WMIexec

Ensemble de scripts Python qui réalisent différentes façons d'exécuter des commandes via le protocole WMI.

Article de blog

https://whiteknightlabs.com/2023/06/26/navigating-stealthy-wmi-lateral-movement/

Utilisation

wmiexec_scheduledjob.py

Est un script Python qui s'authentifie auprès d'une instance WMI distante et exécute des commandes via les tâches planifiées.

Pour exécuter le script :

python3 wmiexec_scheduledjob.py -i <ip_address> -u <username> -p <password> -c <command>

wmiexec_win32process.py

Est un script Python qui s'authentifie auprès d'une instance WMI distante et exécute des commandes via Win32_Process.

Pour exécuter le script :

python3 wmiexec_win32process.py -i <ip_address> -u <username> -p <password> -c <command>

webserver_ssl.py

Est un script Python qui crée un serveur HTTPS (avec un certificat SSL auto-signé). Utilisé pour exfiltrer la sortie de la commande.

Avant d'exécuter le serveur HTTP, assurez-vous de générer les certificats en exécutant :

openssl genpkey -algorithm RSA -out server.key
openssl req -new -key server.key -out server.csr
openssl x509 -req -days 365 -in server.csr -signkey server.key -out server.crt

Si tout est fait correctement, le serveur tournera sans erreur :

python3 webserver_ssl.py

Démo

Crédits

https://github.com/XiaoliChan/wmiexec-RegOut
https://learn.microsoft.com/en-us/windows/win32/cimwin32prov/win32-scheduledjob

Auteur

Kleiton Kurti (@kleiton0x00)