Servisler ve WMI üzerinden uzaktan çalıştırma
PsExec, SMBExec ve WMI istemcileri gibi araçlar yönetici kimlik bilgileriyle başka bir makinede süreç başlatır. Hedef makinede süreç services.exe'nin (onun için bir servis oluşturulduysa) ya da WMI provider host'un (WmiPrvSE.exe) alt süreci olarak görünür. Kayıtlarda beş böyle başlangıç var. Temiz Windows 10 istemcisinde services.exe'nin başlattığı 90 süreç var: svchost.exe, kurulum programları, güncelleme servisleri ve servis olarak çalışan diğer yazılımlar. Uzaktan yapılan beş başlangıcı bulun.
İpucu 1
ParentImage süreci başlatan programdır. Servis olarak çalışmak için yazılmış programlar nadiren komut kabuğudur.
İpucu 2
Uzaktan yapılan her başlangıç bir kabuk değildir: PsExec kendi servis programı PSEXESVC.exe üzerinden çalışır, WMI de herhangi bir programı başlatabilir.
Servisler ve WMI üzerinden uzaktan çalıştırmaya karşı nasıl savunulur
Kural bu tarayıcıda çalışır; geri döndüğünüzde bulmanız için burada saklanır.
Olaylar
2.245 olay. Arama yalnızca tabloyu süzer, sonucu etkilemez.