⛔ [DÉPRÉCIÉ] Actif sur https://github.com/XiaoliChan/wmiexec-Pro

wmiexec-RegOut

Version modifiée de wmiexec.py et wmipersist.py d'impacket. Récupère la sortie (données, réponse) depuis le registre, pas besoin de connexion SMB, mais je suis dans du mauvais code :(

Table des matières

• Aperçu
• Prérequis
• Utilisation
• Aide-mémoire
• À faire
• Références

Remerciements particuliers à :

• @rootclay, wechat: _xiangshan

Aperçu

Dans le wmiexec.py original, il récupère la réponse via la connexion SMB (ports 445,139). Malheureusement, certains antivirus surveillent ces ports comme étant à haut risque.
Dans ce cas, j'ai supprimé la fonction de connexion SMB et j'utilise d'autres méthodes pour exécuter des commandes.

• wmiexec-reg-sch-UnderNT6-wip.py : Exécute une commande en utilisant la classe win32-scheduledjob. Selon xiangshan, la classe win32-scheduledjob ne fonctionne que sous Windows NT6 (Windows Server 2003).
  D'ailleurs, win32_scheduledjob est désactivée par défaut après Windows NT6. Voici comment l'activer.

Key: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\Configuration 
Name: EnableAt 
Type: REG_DWORD
Value: 1

• wmipersist-wip.py (Hautement recommandé, fonctionne uniquement avec impacket v0.9.24!!!) : Une version Python de WMIHACKER, dont j'ai extrait le modèle VBS. Un attaquant peut l'utiliser pour effectuer un mouvement latéral en toute sécurité sous un antivirus en cours d'exécution.

• wmiexec-regOut.py : Juste un exemple simple de la méthode Win32_Process.create.

Comment ça fonctionne ?

• Flux de travail de wmiexec-wip.py :

  Étape 1 :

  • Authentification WMIC à distance

  Étape 2 :

  • Utiliser la classe win32process et appeler la méthode create pour exécuter une commande. Ensuite, écrire le résultat dans le répertoire C:\windows\temp sous le nom [uuid].txt

  Étape 3 :

  • Encoder le contenu du fichier en chaînes base64 (nécessite quelques secondes d'attente)

  Étape 4 :

  • Ajouter la chaîne base64 convertie dans le registre, avec le nom de clé [uuid]

  Étape 5 :

  • Récupérer les chaînes base64 à distance et les décoder localement.

• Flux de travail de wmipersist-wip.py :

  Étape 1 :

  • Ajouter un script VBS personnalisé dans la classe ActiveScriptEventConsumer.

  Étape 2 :

  • Créer un filtre d'événements.

  Étape 3 :

  • Déclencher la classe FilterToConsumerBinding pour PWNED!

Prérequis

Généralement, il suffit d'installer l'impacket officiel.

• Portail

Utilisation

• Utilisation de wmiexec-wip.py :

  Avec mot de passe en clair

  root@kitploit:~

  python3 wmiexec-reg.py administrator:[email protected] 'whoami'
  

  

  Avec hashs NTLM

  root@kitploit:~

  python3 wmiexec-reg.py -hashes e91d2eafde47de62c6c49a012b3a6af1:e91d2eafde47de62c6c49a012b3a6af1 [email protected] 'whoami'
  

  

• Utilisation de wmipersist-wip.py (Par défaut sans sortie) :

  Avec mot de passe en clair (sans sortie)

  root@kitploit:~

  python3 wmipersist-wip.py administrator:[email protected] 'command'
  

  

  Avec hashs NTLM

  root@kitploit:~

  python3 wmipersist-wip.py -hashes e91d2eafde47de62c6c49a012b3a6af1:e91d2eafde47de62c6c49a012b3a6af1 [email protected] 'whoami'
  

Aide-mémoire

• N'oubliez pas de nettoyer le répertoire temporaire après avoir exécuté une commande avec sortie.
  Commande : del /q /f /s C:\windows\temp\*
  

• La commande inclut des guillemets doubles.
  Mettez les guillemets doubles à l'intérieur de guillemets simples wevtutil cl '"security"'
  

À faire

• Nouvelle version de la boîte à outils WMI, bientôt disponible :)

Références

• https://github.com/SecureAuthCorp/impacket/blob/master/examples/wmiexec.py
• https://github.com/360-Linton-Lab/WMIHACKER
• https://github.com/FortyNorthSecurity/WMIOps
• https://docs.microsoft.com/en-us/windows/win32/cimwin32prov/operating-system-classes