Windows 横向移动：WMI 与 PsExec 远程执行检测

发表于：2025-06-28|最后更新：2025-07-02|分类：内网与渗透测试|阅读：2417 次

攻击者获取域内一台主机权限后，常利用 WMI（Win32_Process.Create）或 PsExec 服务方式在域内批量远程执行，落地勒索或窃密工具。

一、基于事件日志检测远程进程创建

powershell

# 检测 WMI 远程进程创建（事件 ID 4688 中父进程为 WmiPrvSE.exe）
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4688} |
    Where-Object { $_.Message -match 'WmiPrvSE.exe' } |
    Select-Object TimeCreated, Message

# 检测 PsExec 服务安装痕迹（事件 ID 7045，服务名含 PSEXESVC）
Get-WinEvent -FilterHashtable @{LogName='System'; Id=7045} |
    Where-Object { $_.Message -match 'PSEXESVC' }