完整路径引用PsExec.exe

3. 权限要求说明： 在测试文档中明确说明需要提升权限的PowerShell环境。

4. 默认值调整： 建议修改默认的remote_host值，使其在域环境中也能正常工作。

技术细节

1. PsExec参数解析： 新版本PsExec对参数要求更加严格，-i参数用于指定交互式会话，这在GUI应用程序执行时尤为重要。calc.exe作为图形界面程序，必须使用-i参数才能在远程会话中正确显示。

2. PowerShell与Cmd差异： PowerShell对路径和特殊字符的处理与Cmd有所不同。使用&调用操作符可以确保外部可执行文件被正确识别和执行，特别是在路径包含空格或特殊字符时。

3. 域环境考量： 在域环境中，使用简单的localhost引用可能无法正确解析。建议使用完全限定域名(FQDN)或确保网络路径引用格式正确。

实施建议

1. 对于测试开发人员： 建议更新Atomic Red Team项目中的相关YAML文件，采用上述改进方案。

2. 对于测试执行人员：

• 确保使用提升权限的PowerShell
• 验证PsExec版本并确认参数兼容性
• 在域环境中使用FQDN而非localhost
• 检查防火墙设置，确保PsExec通信不受阻

总结

通过对Atomic Red Team项目中PsExec远程执行测试的深入分析，我们识别了多个影响测试执行的技术问题，并提出了针对性的解决方案。这些问题反映了实际环境中工具版本差异、执行环境配置和权限要求等常见挑战。建议项目维护者采纳这些改进建议，以确保测试在不同环境下都能可靠执行。