0%

强大工具wmic的学习记录

Windows 系统自带的 wmic 命令——内网大杀器!

在用WMIC执行命令过程中,操作系统默认不会将WMIC的操作记录在日志中,因此也是红队必备!

但要记得

使用WMIC连接远程主机,需要目标主机开放135和445(135 端⼝是 WMIC 默认的管理端⼝,445是远程连接端口)

可用netstat -an查看开放端口

由于这几天比较急着学,所以只学暂时会用到的,本篇笔记不包含所有用法!【回头填坑,画大饼中】

想要把回显的结果保存到文本里就在最后加上 > D:\1.txt 即可

查看主机内的账号
1
2
3
4
本地:
wmic useraccount get name,SID
远程:
wmic /node:192.168.155.137 /user:"administrator" /password:"qwe123" useraccount get name,SID

查看工作组/域
1
2
3
4
本地:
wmic computersystem get domain
远程:
wmic /node:192.168.155.137 /user:"administrator" /password:"qwe123" computersystem get domain

列出进程的核心信息
1
2
3
4
本地:
wmic process list brief
远程:
wmic /node:192.168.155.137 /user:"administrator" /password:"qwe123" process list brief

wmic开启3389端口
1
2
3
4
本地:
wmic RDTOGGLE WHERE ServerName='QBY-11A2C3B9FAE' call SetAllowTSConnections 1
远程:
wmic /node:192.168.155.137 /user:"administrator" /password:"qwe123" process call create 'cmd.exe /c REG ADD "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server" /v fDenyTSConnections /t REG_DWORD /d 0 /f'

wmic开启telnet服务

1
2
3
4
本地:
wmic SERVICE where name="tlntsvr" call startservice
远程:
wmic /node:192.168.155.137 /user:"administrator" /password:"qwe123" SERVICE where name="tlntsvr" call startservice

获取可执行文件的路径
1
2
3
4
本地:
wmic process where name="vmtoolsd.exe" get executablepath
远程:
wmic /node:192.168.155.137 /user:"administrator" /password:"qwe123" process where name="vmtoolsd.exe" get executablepath

执行程序
1
2
3
4
5
6
7
本地:
wmic process call create "calc"
远程:(未成功打开)
wmic /node:192.168.155.137 /user:"administrator" /password:"qwe123" process call create "calc"

wmic /node:192.168.155.137 /user:"administrator" /password:"qwe123" process call create 'cmd.exe /c calc'
虽然回显了,但是那台靶机并没有弹出计算器,不晓得啥情况

这是两张本地验证。

虽然在日志不留痕迹,但事实上如果本地有杀软还是会拦截并有弹窗提示。

因此,对抗杀软也是学习安全必经之路。希望自己可以开个坑来琢磨一下~


星光不问赶路人,时光不负有心人。