⛔ [DEPRECATO] Attivo su https://github.com/XiaoliChan/wmiexec-Pro

wmiexec-RegOut

Versione modificata di impacket wmiexec.py, wmipersist.py. Ottiene l'output (dati, risposta) dal registro, non necessita di connessione SMB, ma il codice è brutto :(

Indice

• Panoramica
• Requisiti
• Utilizzo
• Cheatsheet
• Da fare
• Riferimenti

Ringraziamenti speciali a:

• @rootclay, wechat: _xiangshan

Panoramica

Nel wmiexec.py originale, ottiene la risposta dalla connessione SMB (porta 445, 139). Sfortunatamente, alcuni software antivirus monitorano queste porte come ad alto rischio.
In questo caso, ho eliminato la funzione di connessione SMB e ho utilizzato altri metodi per eseguire comandi.

• wmiexec-reg-sch-UnderNT6-wip.py: Esegue il comando utilizzando la classe win32-scheduledjob. Secondo xiangshan, la classe win32-scheduledjob funziona solo su Windows NT6 (Windows Server 2003).
  Tra l'altro, win32_scheduledjob è disabilitato per impostazione predefinita dopo Windows NT6. Ecco come abilitarlo.

Key: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\Configuration 
Name: EnableAt 
Type: REG_DWORD
Value: 1

• wmipersist-wip.py (Altamente raccomandato, !!!funziona solo su impacket v0.9.24!!!): Una versione Python di WMIHACKER, da cui ho preso il template VBS. L'attaccante può usarlo per fare movimento laterale in sicurezza sotto l'esecuzione di software antivirus.

• wmiexec-regOut.py: Solo un semplice esempio del metodo Win32_Process.create.

Come funziona?

• Flusso di lavoro di wmiexec-wip.py:

  Step 1:

  • WMIC autenticato in remoto

  Step 2:

  • Usa la classe win32process e chiama il metodo create per eseguire il comando. Quindi, scrive il risultato nella directory C:\windows\temp con nome [uuid].txt

  Step 3:

  • Codifica il contenuto del file in stringhe base64 (è necessario attendere qualche secondo)

  Step 4:

  • Aggiunge la stringa base64 convertita nel registro, e il nome della chiave è [uuid]

  Step 5:

  • Ottiene le stringhe base64 in remoto e le decodifica localmente.

• Flusso di lavoro di wmipersist-wip.py:

  Step 1:

  • Aggiunge script VBS personalizzato nella classe ActiveScriptEventConsumer.

  Step 2:

  • Crea un filtro eventi.

  Step 3:

  • Attiva la classe FilterToConsumerBinding per PWNED!

Requisiti

Generalmente, è sufficiente installare impacket ufficiale.

• Portale

Utilizzo

• Utilizzo di wmiexec-wip.py:

  Con password in chiaro

  root@kitploit:~

  python3 wmiexec-reg.py administrator:[email protected] 'whoami'
  

  

  Con hash NTLM

  root@kitploit:~

  python3 wmiexec-reg.py -hashes e91d2eafde47de62c6c49a012b3a6af1:e91d2eafde47de62c6c49a012b3a6af1 [email protected] 'whoami'
  

  

• Utilizzo di wmipersist-wip.py (predefinito senza output):

  Con password in chiaro (senza output)

  root@kitploit:~

  python3 wmipersist-wip.py administrator:[email protected] 'command'
  

  

  Con hash NTLM

  root@kitploit:~

  python3 wmipersist-wip.py -hashes e91d2eafde47de62c6c49a012b3a6af1:e91d2eafde47de62c6c49a012b3a6af1 [email protected] 'whoami'
  

Cheatsheet

• Non dimenticare di pulire la directory temp dopo aver eseguito il comando con output.
  Comando: del /q /f /s C:\windows\temp\*
  

• Comando include virgolette doppie.
  Metti le virgolette doppie all'interno di virgolette singole wevtutil cl '"security"'
  

Da fare

• Nuova versione del toolkit WMI, in arrivo presto :)

Riferimenti

• https://github.com/SecureAuthCorp/impacket/blob/master/examples/wmiexec.py
• https://github.com/360-Linton-Lab/WMIHACKER
• https://github.com/FortyNorthSecurity/WMIOps
• https://docs.microsoft.com/en-us/windows/win32/cimwin32prov/operating-system-classes