Das Problem

Bei Untersuchungen mit geringer Auswirkung und ähnlichen Aktivitäten möchte man möglicherweise minimieren, was auf die Festplatte geschrieben wird / offensichtlich ist.

Dieses Tool ermöglicht es uns, Befehle über WMI auszuführen und Informationen zu erhalten, die über diesen Kanal sonst nicht verfügbar sind.

Zweck

Ein kleines Dienstprogramm, das ausschließlich WMI verwendet, um

Shell-Befehle auszuführen
stdout dieser Befehle zu erfassen und in die Registrierung zu schreiben
aus der Registrierung zu lesen und anschließend zu löschen
auf dem lokalen stdout auszugeben

Design

Das Tool besteht aus:

einem sehr kleinen Teil der internen Kernbibliothek der NCC Group (WMICore)
der Befehlsausführung (WMIcmd)

Verwendung

C:\Data\NCC\!Code\Git.Public\WMIcmd\WMIcmd\bin\Debug>WMIcmd.exe --help
NCC Group WMIcmd 1.0.0.0
Released under AGPL

  -h, --host            Host (IP address or hostname - default: localhost)

  -u, --username        Username to authenticate with

  -p, --password        Password to authenticate with

  -d, --domain          Domain to authenticate with

  -v, --Verbose         (Default: False) Prints all messages to standard
                        output.

  -c, --Command         (Default: ) Command to run e.g. "nestat-ano"

  -s, --CommandSleep    (Default: 10000) Command sleep in milliseconds -
                        increase if getting truncated output

  --help                Display this help screen.

Beispiel – eine nicht der Domäne beigetretene Maschine

Hinweis: Verwenden Sie administrative Anmeldeinformationen

WMIcmd.exe -h 192.168.1.165 -d hostname -u localadmin -p theirpassword -c "netstat -an"

Beispiel – einer Domäne beigetretene Maschine

Hinweis: Verwenden Sie administrative Anmeldeinformationen

WMIcmd.exe -h 192.168.1.165 -d domain -u domainadmin -p theirpassword -c "netstat -an"

Beispiel für erwartete Ausgabe

Hinweis: Verwenden Sie administrative Anmeldeinformationen

C:\Data\NCC\!Code\Git.Public\WMIcmd\WMIcmd\bin\Debug>WMIcmd.exe -d win10host -h win10host -u superuser -p password -c "netstat -an"
[!] Connecting with superuser
[i] Connecting to win10host
[i] Connected
[i] Command: netstat -an
[i] Running command...
[i] Getting stdout from registry from SOFTWARE\
[i] Full command output received
Active Connections
Proto  Local Address          Foreign Address        State
TCP    0.0.0.0:135            0.0.0.0:0              LISTENING
TCP    0.0.0.0:445            0.0.0.0:0              LISTENING
TCP    0.0.0.0:5357           0.0.0.0:0              LISTENING
TCP    0.0.0.0:5985           0.0.0.0:0              LISTENING
TCP    0.0.0.0:7680           0.0.0.0:0              LISTENING
TCP    0.0.0.0:18800          0.0.0.0:0              LISTENING
TCP    0.0.0.0:47001          0.0.0.0:0              LISTENING
TCP    0.0.0.0:49152          0.0.0.0:0              LISTENING
TCP    0.0.0.0:49153          0.0.0.0:0              LISTENING
TCP    0.0.0.0:49154          0.0.0.0:0              LISTENING
TCP    0.0.0.0:49664          0.0.0.0:0              LISTENING
TCP    0.0.0.0:49665          0.0.0.0:0              LISTENING
TCP    0.0.0.0:49666          0.0.0.0:0              LISTENING
TCP    0.0.0.0:49667          0.0.0.0:0              LISTENING
TCP    0.0.0.0:49668          0.0.0.0:0              LISTENING
TCP    0.0.0.0:49669          0.0.0.0:0              LISTENING
TCP    0.0.0.0:49671          0.0.0.0:0              LISTENING
TCP    0.0.0.0:49713          0.0.0.0:0              LISTENING
.. snip ..

WMIcmd

Beliebteste

Das Problem

Zweck

Design

Verwendung

Beispiel – eine nicht der Domäne beigetretene Maschine

Beispiel – einer Domäne beigetretene Maschine

Beispiel für erwartete Ausgabe