How It Works Explained
プロセスは、ユーザー名とパスワードまたはハッシュが知られているホストでWMIを使用して開くことができます。コマンドはWmiexecによってWMIを使用して実行され、セミインタラクティブなシェル体験を提供します。
dcomexec.py: 異なるDCOMエンドポイントを利用して、このスクリプトはwmiexec.pyに似たセミインタラクティブなシェルを提供し、特にShellBrowserWindow DCOMオブジェクトを活用します。現在、MMC20、アプリケーション、シェルウィンドウ、およびシェルブラウザウィンドウオブジェクトをサポートしています。(source: Hacking Articles )
WMI Fundamentals
Namespace
ディレクトリスタイルの階層で構成されているWMIの最上位コンテナは\rootであり、その下に名前空間と呼ばれる追加のディレクトリが整理されています。 名前空間をリストするためのコマンド:
Copy # Retrieval of Root namespaces
gwmi -namespace "root" -Class "__Namespace" | Select Name
# Enumeration of all namespaces (administrator privileges may be required)
Get-WmiObject -Class "__Namespace" -Namespace "Root" -List -Recurse 2> $null | select __Namespace | sort __Namespace
# Listing of namespaces within "root\cimv2"
Get-WmiObject -Class "__Namespace" -Namespace "root\cimv2" -List -Recurse 2> $null | select __Namespace | sort __Namespace 名前空間内のクラスは、次のようにリストできます:
Copy gwmwi -List -Recurse # Defaults to "root\cimv2" if no namespace specified
gwmi -Namespace "root/microsoft" -List -Recurse クラス
WMIクラス名（例：win32_process）とその存在する名前空間を知ることは、すべてのWMI操作において重要です。
win32で始まるクラスをリストするコマンド：
Copy Get-WmiObject -Recurse -List -class win32* | more # Defaults to "root\cimv2"
gwmi -Namespace "root/microsoft" -List -Recurse -Class "MSFT_MpComput*" クラスの呼び出し:
Copy # Defaults to "root/cimv2" when namespace isn't specified
Get-WmiObject -Class win32_share
Get-WmiObject -Namespace "root/microsoft/windows/defender" -Class MSFT_MpComputerStatus 方法
メソッドは、WMI クラスの 1 つ以上の実行可能な関数であり、実行できます。
Copy # Class loading, method listing, and execution
$c = [wmiclass] "win32_share"
$c.methods
# To create a share: $c.Create("c:\share\path","name",0,$null,"My Description")
Copy # Method listing and invocation
Invoke-WmiMethod -Class win32_share -Name Create -ArgumentList @($null, "Description", $null, "Name", $null, "c:\share\path",0) WMI列挙
WMIサービスの状態
WMIサービスが稼働しているか確認するためのコマンド:
Copy # WMI service status check
Get-Service Winmgmt
# Via CMD
net start | findstr "Instrumentation" システムおよびプロセス情報
WMIを通じてシステムおよびプロセス情報を収集する：
Copy Get-WmiObject -ClassName win32_operatingsystem | select * | more
Get-WmiObject win32_process | Select Name, Processid 攻撃者にとって、WMIはシステムやドメインに関する機密データを列挙するための強力なツールです。
Copy wmic computerystem list full /format:list
wmic process list /format:list
wmic ntdomain list /format:list
wmic useraccount list /format:list
wmic group list /format:list
wmic sysaccount list /format:list リモートで特定の情報、例えばローカル管理者やログオンユーザーのWMIクエリは、慎重なコマンド構築によって実現可能です。
手動リモートWMIクエリ
リモートマシン上のローカル管理者やログオンユーザーのステルス識別は、特定のWMIクエリを通じて達成できます。wmicは、複数のノードでコマンドを同時に実行するためにテキストファイルからの読み取りもサポートしています。
WMIを介してプロセスをリモートで実行するためには、Empireエージェントを展開するなど、以下のコマンド構造が使用され、成功した実行は戻り値「0」で示されます：
Copy wmic /node:hostname /user:user path win32_process call create "empire launcher string here" このプロセスは、リモート実行とシステム列挙のためのWMIの能力を示しており、システム管理とペネトレーションテストの両方におけるその有用性を強調しています。
参考文献
自動ツール
Copy SharpLateral redwmi HOSTNAME C: \\ Users \\ Administrator \\ Desktop \\ malware.exe 
