管理对象的信息查询和方法访问 在这一节内容，我们将通过几个实例来学习如何查询管理对象信息和访问管理对象提供的方法，这一部分内容将使用到我们在前面讲述到的 System.Management 命名空间中的相关类对象...***************************************************** //获取Win32_LogicalDisk WMI对象可供访问的属性 public static...在这里我们通过列举 WMI 类 Win32_LogicalDisk 实例对象的数据，获取您的计算机上各种逻辑磁盘分区，包括软驱和光驱，并输出每个逻辑磁盘分区的一些信息。...创建一个进程，需要调用 Win32_Process WMI对象的Create方法。...由于WMI对象是如此之多，每个被管理的WMI对象的公开的方法又是不同的，InvokeMethod（）方法是如何能区分这些不同的WMI对象以及WMI对象不同的公开方法，因为方法的不同就意味这参数不一样，因此我们还得知道
如果请求的是一个静态数据，WMI将从WMI存储库中查找数据并返回；如果请求的是一个动态数据，比如一个托管对象的当前内存情况，WMI服务将请求传递给已经在WMI服务中注册的相应的WMI提供者。...Managed object and WMI providers(托管对象和WMI提供者) WMI提供者是一个监控一个或者多个托管对象的COM接口。...一个托管对象是一个逻辑或者物理组件，比如硬盘驱动器、网络适配器、数据库系统、操作系统、进程或者服务。...和驱动相似，WMI提供者通过托管对象提供的数据向WMI服务提供数据，同时将WMI服务的请求传递给托管对象。 ...从文件的角度来说，WMI提供者是由一个实现逻辑的DLL和承载着描述数据和操作的类的托管对象格式(Managed Object Format)文件组成。
1.信息收集当我们在拿到内网某一台机器权限时，第一时间要做的就是信息收集，WMI中的各种类为我们在内网信息收集方面提供了十分有利的条件，作为红队的我们可以利用如下WMI中各种类的子集来对目标进行全方面信息收集...4.WMI攻击检测WMI拥有极其强大的事件处理子系统，因在操作系统中所有的操作行为都可以触发WMI的事件，我们可以将WMI理解成是微软操作系统中自带的一个免费IDS（入侵流量检测），WMI的定位就是实时捕获攻击者的攻击操作...，那么我们利用WMI所产生的事件可进一步的判断是否是攻击者的操作，如下是攻击者常见的攻击利用手法，对VMI所触发产生的事件。...VMI Shell工具集被用作C2通道，会创建和修改名称空间对象的实例，因此会触发namespaceCreationEvent和Namespace ModificationEvent事件。...创建WMI类存储攻击者数，__ClassCreationEvent事件会被触发。
1.WMI永久事件订阅组成（1）EventFilter（事件过滤器）EventFilter（事件过滤器）存储在一个ROOT\subscription:__EventFilter对象的实例里，其主要作用是使用...WMI的查询语言来过滤审核特定的事件，一个事件过滤器接受一个WMI事件查询参数，同时EventFilter事件过滤器可以对Intrinsic Events (内部事件)和Extrinsic Events...，一般情况下，WMI为存储在WMI存储库中的对象创建内部事件，提供程序为动态类生成内部事件，如果没有可用的提供程序，WMI将会为动态类创建一个实例，以下为WMI用于报告内部事件的系统类。...2）永久消费者类实例注册在WMI命名空间中，一直有效直至注销（永久性的WMI事件是持久性驻留的，并且以SYSTEM权限运行，重启后仍然还在），永久事件使用者一直运行到其注册被显式取消，然后在 WMI 或系统重新启动时启动...永久事件消费者是系统上WMI类、过滤器和COM对象的组合。
在 PowerShell 可以很容易使用 WMI 拿到系统的信息，如果有关注我的网站，就会发现我写了很多通过 WMI 拿到系统的显卡，系统安装的软件等方法，本文告诉大家如果通过 PowerShell 拿到...WMI 类里面的属性 在 Windows 系统通过 Windows Management Instrumentation (WMI) 统一管理系统的配置，在 PowerShell 能使用 WMI 的功能进行获取系统...很少有人知道 WMI 里面包含了多少可以使用的类，包括我之前写的很多博客，实际上也只是里面的很少，通过下面的例子告诉大家如何获取设备里面包含的类 获取 WMI 类 在使用 WMI 之前需要知道 WMI...是能做什么的，这个方法能做的就是描述系统能被管理的资源，在系统里面包含了几百个类，一个类里面包含很多属性 通过 Get-WmiObject 可以找到设备里面所有可以被找到的 WMI 类 Get-WmiObject...} CSName Property string CSName {get;set;} // 还有很多属性 总结一下，获取一个 WMI
一.WMI远程交互当前，WMI支持两种远程交互的协议：DCOM协议和WinRm协议。...我们可以通过这两种协议对远程的机器进行对象查询、事件注册以及WMI类方法的执行等操作，攻击者要有效的利用WMI的两种远程交互协议则需要一定的特权用户凭证，因此大多数的安全厂家通常都不会对WMI这两种协议所传输的恶意内容以及恶意流量进行审查...，这就让攻击者对WMI这两种协议有了可利用的空间，那么，接下来给大家分别介绍WMI所支持的两种协议—DCOM协议和WinRm协议。...1.DCOM DCOM（分布式组件对象模型）是微软基于COM（组件对象模型）推出的一系列概念和程序接口，通过该技术使其能够在局域网、广域网甚至Internet上不同计算机的对象之间进行通讯，从而在位置上达到分布性...而DCOM是COM的扩展，使用DCOM可以不受本地限制，通过远程过程调用（RPC）技术实现客户端程序实例化和访问远程计算机的COM对象。
于是重新整理，有了这份，我认为精简版的WMI笔记。 WMI 背景 ---- WMI 是什么？...WMI使用公共信息模型 (CIM) 表示托管组件，其中包括系统、应用程序、网络等等 CIM中使用 “Class"(类)表示管理对象，类的实例是“Object”，名称空间（Namespace）是一个类的集合...Remote WMI Protocols ---- WMI 可以使用两种协议用于Remote WMI:分布式组件对象模型 (DCOM) 和 Windows 远程管理 (WinRM)。...= & $Payload $Output = [Management.Automation.PSSerializer]::Serialize($Result, 5) #查阅MSDN，发现这是一种序列化对象的方法...@ $EncodedPayload = [Convert]::ToBase64String([Text.Encoding]::Unicode.GetBytes($PayloadText)) #序列化后对象之后编码为
Form1: TForm1; implementation function GetWMIProperty(WMIType, WMIProperty: string): string; var Wmi..., Objs, Obj: OleVariant; Enum: IEnumVariant; C: Cardinal; s:string; begin Wmi:= CreateOleObject...('WbemScripting.SWbemLocator'); Objs := Wmi.ConnectServer('.'...RPC_C_IMP_LEVEL_IMPERSONATE, nil, EOAC_NONE, nil)) then Exit; // Obtain the initial locator to WMI...CLSID_WbemLocator, nil, CLSCTX_INPROC_SERVER, IID_IWbemLocator, FWbemLocator)) then try // Connect to WMI
https://docs.microsoft.com/zh-cn/windows/win32/wmisdk/about-wmi https://mp.weixin.qq.com/s/0Nu8QQG99RNlB8HdlQgQsw...WMI介绍 WMI的全名为"Windows Management Instrumentation"。 从win98开始，Windows操作系统都支持WMI，WMI可以在本地或者远程管理计算机系统。...具体可以参考：https://docs.microsoft.com/zh-cn/windows/win32/wmisdk/using-wmi 2....WMI常用命令 以下操作均在win7上执行。...总结 本文对WMI的基本用法做了一个归类，其中参考了众多师傅的文章，WMI的用法远不止于此，而且本文是未对存在杀软的环境进行分析，等以后有机会再去探讨吧。
WMI利用 （权限维持） 讲在前面 作者：pingpig@深蓝攻防实验室 在简单了解了WMI后，我们开始了横向移动，包括其中的信息收集，工具利用。...笔者看了国内外部分文章后，发现WMI做权限维持主要是介绍WMI事件，并将其分为永久事件和临时事件，本文参考部分博客文章对WMI事件进行讲解，不足之处，望及时指出。...相关文章：WMI讲解(是什么，做什么，为什么) WMI利用(横向移动) 什么是WMI事件 WMI事件，即特定对象的属性发生改变时发出的通知，其中包括增加、修改、删除三种类型。...通俗的可以说：WMI内部出现什么变化就由WMI事件来进行通知。...对于WMI事件的官方解释以及部分博客解释： · WMI事件通知 · 接收WMI事件 查询事件 列出事件过滤器 Get-WMIObject -Namespace root\Subscription -Class
攻击检测 WMI攻击检测 谢公子学安全 讲在前面 作者：pingpig@深蓝攻防实验室 在前面的文章中我们讲了：WMI讲解(是什么，做什么，为什么) WMI利用(横向移动)...WMI利用（权限维持） 今天主要分享的是WMI攻击检测。...总之两点： 做好 WMI 连接的网络流量监控，一般不使用 WMI 的环境若出现了使用 WMI的情况，则内部网络可能已经被入侵。 做好进程监控，监测”wmic.exe“的命令行参数及其执行的命令。...WMI 方法。...若通过 WINRM 协议执行时，WMI 流量看起来像 HTTP，并且再次与通过 SVCCTL 接口时完全不同。这意味着 WMI技术可以有效地规避任何流量检测其横向移动的操作。
ManagementClass c = new ManagementClass("Win32_DiskQuota");
) 是可伸缩的系统管理结构，它采用一个统一的、基于标准的、可扩展的面向对象接口。..." 查询应用程序数据（使用对象关系的遍历和查询）。 " 执行无缝的本地或远程管理操作。 ...此命名空间包括下列支持 WMI 操作的第一级类对象： " ManagementObject 或 ManagementClass：分别为单个管理对象或类。 ...请参见 使用 WMI 管理应用程序 | 检索管理对象的集合 | 查询管理信息 | 预订和使用管理事件 | 执行管理对象的方法 | 远程处理和连接选项 | 使用强类型对象 获取CPU序列号代码 string...,INSERT等更新操作 3、代码很简单、通俗易懂 4、我们采用了一种MOF（托管对象格式）的显示。
PS C:\Users\AT> Get-CimInstance -query 'Select * from Win32_BIOS' -Namespace roo...
它支持分布式组件对象模型（DCOM）和Windws远程管理（WinRM），用户可通过WMI服务访问、配置、管理和监视Windows所有资源的功能，对于其他的Win32操作系统来讲WMI是一个非常不错的插件...WMI交互时更具有一定的灵活性，下述为Powershell可与WMI交互的功能。...不会浏览命名空间，需要我们手动选择连接到指定命名空间)，默认选择root\cimv2，届时，通过Wbemtest工具进行枚举对象实例、执行查询、创建和修改WMI类和对象操作。...Winrm是WS 管理协议的 Microsoft 实现，WS 管理协议是一种基于简单对象访问协议 （SOAP） 的标准防火墙友好型协议，当我们开启winrm服务后占用的端口(默认情况下，Winrm http...WMI资源管理器允许用户浏览完整的WMI管理类集、对象及其属性，浏览远程计算机上的对象和设置，以及执行任何WQL查询和查看结果集6.WSHVBScript和JScript是Microsoft提供的两种WSH
2021 WMI利用 （横向移动） 谢公子学安全 讲在前面 作者：pingpig@深蓝攻防实验室 上一篇文章我们简单的解释了什么是WMI，WMI做什么，为什么使用WMI。...本文是笔者在阅读国内部分的解释WMI横向移动的文章后写下的一篇文章，希望帮助同学们在攻防中进入横向移动后根据实际场景利用WMI来解决问题。...WMIcmd.exe在域内使用 pth-wmic 注意：此为kali内置工具，只能执行一些WMI命令，无法执行其他命令....参考文章 内网横移之WinRM 内网渗透|基于WMI的横向移动 WmiScan 135端口智能密码/WMI密码爆破 WinRM的横向移动详解 WMI横向移动 不需要 Win32_Process – 扩展...WMI 横向运动 利用wmic调用xsl文件的分析与利用 利用WMIC执行Payload
在《WMI技术介绍和应用——WMI概述》中介绍了我们可以使用C++、.net或者支持ActiveX技术的脚本语言来使用WMI。...但是各种语言对WMI的控制能力是不同的，比如脚本语言只能用来从WMI获取数据或者接收事件通知。而C++还可以编写WMI提供者和发送消息。...在《WMI技术介绍和应用——WMI概述》中我们提到，WMI中存在诸如root\default、root\cimv2等WMI命令空间。...连接的安全等级 一般来说，如果没有设置正确的安全属性，COM是不允许一个进程去访问另一个进程的中的对象。...我们上步获得的IWbemServices接口代理就需要访问WMI服务进程中的对象，所以我们要对该代理设置安全等级。
########################################################### import os, sys import time import wmi...##################################### def get_memory_info(): tmpdict = {} c = wmi.WMI
import threading import win32api import win32con import Queue c = wmi.WMI() # 如果要连接远程机器，只需要在WMI构造器中指定远程机器名即可...# c = wmi.WMI("some_other_machine") # List All Running Processes # 列出所有正在运行的进程 for process in c.Win32...WMI构造器允许你传入一个完整的别名，或者是指定你需要的那一部分。\ # 使用wmi.WMI.__init__的帮助文档可以找到更多相关内容。...# List registry keys # 列出注册表子键 # 注：本例及以下几例使用了Registry()这个方便的函数，此函数是早期加入到wmi包的，它等效于： r = wmi.WMI(namespace...="secret" ) n = wmi.WMI(wmi=connection) # # Using wmi module at least 1.0rc3 # n = wmi.WMI( computer
本文告诉大家如何通过 WMI 获取补丁 通过 Win32_QuickFixEngineering 可以获取系统启动的服务 Get-WmiObject Win32_QuickFixEngineering
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
即时通信 IM
实时音视频
