今天，我要开始一系列关于微软WMI技术的介绍。通过之后若干节的介绍，我想WMI技术将为在windows平台上从事开发的朋友开启另外一扇窗。（转载请指明出于breaksoftware的csdn博客）
WMI在笔者所参与的项目中发现目前攻防中利用依旧非常频繁，尤其在横向移动中，利用wmic或者powershell的WMI模块操作Win32来达到渗透的目的。笔者在学习了WMI后，将其分为四个模块（讲解、横向移动、权限提升、攻击检测），并写了四篇文章来讲解，还追加了小知识点的编写（WBEMTEST工具使用，普通用户使用wmic）。笔者能力有限，在几篇中若有未讲人话之处，望谅解。
一：WMI基础知识 =================================================================== WMI 最初于1998年作为一个附加组件与 Windows NT 4.0 Service Pack 4 一起发行，是内置在Windows 2000、 Windows XP和Windows Server 2003 系列操作系统中核心的管理支持技术。基于由 Distributed Management Task Force (DMTF) 所监督的业界标准，WMI是一种规范和基础结构，通过它可以访问、配置、管理和监视几乎所有的Windows资源。大多用户习惯于使用众多的图形化管理工 具来管理Windows资源，在WMI之前这些工具都是通过 Win32应用程序编程接口(Application ProgrammingInterfaces，API)来访问和管理Windows资源的。只要你熟悉系统编程你就知道API有多么重要。但是大多数脚本 语言都不能直接调用Win32 API，WMI的出现使得系统管理员可以通过一种简便的方法即利用常见的脚本语言实现常用的系统管理任务。 利用WMI需要和脚本如WSH和VBScript结合起来，可以实现的功能大家可以看微软的MSDN文档。 在编写我们自己的脚本之前，我们需要对WMI的体系结构有个基本的了解。如图一：(1.gif)
本文使用了《WMI技术介绍和应用——使用VC编写一个半同步查询WMI服务的类》中代码做为基础。本节只是列出了WQL语句，具体使用参看前面的例子。（转载请指明出于breaksoftware的csdn博客）
在《WMI技术介绍和应用——WMI概述》中介绍了我们可以使用C++、.net或者支持ActiveX技术的脚本语言来使用WMI。但是各种语言对WMI的控制能力是不同的，比如脚本语言只能用来从WMI获取数据或者接收事件通知。而C++还可以编写WMI提供者和发送消息。和脚本语言相比，C++对WMI有强大的控制和定制性，当然也具有更大的复杂性。本文将主要讲述使用VC如何搭建一个使用WMI的框架。（转载请指明出于breaksoftware的csdn博客）
这个月实在太忙了，一直没有时间去继续写WMI的应用例子。 本来是希望将《WMI技术介绍和应用》系列博文写的像WMI百科全书般，但是貌似对这个技术感兴趣的同学并不多，所以我决定对部分知识点点到为止，有需求的同学可以查询MSDN相关类的说明即可。本文将罗列一些可能使用到的一些知识点。如果你发现你期望查询的硬件信息在本文中没有写出来，请参看MSDN的《Computer System Hardware Classes》中相关的类。（转载请指明出于breaksoftware的csdn博客）
目前已知在杀毒厂商以及游戏厂商的安全对抗过程中，常常需要准确的监控收集并进行检测用户创建打开的EXE应用程序是否是安全的。同时也可以将此技术应用于其他应用的安全对抗方案中。那么如何去准确的监控和收集用户每次点击打开的EXE应用程序信息呢？接下来我就进行还原实现下如何准确的监控并收集用户每次点击打开EXE应用程序技术。
这篇文章是有关 WMI 的多篇系列文章中的第一篇，如果读者对 PowerShell 有个基本的了解，那么对阅读本篇文章会有所帮助，但这不是必需的。
《ZABBIX全栈级监控实践》系列将由浅入深探讨如何实现ZABBIX全栈级别的监控。
WMI全称为Windows Management Instrumentation，即Windows管理规范，是Windows 2K/XP管理系统的核心。它属于管理数据和操作的基础模块，设计WMI的初衷是为了能达到一种通用性，通过WMI去操作系统、应用程序等去管理本地或者远程资源。它支持分布式组件对象模型（DCOM）和Windws远程管理（WinRM），用户可通过WMI服务访问、配置、管理和监视Windows所有资源的功能，对于其他的Win32操作系统来讲WMI是一个非常不错的插件，同时也是测试人员在攻防实战中一个很完美的“无文件攻击”入口途径。
Windows Management Instrumentation（WMI）事件订阅，是一种常被攻击者利用来在端点上建立持久性的技术。因此，我决定花一些时间研究下Empire的WMI模块，看看有没有可能检测并移除这些WMI持久化后门。此外，文中我还回顾了一些用于查看和移除WMI事件订阅的PowerShell命令。这些命令在实际测试当中都非常的有用，因此我也希望你们能记录它们。
在《WMI技术介绍和应用——使用VC编写一个半同步查询WMI服务的类》一文中，我们介绍到了一个半同步查询WMI类的框架。本文将是该技术的一个应用，介绍如何使用WMI技术查询正在运行的进程信息。（转载请指明出于breaksoftware的csdn博客）
在《WMI技术介绍和应用——WMI概述》中，我们使用了下图介绍WMI构架（转载请指明出于breaksoftware的csdn博客）
# -*- coding:utf-8 -*- import datetime import os import wmi import time import _winreg import pythoncom import threading import win32api import win32con import Queue c = wmi.WMI() # 如果要连接远程机器，只需要在WMI构造器中指定远程机器名即可 # c = wmi.WMI("some_other_machine") # Li
Windows Management Instrumentation (WMI) 使系统管理员能够在本地和远程执行任务。从红队的角度来看，WMI 可用于执行多种活动，例如横向移动、持久性、态势感知、代码执行以及作为命令和控制(C2)。WMI 是几乎所有 Windows 操作系统（Windows 98-Windows 10）中都存在的 Windows 的一部分，这一事实使这些攻击性活动远离蓝队的雷达。
本文是以WMI的重写版，本来这份笔记会更长，原版的笔记以Black Hat 2015的Abusing Windows Management Instrumentation (WMI) to Build a Persistent, Asyncronous, and Fileless Backdoor为主要学习资料，在笔记写到大概一万字的时候，Typora 中保存的内容部分丢失。于是重新整理，有了这份，我认为精简版的WMI笔记。
在简单了解了WMI后，我们开始了横向移动，包括其中的信息收集，工具利用。那么在我们短暂的获取权限后，如何才能将权限持久化，也就是所说的权限维持住呢？笔者看了国内外部分文章后，发现WMI做权限维持主要是介绍WMI事件，并将其分为永久事件和临时事件，本文参考部分博客文章对WMI事件进行讲解，不足之处，望及时指出。
在 PowerShell 可以很容易使用 WMI 拿到系统的信息，如果有关注我的网站，就会发现我写了很多通过 WMI 拿到系统的显卡，系统安装的软件等方法，本文告诉大家如果通过 PowerShell 拿到 WMI 类里面的属性
本文使用了《WMI技术介绍和应用——使用VC编写一个半同步查询WMI服务的类》中代码做为基础。
WMI利用（权限维持）
WMI使用技巧集 很多的朋友对WMI可能见过但理解不深，我也是十分想了解关于WMI的知识，可一直找不运维
众所周知，在windows10以及Windows Server2016的平台当中，PowerShell5.x已经能够去获取到系 统当中大部分的信息，但有时候仍有一些信息需要借助于调用WMI的类来完成。通过本文，你可以 了解到WMI的基本架构和组件，包括WMI的数据库，WMI的provider，以及在PowerShell调用WMI的 时候提供的module和相关的命令。接下来我们就能通过powershell的命令去完成WMI的查询操作， 去获取到系统当中WMI的实例。然后我们还可通过实例的属性查看到系统当中不同的信息，同时的 话去调用实例当中为我们提供的不同的方法，去修改系统信息的配置。
.Net本身没有封装对快捷方式的操作类，所以要在C#中操作快捷方式，需要借助“外力”。市面上常见的方法是通过Windows Script Host Object Model这个COM组件来完成。这种方法的缺憾是你的程序必须带上Interop.IWshRuntimeLibrary.dll这个文件（不过也许可以把这个dll并入exe中再动态加载什么的）。
在内网渗透过程中，有时我们是需要了解不同的服务器的基本软硬件配置信息的，同时也可能需要 将它们生成报告进行归档，那么通过 Powershell，我们也能够轻松的去完成这个过程。本文中，我 们将主要说明如何通过 Powershell 收集系统信息和生成报告。
WMI 全称为：Microsoft Windows Management Instrumentation (WMI)
先不说如何实现，先来看看效果图： 读取远程的需要提供下远程的计算用户名和密码即可。 如何实现这个代码功能，请看如下代码部分： #region//获取日志文件 ///
区别于传统的基于文件的攻击，无文件非恶意软件攻击在内存中运行，不需要利用可执行文件就能达到攻击的目的。无文件非恶意软件本身是系统内置的合法工具，但是被用来执行一些不合法的操作，也就是我们常说的白名单绕过执行。总的来说就是利用Windows 的一部分来对抗Windows。
当你的.NET应用出现性能问题的时候能很快得找到问题的症结吗? 这是一个运营的企业应用所必需考虑的问题，最近工作中碰到很多这方面的问题，运行中的系统完全是一个黑盒子，不象开发中的产品可以通过
版权声明：本文为博主原创文章，未经博主允许不得转载。 https://blog.csdn.net/breaksoftware/article/details/8579620
当我们在拿到内网某一台机器权限时，第一时间要做的就是信息收集，WMI中的各种类为我们在内网信息收集方面提供了十分有利的条件，作为红队的我们可以利用如下WMI中各种类的子集来对目标进行全方面信息收集。
python写的用WMI检测windows系统信息、硬盘信息、网卡信息 #!/usr/bin/env python -- coding: utf-8 -- import wmi import sys,time,platform def get_system_info(os): """ 获取操作系统版本。 """ print print "Operating system:" if os == "Windows": c = wmi.WMI
当前，WMI支持两种远程交互的协议：DCOM协议和WinRm协议。我们可以通过这两种协议对远程的机器进行对象查询、事件注册以及WMI类方法的执行等操作，攻击者要有效的利用WMI的两种远程交互协议则需要一定的特权用户凭证，因此大多数的安全厂家通常都不会对WMI这两种协议所传输的恶意内容以及恶意流量进行审查，这就让攻击者对WMI这两种协议有了可利用的空间，那么，接下来给大家分别介绍WMI所支持的两种协议—DCOM协议和WinRm协议。
.NET 框架中与 WMI 规范有关的命名空间有两个 , 分别是 System.Management 和 System.Management.Instrumentation 两个命名空间。其中 System.Managemen 命名空间提供的类对象为访问各种管理对象提供了面向对象的编程接口，而 System.Management.Instrumentation 命名空间提供的类用来设置用户自定义的应用程序，使得这些应用程序对象能够符合 WMI 的规范，从而通过 WMI 向使用该应用程序的管理者公开其提供的管理信息和事件，这些使用者有可能是 Microsoft Application Center 或 Microsoft Operations Manager 这样的，也有可能是自定义编写的高端管理应用程序（您可以通过 System.Management 命名空间提供的类对象来编写自己的管理应用程序）。因此，如果您想使自己的产品的管理可以在这些管理工具，您就得使您自己的应用程序符合 WMI 的规范，而针对 .NET 平台上的应用程序 WMI 规范编写来说，使用的是 System.Management.Instrumentation 命名空间提供的类。
在 IFix 使用过程中经常会使用到调度功能来实现定时报告，事件触发类的脚本，那么后台调度的进程也会出现被操作人员等意外关闭的情况。那么就会造成我们的定时报告，脚本等无法正常运行。
先在https://golang.google.cn/dl/下载编译器。 然后一直下一步就行了。 这样就显示安装成功了。 写一个HelloWorld吧 编译程序 go build 文件名 然后运行程序 配置环境变量 安装Goland 然后一直下一步。然后选择稍后重启或者立刻重启。 然后就是注册Goland了，本文就不讲诉如何注册了，分享一个注册码，但是很快就会过期。 8YRUVVX9JG-eyJsaWNlbnNl
WMI即Windows Management Instrumentation，用于管理正在运行的Windows主机。用户利用WMI可以轻松地与系统各类资源进行交互，如打开指定进程、远程启动计算机、设定指定程序在指定时间运行、查询Windows日志等。我们可以把它当作API来与Windows系统进行相互交流。在渗透测试的过程中，WMI的价值就是不需要下载和安装，因为WMI是Windows系统自带的功能，而且整个运行过程都在计算机内存中进行，操作记录不会在Winodws日志中留存。在前面的内容中对WMI有过介绍，因此不过多讲解原理。
/W438N4X12J-eyJsaWNlbnNlSWQiOiJXNDM4TjRYMTJKIiwibGljZW5zZWVOYW1lIjoidHJlbmRzIHJhYmJpcyIsImFzc2lnbmVlTmFtZSI6IiIsImFzc2lnbmVlRW1haWwiOiIiLCJsaWNlbnNlUmVzdHJpY3Rpb24iOiIiLCJjaGVja0NvbmN1cnJlbnRVc2UiOmZhbHNlLCJwcm9kdWN0cyI6W3siY29kZSI6IklJIiwiZmFsbGJhY2tEYXRlIjoiMjAyMy0wMi0wOCIsInBhaWRVcFRvIjoiMjAyMy0wMi0wOCIsImV4dGVuZGVkIjpmYWxzZX0seyJjb2RlIjoiUERCIiwiZmFsbGJhY2tEYXRlIjoiMjAyMy0wMi0wOCIsInBhaWRVcFRvIjoiMjAyMy0wMi0wOCIsImV4dGVuZGVkIjp0cnVlfSx7ImNvZGUiOiJQV1MiLCJmYWxsYmFja0RhdGUiOiIyMDIzLTAyLTA4IiwicGFpZFVwVG8iOiIyMDIzLTAyLTA4IiwiZXh0ZW5kZWQiOnRydWV9LHsiY29kZSI6IlBHTyIsImZhbGxiYWNrRGF0ZSI6IjIwMjMtMDItMDgiLCJwYWlkVXBUbyI6IjIwMjMtMDItMDgiLCJleHRlbmRlZCI6dHJ1ZX0seyJjb2RlIjoiUFBTIiwiZmFsbGJhY2tEYXRlIjoiMjAyMy0wMi0wOCIsInBhaWRVcFRvIjoiMjAyMy0wMi0wOCIsImV4dGVuZGVkIjp0cnVlfSx7ImNvZGUiOiJQUEMiLCJmYWxsYmFja0RhdGUiOiIyMDIzLTAyLTA4IiwicGFpZFVwVG8iOiIyMDIzLTAyLTA4IiwiZXh0ZW5kZWQiOnRydWV9LHsiY29kZSI6IlBSQiIsImZhbGxiYWNrRGF0ZSI6IjIwMjMtMDItMDgiLCJwYWlkVXBUbyI6IjIwMjMtMDItMDgiLCJleHRlbmRlZCI6dHJ1ZX0seyJjb2RlIjoiUFNXIiwiZmFsbGJhY2tEYXRlIjoiMjAyMy0wMi0wOCIsInBhaWRVcFRvIjoiMjAyMy0wMi0wOCIsImV4dGVuZGVkIjp0cnVlfSx7ImNvZGUiOiJQU0kiLCJmYWxsYmFja0RhdGUiOiIyMDIzLTAyLTA4IiwicGFpZFVwVG8iOiIyMDIzLTAyLTA4IiwiZXh0ZW5kZWQiOnRydWV9LHsiY29kZSI6IlBDV01QIiwiZmFsbGJhY2tEYXRlIjoiMjAyMy0wMi0wOCIsInBhaWRVcFRvIjoiMjAyMy0wMi0wOCIsImV4dGVuZGVkIjp0cnVlfV0sIm1ldGFkYXRhIjoiMDEyMDIyMDIwOFBTQU4wMDAwMDUiLCJoYXNoIjoiVFJJQUw6LTIwMDMxNDk5MzciLCJncmFjZVBlcmlvZERheXMiOjcsImF1dG9Qcm9sb25nYXRlZCI6ZmFsc2UsImlzQXV0b1Byb2xvbmdhdGVkIjpmYWxzZX0=-U0uteIUdI7Pn3l6b42jdvpWmT4iDDXJcC69WIw3EB4sX47Qt98McKvbzUHKsAftFyMRG7HhyG5aFCnQYqVKgOAgYuOZ+vhT4yGHOMHpWtJ/cJnKHmki+pv7jhEc7gfyyk0Gv+5dzdKUGlinX357XGrfe4WJjtRXb6txvgChdlG8wqqi8t9VO7+n5N8XxCStgAmB6eOGVY00ZzXvdP96RRU4YdbD4NM3Hu49ZOC9eR7NxZADSmkhg3F6NPBMKPyQ/QKhFEXaqcexoYcQdwUkLjqUxsvs8zglHp0toM5jcccfqJ2EVbRSsrk5j7qL/h1QvSQJepRzrn8qra9Ne62eaUw==-MIIETDCCAjSgAwIBAgIBDTANBgkqhkiG9w0BAQsFADAYMRYwFAYDVQQDDA1KZXRQcm9maWxlIENBMB4XDTIwMTAxOTA5MDU1M1oXDTIyMTAyMTA5MDU1M1owHzEdMBsGA1UEAwwUcHJvZDJ5LWZyb20tMjAyMDEwMTkwggEiMA0GCSqGSIb3DQEBAQUAA4IBDw
1 #!/usr/bin/env python 2 # -*- coding: utf-8 -*- 3 #http://www.cnblogs.com/liu-ke/ 4 import wmi 5 import os 6 import sys 7 import platform 8 import time 9 10 def sys_version(): 11 c = wmi.WMI () 12 #获取操作系统版本 13 for sys in
您可以使用本主题中的过程和代码示例来创建完整的WMI客户端应用程序，该应用程序执行COM初始化，连接到远程计算机上的WMI，半同步获取数据，然后清理。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
即时通信 IM
实时音视频
