介绍

最近，我发现了一种使用 wmplayer.exe（旧版 Windows Media Player）下载精心制作文件的方法。该媒体播放器仍然存在并存在于 Windows 11 中，可用于通过指示它播放远程视频来下载编码文件。

优点- 二进制文件由 Microsoft 签名，这有助于将下载保持在雷达下。- 作为旧版二进制文件，它可用于包括 Windows 11 在内的许多 Windows 版本。

缺点- 它无法在后台运行，因为它打开了媒体播放器并会引发错误。- 文件需要编码并具有特定的扩展名（有关更多信息，请参阅 sources 部分）。- 传输后需要清理数据。- 处理较大的文件时，数据质量会变得不太可靠。在测试期间，高达 400 KB 的脚本似乎始终如一地工作。较大的文件需要拆分并使用多个请求或播放列表文件进行提取。

如果 Legacy Media Player 以前从未运行过，则应用程序会要求设置默认设置或自定义设置。这确实可以执行一次，理论上可以通过将所有正确的键（如 FirstRun、TrackUsage 等）写入 来绕过。HKCU:SoftwareMicrosoftMediaPlayerPreferences

下载文件

下载命令非常简单，以下示例显示了如何使用 PowerShell 通过远程视频 （wma） 文件启动旧版 Windows Media Player：

查找和使用文件

远程文件将下载到 INetCache，作为 dat 文件存储在本地 appdata 中。该文件包含一些不可用的字节块，需要在解码文件之前剥离这些字节块。剥离这些字节后，将应用过滤器，以便仅保留 base64 字符。

下面的 PowerShell 脚本在 INetCache 中搜索 dat 文件，清理、解码并执行它们。该脚本假定传输的文件包含 base64 编码的 PowerShell 代码：

whoami > C:\Windows\Tasks\proof.txt

lastplayed.wpl

除了通过命令行启动 wmplayer.exe 并传递远程位置外，还可以使用播放列表文件 （.wpl） 来开始下载。

以下示例显示了 lastplayed.wpl 的内容，它用于包含播放并存储在 的最后一个文件。~AppDataLocalMicrosoftMedia Playerlastplayed.wpl

此文件可以在任何位置创建并直接启动。它将根据您的 Windows 版本和安装的应用程序，打开旧版或 Zune 媒体播放器并获取文件。在测试过程中，我注意到 Zune 媒体播放器（在本例中为 ）未签名。Microsoft.Media.Player.exeC:Program FilesWindowsAppsMicrosoft.ZuneMusic_<VERSION>

来源

原文始发于微信公众号（安全狗的自我修养）：使用 wmplayer 下载远程文件