Mirrors/hacktricks
2
0
Fork 0
mirror of https://github.com/carlospolop/hacktricks synced 2024-11-26 22:52:06 +00:00
Code Issues Projects Releases Packages Wiki Activity
hacktricks/windows-hardening/ntlm/wmicexec.md
Translator workflow 9f40607d8c Translated to Afrikaans
2024-02-11 02:07:06 +00:00

6.6 KiB
Raw Blame History

WmicExec

Leer AWS-hacking van nul tot held met htARTE (HackTricks AWS Red Team Expert)!

Ander maniere om HackTricks te ondersteun:

Hoe dit werk verduidelik

Prosesse kan geopen word op gasheer-rekenaars waar die gebruikersnaam en óf wagwoord óf hasj bekend is deur die gebruik van WMI. Opdragte word uitgevoer met behulp van WMI deur Wmiexec, wat 'n semi-interaktiewe skulpervaring bied.

dcomexec.py: Deur gebruik te maak van verskillende DCOM-eindpunte, bied hierdie skrip 'n semi-interaktiewe skulp soortgelyk aan wmiexec.py, wat spesifiek gebruik maak van die ShellBrowserWindow DCOM-voorwerp. Dit ondersteun tans MMC20. Toepassing, Skulpvensters en Skulpblaaivenster-voorwerpe. (bron: Hacking Articles)

WMI Fundamentele beginsels

Naamruimte

Gestruktureer in 'n gidsstyl-hierargie, is WMI se topvlakhouer \root, waarby addisionele gidslyne, bekend as naamruimtes, georganiseer is. Opdragte om naamruimtes te lys:

# Retrieval of Root namespaces
gwmi -namespace "root" -Class "__Namespace" | Select Name

# Enumeration of all namespaces (administrator privileges may be required)
Get-WmiObject -Class "__Namespace" -Namespace "Root" -List -Recurse 2> $null | select __Namespace | sort __Namespace

# Listing of namespaces within "root\cimv2"
Get-WmiObject -Class "__Namespace" -Namespace "root\cimv2" -List -Recurse 2> $null | select __Namespace | sort __Namespace

Klasse binne 'n namespace kan gelys word deur die volgende te gebruik:

gwmwi -List -Recurse # Defaults to "root\cimv2" if no namespace specified
gwmi -Namespace "root/microsoft" -List -Recurse

Klasse

Om 'n WMI-klassenaam te ken, soos win32_process, en die namespace waarin dit voorkom, is van kritieke belang vir enige WMI-operasie. Opdragte om klasse te lys wat begin met win32:

Get-WmiObject -Recurse -List -class win32* | more # Defaults to "root\cimv2"
gwmi -Namespace "root/microsoft" -List -Recurse -Class "MSFT_MpComput*"

Roep van 'n klas aan:

# Defaults to "root/cimv2" when namespace isn't specified
Get-WmiObject -Class win32_share
Get-WmiObject -Namespace "root/microsoft/windows/defender" -Class MSFT_MpComputerStatus

Metodes

Metodes, wat een of meer uitvoerbare funksies van WMI-klasse is, kan uitgevoer word.

# Class loading, method listing, and execution
$c = [wmiclass]"win32_share"
$c.methods
# To create a share: $c.Create("c:\share\path","name",0,$null,"My Description")

# Method listing and invocation
Invoke-WmiMethod -Class win32_share -Name Create -ArgumentList @($null, "Description", $null, "Name", $null, "c:\share\path",0)

WMI Enumerasie

WMI Diensstatus

Opdragte om te verifieer of die WMI-diens operasioneel is:

# WMI service status check
Get-Service Winmgmt

# Via CMD
net start | findstr "Instrumentation"

Stelsel- en Prosesinligting

Versamel stelsel- en prosesinligting deur middel van WMI:

Get-WmiObject -ClassName win32_operatingsystem | select * | more
Get-WmiObject win32_process | Select Name, Processid

Vir aanvallers is WMI 'n kragtige instrument om sensitiewe data oor stelsels of domeine te ontleed.

wmic computerystem list full /format:list
wmic process list /format:list
wmic ntdomain list /format:list
wmic useraccount list /format:list
wmic group list /format:list
wmic sysaccount list /format:list

Handmatige Afstands-WMI-navrae

Stiekeme identifikasie van plaaslike administrateurs op 'n afgeleë masjien en aangemelde gebruikers kan bereik word deur spesifieke WMI-navrae. wmic ondersteun ook lees van 'n tekslêer om op meerdere nodusse gelyktydig opdragte uit te voer.

Om 'n proses oor WMI afstandelik uit te voer, soos die implementering van 'n Empire-agent, word die volgende opdragskrustruktuur gebruik, met suksesvolle uitvoering aangedui deur 'n terugkeerwaarde van "0":

wmic /node:hostname /user:user path win32_process call create "empire launcher string here"

Hierdie proses illustreer WMI se vermoë om op afstand uitgevoer te word en stelselopname, en beklemtoon sy bruikbaarheid vir beide stelseladministrasie en penetrasietoetsing.

Verwysings

Outomatiese Gereedskap

{% code overflow="wrap" %}

SharpLateral redwmi HOSTNAME C:\\Users\\Administrator\\Desktop\\malware.exe

{% endcode %}

Leer AWS-hacking van nul tot held met htARTE (HackTricks AWS Red Team Expert)!

Ander maniere om HackTricks te ondersteun: