WMI攻击-基础篇（一）

#WMI攻击-基础篇（一）

这篇文章是关于WMI攻击系列文章的第一部分，面向新手。如果对Powershell有一定了解会对阅读本文有所帮助，但这并不是必需的，我们直接上干货。

#1、概述

为什么是WMI？

WMI 是 Microsoft 的一组规范，是为了对 Windows 系统进行快速高效的管理。WMI 存在于所有可用的 Windows 操作系统版本中。正如你可能知道的那样，安全规则说“任何对管理有用的东西也很容易被攻击者滥用”。 WMI 确实可以做很多事情——从收集计算机状态和配置设置到运行应用程序和执行代码。

什么是WMI？

WMI 全称 Windows Management Instrumentation，它是 Microsoft对 CIM（通用信息模型）和 WBEM（基于 Web 的企业管理）的实现——这两者都是 DMTF（分布式管理任务组）标准。 WMI 为应用程序/脚本提供了一个统一的界面来管理计算机（可能是远程的和本地的）——包括。流程、服务等。

WMI架构

了解体系结构对于了解整个WMI生态系统的工作方式非常重要。下图描述了WMI体系结构的大概组成(源自 Graeber 在 BHUSA 15 的演讲)：

主要组件有：

• Clients/Consumers： 与 WMI 类交互以查询数据、运行方法等的最终使用者。常见客户端有：wmic.exe, wbemtest.exe, winrm.exe, VBScript/JScript 和 ofc Powershell cmdlets。
• Query Languages：和 SQL