⛔ [非推奨] アクティブなリポジトリ: https://github.com/XiaoliChan/wmiexec-Pro

wmiexec-RegOut

impacketのwmiexec.py、wmipersist.pyの修正版。レジストリから出力（データ、レスポンス）を取得します。SMB接続は不要ですが、コードは粗末です :(

目次

• 概要
• 必要条件
• 使い方
• チートシート
• ToDo
• 参考

特に感謝:

• @rootclay, WeChat: _xiangshan

概要

元のwmiexec.pyでは、SMB接続（ポート445、139）からレスポンスを取得していました。残念ながら、一部のアンチウイルスソフトはこれらのポートを高リスクとして監視しています。
このケースでは、SMB接続機能を削除し、代わりに別の方法でコマンドを実行します。

• wmiexec-reg-sch-UnderNT6-wip.py: win32-scheduledjobクラスを使用してコマンドを実行します。xiangshan氏によると、win32-scheduledjobクラスはWindows NT6（Windows Server 2003）でのみ動作します。
  ところで、win32_scheduledjobはWindows NT6以降ではデフォルトで無効になっています。以下が有効化する方法です。

キー: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\Configuration 
名前: EnableAt 
種類: REG_DWORD
値: 1

• wmipersist-wip.py （強く推奨、!!!impacket v0.9.24でのみ動作!!!): WMIHACKERのPython版で、そこからVBSテンプレートを拝借しました。攻撃者はこれを使用して、アンチウイルスソフトウェアが動作している環境でも安全に横移動を行うことができます。

• wmiexec-regOut.py: 単純なWin32_Process.createメソッドの例です。

動作の仕組み

• wmiexec-wip.pyのワークフロー:

  ステップ1:

  • WMIでリモート認証

  ステップ2:

  • win32processクラスを使用し、createメソッドを呼び出してコマンドを実行。その後、結果をC:\windows\tempディレクトリに[uuid].txtという名前で書き込み

  ステップ3:

  • ファイルの内容をBase64文字列にエンコード（数秒待つ必要あり）

  ステップ4:

  • 変換されたBase64文字列をレジストリに追加し、キー名を[uuid]とする

  ステップ5:

  • リモートからBase64文字列を取得し、ローカルでデコード

• wmipersist-wip.pyのワークフロー:

  ステップ1:

  • カスタムVBSスクリプトをActiveScriptEventConsumerクラスに追加

  ステップ2:

  • イベントフィルターを作成

  ステップ3:

  • FilterToConsumerBindingクラスをトリガーしてPWNED!

必要条件

基本的には、公式のimpacketをインストールするだけです。

• ポータル

使い方

• wmiexec-wip.pyの使い方:

  平文パスワードの場合

  root@kitploit:~

  python3 wmiexec-reg.py administrator:[email protected] 'whoami'
  

  

  NTLMハッシュの場合

  root@kitploit:~

  python3 wmiexec-reg.py -hashes e91d2eafde47de62c6c49a012b3a6af1:e91d2eafde47de62c6c49a012b3a6af1 [email protected] 'whoami'
  

  

• wmipersist-wip.pyの使い方（デフォルトは出力なし）:

  平文パスワードの場合（出力なし）

  root@kitploit:~

  python3 wmipersist-wip.py administrator:[email protected] 'command'
  

  

  NTLMハッシュの場合

  root@kitploit:~

  python3 wmipersist-wip.py -hashes e91d2eafde47de62c6c49a012b3a6af1:e91d2eafde47de62c6c49a012b3a6af1 [email protected] 'whoami'
  

チートシート

• コマンド実行後、出力がある場合は一時ディレクトリを忘れずにクリーンアップしてください。
  コマンド: del /q /f /s C:\windows\temp\*
  

• コマンドに二重引用符が含まれる場合。
  一重引用符内に二重引用符を入れます wevtutil cl '"security"'
  

ToDo

• WMIツールキットの新バージョン、近日公開予定 :)

参考

• https://github.com/SecureAuthCorp/impacket/blob/master/examples/wmiexec.py
• https://github.com/360-Linton-Lab/WMIHACKER
• https://github.com/FortyNorthSecurity/WMIOps
• https://docs.microsoft.com/en-us/windows/win32/cimwin32prov/operating-system-classes