免责声明
本文仅用于技术讨论与学习，利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，文章作者及本公众号不为此承担任何责任。
WMI 查询
经过前两章的铺垫，我们本章终于可以了解一些WMI实际的利用。本章将介绍WMI查询。WMI查询功能是通过WQL语言实现的。
-
实例查询 —— 用于查询 WMI 类的实例； -
事件查询 —— 用于一个 WMI 事件注册机制，例如 WMI 对象的创建、 删除或修改； -
元查询 —— 用于查询 WMI 类架构
实例查询
SELECT [Class property name|*] FROM [CLASS NAME]SELECT * FROM Win32_Process WHERE Name LIKE "%chrome%"
事件查询
SELECT [Class property name|*] FROM [INTRINSIC CLASS NAME] WITHIN [POLLING INTERVAL]SELECT [Class property name|*] FROM [EXTRINSIC CLASS NAME]SELECT * FROM __InstanceCreationEvent WITHIN 1 WHERE TargetInstance ISA 'Win32_Process'
元查询
SELECT [Class property name|*] FROM [Meta_Class<WHERE [CONSTRAINT]>SELECT * FROM Meta_Class WHERE __Class LIKE "Win32%"wmic process listSELECT * FROM Win32_Processwmic process where name="explorer.exe" get Caption,ProcessId,ExecutablePath
总结
本文介绍了WMI的三种查询格式，以及如何使用WMIC完成示例查询。实际上WMI可以与Powershell、C等配合完成一系列复杂的操作。下一章我们将介绍WMIC如何与Powershell进行交互完成一系列强大的操作。
原文始发于微信公众号（赛博安全狗）：【权限维持技术】Windows: WMI 无文件后门（三）—— WQL查询
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论