⛔ [अप्रचलित] सक्रिय https://github.com/XiaoliChan/wmiexec-Pro पर

wmiexec-RegOut

impacket wmiexec.py, wmipersist.py का संशोधित संस्करण। रजिस्ट्री से आउटपुट (डेटा, प्रतिक्रिया) प्राप्त करता है, SMB कनेक्शन की आवश्यकता नहीं है, लेकिन मैं खराब कोड में हूं :(

विषय सूची

• अवलोकन
• आवश्यकताएँ
• उपयोग
• चीटशीट
• करने योग्य
• संदर्भ

विशेष धन्यवाद:

• @rootclay, wechat: _xiangshan

अवलोकन

मूल wmiexec.py में, यह smb कनेक्शन (पोर्ट 445,139) से प्रतिक्रिया प्राप्त करता है। दुर्भाग्य से, कुछ एंटीवायरस सॉफ़्टवेयर इन पोर्ट्स को उच्च जोखिम के रूप में निगरानी कर रहे हैं।
इस मामले में, मैं smb कनेक्शन फ़ंक्शन को हटा देता हूं और कमांड निष्पादित करने के लिए अन्य विधियों का उपयोग करता हूं।

• wmiexec-reg-sch-UnderNT6-wip.py: win32-scheduledjob क्लास का उपयोग करके कमांड निष्पादित किया गया। xiangshan के अनुसार, win32-scheduledjob क्लास केवल विंडोज NT6 (विंडोज-सर्वर 2003) के अंतर्गत काम करता है।
  वैसे, win32_scheduledjob विंडोज NT6 के बाद डिफ़ॉल्ट रूप से अक्षम कर दिया गया है। इसे सक्षम करने का तरीका यहां दिया गया है।

Key: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\Configuration 
Name: EnableAt 
Type: REG_DWORD
Value: 1

• wmipersist-wip.py (अत्यधिक अनुशंसित, !!!केवल impacket v0.9.24 पर काम करता है!!!): WMIHACKER का एक Python संस्करण, जिसमें से मैंने vbs टेम्पलेट लिया। हमलावर इसका उपयोग एंटीवायरस-सॉफ़्टवेयर चल रहे होने पर सुरक्षित रूप से पार्श्व आंदोलन करने के लिए कर सकता है।

• wmiexec-regOut.py: बस एक सरल Win32_Process.create विधि उदाहरण।

यह कैसे काम करता है?

• wmiexec-wip.py कार्यप्रवाह:

  चरण 1:

  • WMIC दूरस्थ रूप से प्रमाणित हुआ

  चरण 2:

  • win32process क्लास का उपयोग करें और कमांड निष्पादित करने के लिए create विधि को कॉल करें। फिर, परिणाम को C:\windows\temp निर्देशिका में [uuid].txt नाम से लिखें।

  चरण 3:

  • फ़ाइल सामग्री को base64 स्ट्रिंग्स में एन्कोड करें (कुछ सेकंड प्रतीक्षा करनी होगी)

  चरण 4:

  • परिवर्तित base64 स्ट्रिंग को रजिस्ट्री में जोड़ें, और कुंजी नाम [uuid] कहें

  चरण 5:

  • base64 स्ट्रिंग्स को दूरस्थ रूप से प्राप्त करें और इसे स्थानीय रूप से डिकोड करें।

• wmipersist-wip.py कार्यप्रवाह:

  चरण 1:

  • ActiveScriptEventConsumer क्लास में कस्टम vbs स्क्रिप्ट जोड़ें।

  चरण 2:

  • एक इवेंट फ़िल्टर बनाएँ।

  चरण 3:

  • FilterToConsumerBinding क्लास को ट्रिगर करके PWNED करें!

आवश्यकताएँ

सामान्यतः, आपको बस आधिकारिक impacket स्थापित करने की आवश्यकता है।

• पोर्टल

उपयोग

• wmiexec-wip.py उपयोग:

  स्पष्ट पाठ पासवर्ड के साथ

  root@kitploit:~

  python3 wmiexec-reg.py administrator:[email protected] 'whoami'
  

  

  NTLM हैश के साथ

  root@kitploit:~

  python3 wmiexec-reg.py -hashes e91d2eafde47de62c6c49a012b3a6af1:e91d2eafde47de62c6c49a012b3a6af1 [email protected] 'whoami'
  

  

• wmipersist-wip.py उपयोग (डिफ़ॉल्ट में कोई आउटपुट नहीं है):

  स्पष्ट पाठ पासवर्ड के साथ (आउटपुट के बिना)

  root@kitploit:~

  python3 wmipersist-wip.py administrator:[email protected] 'command'
  

  

  NTLM हैश के साथ

  root@kitploit:~

  python3 wmipersist-wip.py -hashes e91d2eafde47de62c6c49a012b3a6af1:e91d2eafde47de62c6c49a012b3a6af1 [email protected] 'whoami'
  

चीटशीट

• कमांड चलाने के बाद आउटपुट के साथ अस्थायी निर्देशिका को साफ करना न भूलें।
  कमांड: del /q /f /s C:\windows\temp\*
  

• कमांड में डबल कोट्स शामिल हैं।
  एकल कोट्स के अंदर डबल कोट्स बनाएं wevtutil cl '"security"'
  

करने योग्य

• wmi टूलकिट का नया संस्करण, जल्द आ रहा है :)

संदर्भ

• https://github.com/SecureAuthCorp/impacket/blob/master/examples/wmiexec.py
• https://github.com/360-Linton-Lab/WMIHACKER
• https://github.com/FortyNorthSecurity/WMIOps
• https://docs.microsoft.com/en-us/windows/win32/cimwin32prov/operating-system-classes