Comprendre en un coup d’œil
- Outil d’administration à distance : PsExec permet d’exécuter des commandes sur des systèmes Windows distants sans installation préalable.
- Exécution de commandes à distance : L’outil utilise les partages réseau et le service RPC pour déployer des processus de façon transparente.
- Compte LOCAL SYSTEM : Avec l’option
-s, PsExec peut s’exécuter avec les privilèges élevés du système, allant au-delà des administrateurs locaux. - Outils Sysinternals : Gratuit et publié par Microsoft, PsExec fait partie du pack PSTools, facile à déployer et à intégrer aux scripts.
- Sécurité : Bien que pratique, l’outil est souvent détecté comme malveillant car couramment utilisé par les attaquants, nécessitant des ajustements dans les politiques antivirus.
Un serveur plante en pleine nuit. Plutôt que d’enfiler une veste et de braver le froid pour rejoindre le datacenter, un administrateur ouvre calmement son terminal. Quelques frappes, une connexion sécurisée, et la commande s’exécute à distance comme s’il était devant la machine. Ce genre de scénario, ce n’est pas de la science-fiction. Il repose sur des outils discrets mais redoutablement efficaces, capables de transformer une intervention physique en simple ligne de commande. Parmi eux, PsExec tient une place à part.
Comprendre le fonctionnement de PsExec dans l’administration Windows
Un pont direct vers les systèmes distants
PsExec n’a pas besoin d’installer un agent sur la machine cible. Il exploite les partages réseau Windows et le service Remote Procedure Call (RPC) pour déployer temporairement un mini-service sur le système distant. Ce dernier exécute la commande demandée, puis se retire. L’outil redirige en temps réel les entrées et sorties, offrant une interactivité complète, y compris pour les processus graphiques.
Contrairement à des solutions lourdes comme Telnet, PsExec est extrêmement léger – un seul exécutable de quelques centaines de ko. Il s’intègre parfaitement aux scripts d’automatisation. Pour personnaliser l’aspect visuel de vos interfaces de gestion, l’utilisation de ressources comme 01kitsgraphiques.com peut s’avérer très utile.
- ✅ Pas d’installation client : fonctionne en mode agentless
- ✅ Redirection complète des flux d’entrée/sortie
- ✅ Exécution transparente via les partages ADMIN ou C
- ✅ Intégration aisée aux scripts batch ou PowerShell
Prérequis et installation du pack PSTools
Accéder aux outils Sysinternals
PsExec fait partie de la suite PSTools, développée initialement par Sysinternals, puis rachetée et officiellement publiée par Microsoft. Le pack est gratuit, ne nécessite pas d’installation et peut être téléchargé directement depuis le site de Microsoft. Une fois extrait, il suffit de placer psexec.exe dans un répertoire inclus dans la variable d’environnement PATH pour pouvoir l’appeler depuis n’importe quel terminal.
Configuration réseau et droits d’accès
Le bon fonctionnement de PsExec repose sur plusieurs conditions techniques. Le partage de fichiers et d’imprimantes doit être activé sur la machine distante. Le service Server (Service de serveur) doit être démarré. Enfin, l’accès au partage administratif ADMIN$ doit être possible avec des identifiants disposant de droits d’administrateur local.
Même avec un compte admin, l’UAC (Contrôle de compte d’utilisateur) peut bloquer certaines opérations à distance. Il est donc crucial de bien configurer les stratégies locales ou d’utiliser des méthodes d’authentification adaptées.
Maîtriser la syntaxe et les commandes courantes
Exécuter une invite de commande à distance
La syntaxe de base est simple : psexec \nom_machine cmd. Cela ouvre une session CMD sur la machine distante. Pour spécifier des identifiants, on utilise les options -u et -p. Par exemple : psexec \srv01 -u admin -p motdepasse cmd.
Il est possible de lancer des commandes ponctuelles sans ouvrir de session interactive : psexec \client05 ipconfig /all retourne la configuration réseau directement dans la console locale.
Le déploiement de logiciels en masse
PsExec devient particulièrement puissant lorsqu’il est combiné avec un fichier texte listant les machines cibles. En utilisant un script ou une boucle FOR, on peut déployer un installeur silencieux sur des dizaines de postes en quelques minutes.
Par exemple : for /f %i in (liste_pc.txt) do psexec \%i -d msiexec /i "\serveur\logiciel.msi" /quiet. Le commutateur -d permet de ne pas attendre la fin de l’exécution, accélérant le déploiement.
Utilisation avancée : le privilège LOCAL SYSTEM
Prendre les pleins pouvoirs avec le commutateur -s
L’un des atouts majeurs de PsExec est la possibilité d’exécuter des processus avec les droits du compte SYSTEM, un niveau de privilège supérieur même aux administrateurs locaux. Cela s’obtient avec l’option -s : psexec -s cmd.
Cette capacité est cruciale pour accéder à des clés de registre protégées, modifier des fichiers système verrouillés ou analyser des services critiques. Mais elle doit être utilisée avec précaution : une erreur sous ce contexte peut rendre un système inopérable.
Interagir avec la session utilisateur
Le commutateur -i permet d’afficher l’interface graphique du processus lancé directement sur l’écran de l’utilisateur connecté. C’est particulièrement utile pour le support technique : afficher un message d’alerte, lancer une application interactive ou guider un utilisateur à distance.
Par exemple : psexec \poste03 -i -u utilisateur cmd ouvre une invite de commande dans la session de l’utilisateur spécifié. Attention toutefois à ne pas interférer avec un travail en cours.
Comparatif des méthodes d’administration à distance
| Outil | Rapidité de mise en œuvre | Sécurité native | Interopérabilité |
|---|---|---|---|
| PsExec | Très rapide – aucun prérequis | Faible – authentification en clair | Windows uniquement |
| PowerShell Remoting | Modérée – configuration WinRM requise | Élevée – chiffrement intégré | Windows, Linux (PowerShell 7) |
| SSH | Variable – dépend de l’OS | Élevée – chiffrement standard | Multiplateforme |
| RDP | Rapide – natif Windows | Moyenne – dépend de la configuration | Windows, clients légers |
Ce tableau montre que PsExec brille par sa simplicité et sa rapidité, surtout sur des parcs anciens. Mais il pâtit d’un manque de sécurité intrinsèque. PowerShell Remoting, bien que plus complexe à configurer, offre une meilleure robustesse et une intégration moderne. SSH s’impose sur les environnements hétérogènes, tandis que RDP reste incontournable pour le support utilisateur.
- PsExec : idéal pour les interventions ponctuelles
- PowerShell : recommandé pour l’automatisation sécurisée
- SSH : incontournable en environnement multi-OS
Bonnes pratiques et limites de l’outil
Éviter les blocages par les antivirus
PsExec est régulièrement détecté comme un outil malveillant par les solutions EDR (Endpoint Detection and Response). Pourquoi ? Parce qu’il est couramment utilisé par les attaquants pour exécuter des commandes à distance. Cette détection en fait un faux positif fréquent.
La solution ? Ajouter psexec.exe aux exclusions de l’antivirus, mais uniquement sur les postes administrateurs. Une autre approche consiste à signer l’exécutable avec un certificat interne, renforçant sa légitimité aux yeux du système de sécurité. Mine de rien, la gestion des outils légitimes mais puissants demande autant de rigueur que celle des menaces.
Les questions standards des clients
J’ai souvent l’erreur ‘Access is denied’ alors que je suis admin, pourquoi ?
L’erreur “Access denied” survient même avec un compte admin en raison du filtrage UAC sur les connexions distantes. Par défaut, les droits d’administrateur sont réduits lorsqu’on accède à un système via le réseau. Pour contourner ce blocage, il faut modifier la stratégie locale “Accès au compte d’ordinateur depuis le réseau” ou utiliser un compte membre du groupe “Administrateurs intégrés”.
Est-il possible d’utiliser PsExec sans taper le mot de passe en clair dans la console ?
Oui, il est possible d’éviter de saisir le mot de passe en clair. On peut utiliser des variables d’environnement chiffrées ou intégrer PsExec à des coffres-forts de mots de passe comme Hashicorp Vault ou Azure Key Vault. Certains scripts PowerShell permettent aussi de gérer l’authentification de façon sécurisée sans exposer les identifiants.
L’antivirus de mon entreprise a supprimé psexec.exe, est-ce un malware ?
Non, PsExec n’est pas un malware. Il s’agit d’un outil légitime publié par Microsoft. Cependant, sa puissance d’exécution à distance en fait une cible de choix pour les attaquants, ce qui explique sa détection fréquente par les antivirus. Il s’agit généralement d’un faux positif, mais il est recommandé de vérifier l’intégrité du fichier via sa signature numérique officielle.
Quelles sont les conditions légales d’utilisation de cet outil en entreprise ?
L’outil PsExec est soumis à la licence Microsoft Sysinternals, qui autorise son usage gratuit, y compris en entreprise. Toutefois, son utilisation doit respecter les politiques internes de sécurité. Toute exécution sur un système doit être tracée, justifiée et encadrée par une politique d’accès. Son usage abusif peut engager la responsabilité de l’administrateur.