WMI全称为Windows Management Instrumentation，即Windows管理规范，是Windows 2K/XP管理系统的核心。它属于管理数据和操作的基础模块，设计WMI的初衷是为了能达到一种通用性，通过WMI去操作系统、应用程序等去管理本地或者远程资源。它支持分布式组件对象模型（DCOM）和Windws远程管理（WinRM），用户可通过WMI服务访问、配置、管理和监视Windows所有资源的功能，对于其他的Win32操作系统来讲WMI是一个非常不错的插件，同时也是测试人员在攻防实战中一个很完美的“无文件攻击”入口途径。
.Net本身没有封装对快捷方式的操作类，所以要在C#中操作快捷方式，需要借助“外力”。市面上常见的方法是通过Windows Script Host Object Model这个COM组件来完成。这种方法的缺憾是你的程序必须带上Interop.IWshRuntimeLibrary.dll这个文件（不过也许可以把这个dll并入exe中再动态加载什么的）。
Windows Management Instrumentation（WMI）是一种用于管理和监视Windows操作系统的框架。它为开发人员、系统管理员和自动化工具提供了一种标准的接口，通过这个接口，可以获取有关计算机系统硬件、操作系统和应用程序的信息，以及对系统进行管理和控制的能力。
在.NET中轻松获取系统信息(1) －WMI篇 Montaque 申明： 1、个人的一点心得，仅供参考 2、转载时候，请保留原本。 概述： 不知道大家有没有这种体会？有时候为了获取系统一点点信息，比如考虑一下操作系统的版本号，或者当前屏幕的分辨率。其实说到底就是读操作系统某个方面的一个属性值而已，然后就看到我们的程序中密密麻麻的Win32 API申明，调用，代码的可读性和维护性不言而喻。到了.NET，微软提供了更为丰富的类，有很多以前要调用API的方法可以在.NET中轻
在简单了解了WMI后，我们开始了横向移动，包括其中的信息收集，工具利用。那么在我们短暂的获取权限后，如何才能将权限持久化，也就是所说的权限维持住呢？笔者看了国内外部分文章后，发现WMI做权限维持主要是介绍WMI事件，并将其分为永久事件和临时事件，本文参考部分博客文章对WMI事件进行讲解，不足之处，望及时指出。
时间序列预测可以使用经典预测方法和深度学习方法。经典预测方法如ETS、ARIMA等为每个时间序列独立地拟合模型，而深度学习方法在给定的数据集中学习时间序列。
本文是以WMI的重写版，本来这份笔记会更长，原版的笔记以Black Hat 2015的Abusing Windows Management Instrumentation (WMI) to Build a Persistent, Asyncronous, and Fileless Backdoor为主要学习资料，在笔记写到大概一万字的时候，Typora 中保存的内容部分丢失。于是重新整理，有了这份，我认为精简版的WMI笔记。
这篇文章是有关 WMI 的多篇系列文章中的第一篇，如果读者对 PowerShell 有个基本的了解，那么对阅读本篇文章会有所帮助，但这不是必需的。
在《WMI技术介绍和应用——VC开发WMI应用的基本步骤》文中，我们介绍了VC使用WMI技术的基本框架。本节我将讲解封装和实现一个用于半同步查询WMI的类。（转载请指明出于breaksoftware的csdn博客）
EventFilter（事件过滤器）存储在一个ROOT\subscription:__EventFilter对象的实例里，其主要作用是使用WMI的查询语言来过滤审核特定的事件，一个事件过滤器接受一个WMI事件查询参数，同时EventFilter事件过滤器可以对Intrinsic Events (内部事件)和Extrinsic Events (外部事件）进行事件查询。
unit Unit1; interface uses Windows, Messages, SysUtils, Variants, Classes, Graphics, Controls, Forms, Dialogs,SiMath,SimEncrypt, StdCtrls,ActiveX,ComObj,JwaWbemCli; type TForm1 = class(TForm) Button1: TButton; Memo: TMemo; Button2: TB
先不说如何实现，先来看看效果图： 读取远程的需要提供下远程的计算用户名和密码即可。 如何实现这个代码功能，请看如下代码部分： #region//获取日志文件 ///
零、前言： 个人感觉Picasso还是非常好用的，它是图片加载的类库 1.依赖 implementation 'com.squareup.picasso:picasso:2.71828' 2.如果是请求网络图片：记得权限 <uses-permission android:name="android.permission.INTERNET"/> 3.如果是SD卡图片：记得权限、及运行时处理 <uses-permission android:name="android.p
在当今计算机应用广泛的领域中，了解系统的内存、CPU和GPU使用情况是非常重要的。对于开发人员和系统管理员来说，准确获取这些信息可以帮助他们优化软件性能、诊断问题并做出相应的调整。在Windows平台上实现这一目标会涉及到调用Windows系统API，使用合适的工具和库来获取所需的信息。
“WMI是微软为基于Web的企业管理（WBEM）规范提供的一个实现版本，而WBEM则是一项行业计划，旨在开发用于访问企业环境中管理信息的标准技术。WMI使用公共信息模型（CIM）行业标准来表示系统、应用程序、网络、设备和其他托管组件。”
在《WMI技术介绍和应用——事件通知》一文中，我们提到了提供者（Provider）这个概念。我们还是要引入WMI的结构图（转载请指明出于breaksoftware的csdn博客）
您可以使用本主题中的过程和代码示例来创建完整的WMI客户端应用程序，该应用程序执行COM初始化，连接到远程计算机上的WMI，半同步获取数据，然后清理。
显示网卡当前速度的脚本,速度是指网卡的连接速度，就是鼠标放到网卡图标上显示的速度
本文使用了《WMI技术介绍和应用——使用VC编写一个半同步查询WMI服务的类》中代码做为基础。本节只是列出了WQL语句，具体使用参看前面的例子。（转载请指明出于breaksoftware的csdn博客）
版权声明：本文为博主原创文章，未经博主允许不得转载。 https://blog.csdn.net/breaksoftware/article/details/8579620
实际上bstr很像delphi里面的string，平时只是指向pchar或pwchar，但是在pchar和pwchar的前面却有长度信息，以下是一段来自网络的解释：
SharpSCCM是一款功能强大的横向渗透和凭证收集工具，该工具主要利用了微软终端配置管理器（SCCM）来实现其功能，并能够通过访问SCCM管理终端GUI来实现横向渗透和凭证收集。
在《WMI技术介绍和应用——Instance/Method Provider》一文中，我们介绍了Instance和Method Provider的编写方法。本文我们将介绍更有意思的“事件提供者”。在《WMI技术介绍和应用——事件通知》中，我们曾经提到事件是分为两种：intrinsic event和extrinsic event。这两种事件提供者在编写上也非常类似，我们先以extrinsic event为例。（转载请指明出于breaksoftware的csdn博客）
前言 Proofpoint的安全研究员发现并分析了这个新型恶意软件并命名为NerbianRAT，此恶意软件使用了反分析和反逆向功能，该恶意软件是使用Golang编写的64位程序，主要传播方式为冒充世界卫生组织发送的COVID-19相关的安全措施邮件，通过邮件附件中有VBA宏的Word文档传播。 样本运行流程 样本IOCs 名称:ee1bbd856bf72a79221baa0f7e97aafb6051129905d62d74a37ae7754fccc3db.doc 大小:280469 字节
Windows Management Instrumentation (WMI) 使系统管理员能够在本地和远程执行任务。从红队的角度来看，WMI 可用于执行多种活动，例如横向移动、持久性、态势感知、代码执行以及作为命令和控制(C2)。WMI 是几乎所有 Windows 操作系统（Windows 98-Windows 10）中都存在的 Windows 的一部分，这一事实使这些攻击性活动远离蓝队的雷达。
PEB结构中ProcessParameters是命令行参数，通过在内存中获取到ProcessParameters的地址，进行覆盖，替换参数。peb结构：https://docs.microsoft.com/en-us/windows/win32/api/winternl/ns-winternl-peb
cloud-init是云平台为Linux操作系统的虚拟机做系统初始化配置的开源服务软件。阿里云、AWS、Azure和OpenStack等主流云平台均支持cloud-init。cloud-init系统启动阶段完成系统初始化配置。包括但不限于下面的定制化工作
在《WMI技术介绍和应用——Event Provider》和《WMI技术介绍和应用——接收事件》中，我们展现了如何处理和事件相关的WMI知识。而《WMI技术介绍和应用——接收事件》一文则主要讲解了如何查询事件，这种查询是在我们进程存在时发生的，一旦我们进程不存在了，这种查询也无法执行。我们将这种行为称为消费事件，我们执行查询的进程叫做“事件临时消费者”。相对应的，WMI还存在“事件永久消费者”，它并不寄生我们的编写的进程中。本文主要讲解“事件永久消费者”的编写方法。（转载请指明出于breaksoftware的csdn博客）
网络罪犯利用加密挖矿恶意软件盗用计算资源牟利。早在2017年，已经观察到他们如何应用无文件技术使检测和监测更加困难。
这是PingCode研发团队的分享精神，而这样的精神，在过去7年中已经闪耀了100次。
Wmic, 即 Windows Management Instrumentation Command-Line Utility，通过这个工具我们可以获取计算本地的很多信息。
Cpp File: // hotfixtest.cpp : 定义控制台应用程序的入口点。 // #include "stdafx.h" #include "hotfix.h" int _tmain(int argc, _TCHAR* argv[]) { //系统共享检测代码 NetShare Myshare[50]; int shareno = GetNetShare(Myshare); std::cout < < "-----------------------------
源文件： #include "stdafx.h" #include "hotfix.h" int _tmain(int argc, _TCHAR* argv[]) { //WmiInit(); Hotfix h[200]; int counts=Gethotfix(h); std::cout < < "Hotfix Begin：" < 头文件： #ifndef _WIN32_DCOM #define _WIN32_DCOM #endif #include "stdafx.h" #include
受bin牛委托修改并发布，版权归bin牛所有。 Bug/建议提交：zcgonvh@rootkit.net.cn 祝各位马年大吉，财源滚滚。 免责声明： 本程序只用于管理员安全检测，使用前请注意环境与法律法规，因使用不当造成的后果本人不承担任何责任。 已测试的系统： win2003+iis6+.net 2.0 win2008+iis7+.net 4.0 win8+iis8+.net 4.5 注意：此版本最低需要.net 2.0环境，不再支持.net 1.1。如果目标机器是.net 1.1，请换用AspxSp
时隔两三年，再次更新WMI系列博文。好在功能在三年前就已经实现了，现在只要补充些实例即可。
Main File(hotfixtest.cpp)[Fix vista Filetime]:
Impacket是用于处理网络协议的Python类的集合，用于对SMB1-3或IPv4 / IPv6 上的TCP、UDP、ICMP、IGMP，ARP，IPv4，IPv6，SMB，MSRPC，NTLM，Kerberos，WMI，LDAP等协议进行低级编程访问。数据包可以从头开始构建，也可以从原始数据中解析，而面向对象的API使处理协议的深层次结构变得简单。
[TOC] 0x00 前言简述 Q: 什么是WMI? 答: WMI出现至今已经多年，但很多人对它并不熟悉。知道它很好很强大，但不知道它从哪里来，怎么工作，使用范围是什么？ WMI有一组API我们不管
内网中，由于大多数 Windows 系统自带 wmic 命令， 所以 WMIC 是内网横向的常用方法之一，使用 WMI 的前置要求是，目标端口开放 135 端口，且允许随机一个高位端口进行通信。这是由于 WMI 是先通过 135 端口建立连接，而后通过随机的高位端口进行数据传输。
在一般用户权限下，通常是将要执行的后门程序或脚本路径填写到如下注册表的键值中HKCU\Software\Microsoft\Windows\CurrentVersion\Run，键名任意。普通权限即可运行
近日，深信服发现一种具有高强度病毒对抗行为的新型的挖矿病毒，其病毒机制与常规挖矿相差较大，一旦感染上，清理难度极大。目前该病毒处于爆发初期，深信服已将此病毒命名为EnMiner挖矿病毒，并将持续追踪其发展状况并制定详细的应对措施。
public class DNSAdminLib { //要连接的DNS服务器 private string sServerPath; //用户名 private string username = null; //密码 private string password = null; //服务器名称或IP地址 private string DNSName = null; //表示管理操作的范围.这里是用来执行DNS的命名空间 private ManagementScope DNS; //用于返回检索的ManagementObject集合 private System.Management.ManagementObjectCollection Q; // private ManagementClass DnsClass; // private ManagementBaseObject MI; /// /// DNS服务器名称或IP地址 /// public string ServerName { set { this.sServerPath = string.Format(@”//{0}/root/MicrosoftDNS”, value); this.DNSName = value; } }
本文使用了《WMI技术介绍和应用——使用VC编写一个半同步查询WMI服务的类》中代码做为基础。本节只是列出了WQL语句，具体使用参看前面的例子。
Turla，也被称为 Snake，是一个臭名昭著的间谍组织，以其复杂的恶意软件而闻名。Turla 至少从 2008 年就开始运作，当时它成功攻击了美国军队。最近，它参与了对德国外交部和法国军队的重大攻击事件。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
即时通信 IM
实时音视频
