मूल wmiexec.py में, यह smb कनेक्शन (पोर्ट 445,139) से प्रतिक्रिया प्राप्त करता है। दुर्भाग्य से, कुछ एंटीवायरस सॉफ़्टवेयर इन पोर्ट्स को उच्च जोखिम के रूप में निगरानी कर रहे हैं।
इस मामले में, मैं smb कनेक्शन फ़ंक्शन को हटा देता हूं और कमांड निष्पादित करने के लिए अन्य विधियों का उपयोग करता हूं।

• wmiexec-reg-sch-UnderNT6-wip.py: win32-scheduledjob क्लास का उपयोग करके कमांड निष्पादित किया गया। xiangshan के अनुसार, win32-scheduledjob क्लास केवल विंडोज NT6 (विंडोज-सर्वर 2003) के अंतर्गत काम करता है।
  वैसे, win32_scheduledjob विंडोज NT6 के बाद डिफ़ॉल्ट रूप से अक्षम कर दिया गया है। इसे सक्षम करने का तरीका यहां दिया गया है।

• wmipersist-wip.py (अत्यधिक अनुशंसित, !!!केवल impacket v0.9.24 पर काम करता है!!!): WMIHACKER का एक Python संस्करण, जिसमें से मैंने vbs टेम्पलेट लिया। हमलावर इसका उपयोग एंटीवायरस-सॉफ़्टवेयर चल रहे होने पर सुरक्षित रूप से पार्श्व आंदोलन करने के लिए कर सकता है।

• wmiexec-regOut.py: बस एक सरल Win32_Process.create विधि उदाहरण।

यह कैसे काम करता है?

• wmiexec-wip.py कार्यप्रवाह:

  चरण 1:

  • WMIC दूरस्थ रूप से प्रमाणित हुआ

  चरण 2:

  • win32process क्लास का उपयोग करें और कमांड निष्पादित करने के लिए create विधि को कॉल करें। फिर, परिणाम को C:\windows\temp निर्देशिका में [uuid].txt नाम से लिखें।

  चरण 3:

  • फ़ाइल सामग्री को base64 स्ट्रिंग्स में एन्कोड करें (कुछ सेकंड प्रतीक्षा करनी होगी)

  चरण 4:

  • परिवर्तित base64 स्ट्रिंग को रजिस्ट्री में जोड़ें, और कुंजी नाम [uuid] कहें

  चरण 5:

  • base64 स्ट्रिंग्स को दूरस्थ रूप से प्राप्त करें और इसे स्थानीय रूप से डिकोड करें।

• wmipersist-wip.py कार्यप्रवाह:

  चरण 1:

  • ActiveScriptEventConsumer क्लास में कस्टम vbs स्क्रिप्ट जोड़ें।

  चरण 2:

  • एक इवेंट फ़िल्टर बनाएँ।

  चरण 3:

  • FilterToConsumerBinding क्लास को ट्रिगर करके PWNED करें!

आवश्यकताएँ

सामान्यतः, आपको बस आधिकारिक impacket स्थापित करने की आवश्यकता है।

• पोर्टल

उपयोग

• wmiexec-wip.py उपयोग:

  स्पष्ट पाठ पासवर्ड के साथ

  root@kitploit:~

  python3 wmiexec-reg.py administrator:[email protected] 'whoami'
  

  

  NTLM हैश के साथ

  root@kitploit:~

  python3 wmiexec-reg.py -hashes e91d2eafde47de62c6c49a012b3a6af1:e91d2eafde47de62c6c49a012b3a6af1 [email protected] 'whoami'
  

  

• wmipersist-wip.py उपयोग (डिफ़ॉल्ट में कोई आउटपुट नहीं है):

  स्पष्ट पाठ पासवर्ड के साथ (आउटपुट के बिना)

  root@kitploit:~

  python3 wmipersist-wip.py administrator:[email protected] 'command'
  

  

  NTLM हैश के साथ

  root@kitploit:~

  python3 wmipersist-wip.py -hashes e91d2eafde47de62c6c49a012b3a6af1:e91d2eafde47de62c6c49a012b3a6af1 [email protected] 'whoami'
  

  

  आउटपुट के साथ

  root@kitploit:~

  python3 wmipersist-wip.py administrator:[email protected] "whoami /priv" -with-output
  python3 wmipersist-wip.py [email protected] "whoami /priv" -hashes e91d2eafde47de62c6c49a012b3a6af1:e91d2eafde47de62c6c49a012b3a6af1 -with-output
  

  

  Huorong एंटीवायरस-सॉफ़्टवेयर के अंतर्गत (WMIHACKER VBS टेम्पलेट का उपयोग करके!!!)

चीटशीट

• कमांड चलाने के बाद आउटपुट के साथ अस्थायी निर्देशिका को साफ करना न भूलें।
  कमांड: del /q /f /s C:\windows\temp\*
  

• कमांड में डबल कोट्स शामिल हैं।
  एकल कोट्स के अंदर डबल कोट्स बनाएं wevtutil cl '"security"'
  

करने योग्य

• wmi टूलकिट का नया संस्करण, जल्द आ रहा है :)

संदर्भ

• https://github.com/SecureAuthCorp/impacket/blob/master/examples/wmiexec.py
• https://github.com/360-Linton-Lab/WMIHACKER
• https://github.com/FortyNorthSecurity/WMIOps
• https://docs.microsoft.com/en-us/windows/win32/cimwin32prov/operating-system-classes