⛔ [УСТАРЕЛО] Активно на https://github.com/XiaoliChan/wmiexec-Pro

wmiexec-RegOut

Модифицированная версия impacket wmiexec.py, wmipersist.py. Получает вывод (данные, ответ) из реестра, не требует SMB-соединения, но я в плохом коде :(

Содержание

• Обзор
• Требования
• Использование
• Шпаргалка
• Планы
• Ссылки

Особая благодарность:

• @rootclay, wechat: _xiangshan

Обзор

В оригинальном wmiexec.py ответ получается через SMB-соединение (порт 445,139). К сожалению, некоторые антивирусные программы отслеживают эти порты как высокорисковые.
В этом случае я отказался от функции SMB-соединения и использую другие методы для выполнения команд.

• wmiexec-reg-sch-UnderNT6-wip.py: Выполняет команду с помощью класса win32-scheduledjob. Согласно xiangshan, класс win32-scheduledjob работает только в Windows NT6 (Windows Server 2003).
  Кстати, win32_scheduledjob по умолчанию отключен после Windows NT6. Вот как его включить.

Key: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\Configuration 
Name: EnableAt 
Type: REG_DWORD
Value: 1

• wmipersist-wip.py (Настоятельно рекомендую, !!!работает только с impacket v0.9.24!!!): Python-версия WMIHACKER, из которой я взял шаблон VBS. Злоумышленник может использовать её для безопасного латерального перемещения при работающем антивирусе.

• wmiexec-regOut.py: Простой пример метода Win32_Process.create.

Как это работает?

• wmiexec-wip.py рабочий процесс:

  Шаг 1:

  • WMIC аутентифицирован удалённо

  Шаг 2:

  • Использовать класс win32process и вызвать метод create для выполнения команды. Затем записать результат в каталог C:\windows\temp с именем [uuid].txt

  Шаг 3:

  • Закодировать содержимое файла в строку base64 (нужно подождать несколько секунд)

  Шаг 4:

  • Добавить преобразованную строку base64 в реестр, имя ключа — [uuid]

  Шаг 5:

  • Получить строки base64 удалённо и декодировать их локально.

• wmipersist-wip.py рабочий процесс:

  Шаг 1:

  • Добавить пользовательский VBS-скрипт в класс ActiveScriptEventConsumer.

  Шаг 2:

  • Создание фильтра событий.

  Шаг 3:

  • Запустить класс FilterToConsumerBinding для PWNED!

Требования

В целом, вам просто нужно установить официальный impacket.

• Портал

Использование

• wmiexec-wip.py использование:

  С паролем в открытом виде

  root@kitploit:~

  python3 wmiexec-reg.py administrator:[email protected] 'whoami'
  

  

  С NTLM-хешами

  root@kitploit:~

  python3 wmiexec-reg.py -hashes e91d2eafde47de62c6c49a012b3a6af1:e91d2eafde47de62c6c49a012b3a6af1 [email protected] 'whoami'
  

  

• wmipersist-wip.py использование (По умолчанию без вывода):

  С паролем в открытом виде (без вывода)

  root@kitploit:~

  python3 wmipersist-wip.py administrator:[email protected] 'command'
  

  

  С NTLM-хешами

  root@kitploit:~

  python3 wmipersist-wip.py -hashes e91d2eafde47de62c6c49a012b3a6af1:e91d2eafde47de62c6c49a012b3a6af1 [email protected] 'whoami'
  

Шпаргалка

• Не забудьте очистить временный каталог после выполнения команды с выводом.
  Команда: del /q /f /s C:\windows\temp\*
  

• Команда с двойными кавычками.
  Поместите двойные кавычки внутри одинарных wevtutil cl '"security"'
  

Планы

• Новая версия набора инструментов WMI, скоро :)

Ссылки

• https://github.com/SecureAuthCorp/impacket/blob/master/examples/wmiexec.py
• https://github.com/360-Linton-Lab/WMIHACKER
• https://github.com/FortyNorthSecurity/WMIOps
• https://docs.microsoft.com/en-us/windows/win32/cimwin32prov/operating-system-classes