28、深入探索Windows系统的远程管理与后渗透技术

深入探索Windows系统的远程管理与后渗透技术

1. 利用WMI进行系统信息查询与命令执行

Windows Management Instrumentation（WMI）是一套用于跨企业访问系统配置信息的规范。管理员可借助WMI查看目标系统的进程、补丁、硬件等诸多信息，还能依据调用用户的权限列出、创建、删除和更改目标系统的数据。对于攻击者而言，WMI是了解目标系统并操纵其状态的有力工具。

1.1 查询系统信息

若想通过WMI查询目标系统的信息，需构建WMI Query Language（WQL）查询语句。WQL与用于数据库查询的Structured Query Language（SQL）相似。以查询登录用户信息为例，可选择查询 win32_logonsession 类，该类包含登录会话、登录类型、开始时间等信息。
- 构建查询 ：从 win32_logonsession 类中选取 LogonType （登录类型）和 LogonId （登录会话的内部ID号）这两个数据。
- 执行查询 ：使用Kali中的WMI客户端，如 pth - wmic 。其语法与 Winexe 工具类似，需指定用户、主机，再添加WQL查询语句。执行命令后，会返回登录会话的相关信息。
- 筛选结果 ：参考不同登录类型的含义（如下表），将查询范围限定为类型2和类型10的登录，以找出交互式用