《ZABBIX全栈级监控实践》系列将由浅入深探讨如何实现ZABBIX全栈级别的监控。
Windows 长久以来在 CIM 实施领域一直傲立桥头，而这一切都是从 WMI（Windows 管理基础结构）开始的。分布式管理任务组 (DMTF) 通用信息模型 (CIM) 是一种开放式标准，用于定义如何通过一组通用对象来表示接受管理的元素，并使用关联定义它们之间的关系。WMI 最初在 Windows NT 4.0 中引入并与操作系统捆绑安装，其中实施了早期版本的标准和架构。WMI 使用 DCOM 进行远程管理，因为当时尚未制订标准协议。在 Windows Server 2012 中，我们在标准和远程管
这篇文章是有关 WMI 的多篇系列文章中的第一篇，如果读者对 PowerShell 有个基本的了解，那么对阅读本篇文章会有所帮助，但这不是必需的。
通过python中的 winrm模块，前提条件，先提前设置好winrm服务。如何设置请自行百度，winRM服务是windows server下PowerShell的远程管理服务。Python脚本通过连接winRM模块操作windows命令行。
MoveKit是一款功能强大的Cobalt Strike横向渗透套件，本质上来说MoveKit是一个Cobalt Strike扩展，它利用的是SharpMove和SharpRDP .NET程序集的execute_assembly函数实现其功能，攻击脚本能够通过读取指定类型的模板文件来处理Payload创建任务。
View Full Version : [all variants] psexec for Linux
Gargamel是一款基于Rust开发的信息安全取证工具，广大研究人员可以使用Gargamel来完成日常的信息取证任务。
接下来讨论一下关于 python-hwinfo， 它是一个展示硬件信息概况的工具之一，并且其配置简洁
本篇概览 台式机是2018年购买的惠普暗隐精灵3代，显卡GTX1060，本文记录了此机器安装Ubuntu 16.04.7 LTS，再安装Nvidia驱动的过程； 另外还有一些避坑的小结，如果您遇到了类似问题可以拿来参考； 纯净Ubuntu系统 先安装Ubuntu16 LTS桌面版 U盘安装，我这里是惠普台式机，启动时出现惠普LOGO的时候，多次点击F10，进入bios，启动顺序选择U盘启动，然后在页面指导下顺利安装Ubuntu系统 需要注意的地方 网上很多安装文档中提到了要在BIOS设置中关闭secure
43B4A73YYJ-eyJsaWNlbnNlSWQiOiI0M0I0QTczWVlKIiwibGljZW5zZWVOYW1lIjoibGFuIHl1IiwiYXNzaWduZWVOYW1lIjoiIiwiYXNzaWduZWVFbWFpbCI6IiIsImxpY2Vuc2VSZXN0cmljdGlvbiI6IkZvciBlZHVjYXRpb25hbCB1c2Ugb25seSIsImNoZWNrQ29uY3VycmVudFVzZSI6ZmFsc2UsInByb2R1Y3RzIjpbeyJjb2RlIjoiSUkiLCJwYWlkVXBUbyI6IjIwMTctMDItMjUifSx7ImNvZGUiOiJBQyIsInBhaWRVcFRvIjoiMjAxNy0wMi0yNSJ9LHsiY29kZSI6IkRQTiIsInBhaWRVcFRvIjoiMjAxNy0wMi0yNSJ9LHsiY29kZSI6IlBTIiwicGFpZFVwVG8iOiIyMDE3LTAyLTI1In0seyJjb2RlIjoiRE0iLCJwYWlkVXBUbyI6IjIwMTctMDItMjUifSx7ImNvZGUiOiJDTCIsInBhaWRVcFRvIjoiMjAxNy0wMi0yNSJ9LHsiY29kZSI6IlJTMCIsInBhaWRVcFRvIjoiMjAxNy0wMi0yNSJ9LHsiY29kZSI6IlJDIiwicGFpZFVwVG8iOiIyMDE3LTAyLTI1In0seyJjb2RlIjoiUEMiLCJwYWlkVXBUbyI6IjIwMTctMDItMjUifSx7ImNvZGUiOiJSTSIsInBhaWRVcFRvIjoiMjAxNy0wMi0yNSJ9LHsiY29kZSI6IldTIiwicGFpZFVwVG8iOiIyMDE3LTAyLTI1In0seyJjb2RlIjoiREIiLCJwYWlkVXBUbyI6IjIwMTctMDItMjUifSx7ImNvZGUiOiJEQyIsInBhaWRVcFRvIjoiMjAxNy0wMi0yNSJ9XSwiaGFzaCI6IjMzOTgyOTkvMCIsImdyYWNlUGVyaW9kRGF5cyI6MCwiYXV0b1Byb2xvbmdhdGVkIjpmYWxzZSwiaXNBdXRvUHJvbG9uZ2F0ZWQiOmZhbHNlfQ==-keaxIkRgXPKE4BR/ZTs7s7UkP92LBxRe57HvWamu1EHVXTcV1B4f/KNQIrpOpN6dgpjig5eMVMPmo7yMPl+bmwQ8pTZaCGFuLqCHD1ngo6ywHKIQy0nR249sAUVaCl2wGJwaO4JeOh1opUx8chzSBVRZBMz0/MGyygi7duYAff9JQqfH3p/BhDTNM8eKl6z5tnneZ8ZG5bG1XvqFTqWk4FhGsEWdK7B+He44hPjBxKQl2gmZAodb6g9YxfTHhVRKQY5hQ7KPXNvh3ikerHkoaL5apgsVBZJOTDE2KdYTnGLmqxghFx6L0ofqKI6hMr48ergMyflDk6wLNGWJvYHLWw==-MIIEPjCCAiagAwIBAgIBBTANBgkqhkiG9w0BAQsFADAYMRYwFAYDVQQDDA1KZXRQcm9maWxlIENBMB4XDTE1MTEwMjA4MjE0OFoXDTE4MTEwMTA4MjE0OFowETEPMA0GA1UEAwwGcHJvZDN5MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAxcQkq+zdxlR2mmRYBPzGbUNdMN6OaXiXzxIWtMEkrJMO/5oUfQJbLLuMSMK0QHFmaI37WShyxZcfRCidwXjot4zmNBKnlyHodDij/78TmVqFl8nOeD5+07B8VEaIu7c3E1N+e1doC6wht4I4+IEmtsPAdoaj5WCQVQbrI8KeT8M9VcBIWX7fD0fhexfg3ZRt0xqwMcXGNp3DdJHiO0rCdU+Itv7EmtnSVq9jBG1usMSFvMowR25mju2JcPFp1+I4ZI+FqgR8gyG8oiNDyNEoAbsR3lOpI7grUYSvkB/xVy/VoklPCK2h0f0GJxFjnye8NT1PAywoyl7RmiAVRE/EKwIDAQABo4GZMIGWMAkGA1UdEwQCMAAwHQYDVR0OBBYEFGEpG9oZGcfLMGNBkY7SgHiMGgTcMEgGA1UdIwRBMD+AFKOetkhnQhI2Qb1t4Lm0oFKLl/GzoRykGjAYMRYwFAYDVQQDDA1KZXRQcm9
普罗米修斯默认配置文件 vim /usr/local/Prometheus/prometheus.yml
随着人们的安全意识的逐步加强，企业内部的Windows服务器口令越来越复杂了，经常会遇到提权到windows服务器，获取了用户的密码hash，但是cmd5官网或者本地猜解都拿不到明文密码的情况。这时候就需要用到内网哈希传递技术了。哈希传递利用了NTLM认证的缺陷，使用用户的密码哈希值来进行NTLM认证。如果目标机器与获取hash值的机器的密码相同，就可以直接使用hash来远程登录Windows主机了。
这是红日团队的第三套靶场（靶场下载地址见文末），本次靶场渗透涉及敏感信息泄露、暴力破解、脏牛提权、内网穿透、端口转发、以及域渗透等多种知识点。该靶场环境由5台机器组成，其中包括3台Windows机器和2台Linux机器。
本文是以WMI的重写版，本来这份笔记会更长，原版的笔记以Black Hat 2015的Abusing Windows Management Instrumentation (WMI) to Build a Persistent, Asyncronous, and Fileless Backdoor为主要学习资料，在笔记写到大概一万字的时候，Typora 中保存的内容部分丢失。于是重新整理，有了这份，我认为精简版的WMI笔记。
IPC，WMI，SMB，PTH，PTK，PTT，SPN，WinRM，WinRS，RDP,Plink，DCOM，SSH；Exchange，LLMNR投毒，Plink，DCOM，Kerberos_TGS，GPO&DACL， 域控提权漏洞，约束委派，数据库攻防，系统补丁下发执行，EDR定向下发执行等。
python写的系统常用命令，linux和windows通用，用的时候直接from util import *导入即可使用，很方便，本来是一个脚本，但是博文有字数限制，只能分成两部分发了，第二部分连接：http://wangwei007.blog.51cto.com/68019/960000 。
工欲善其事必先利其器，作为一名Java开发者，手上必须得有趁手的工具。市面上的Java开发IDE有：Eclipse、NetBeans、Lightly、IntelliJ IDEA、JDeveloper 。
今天，我要开始一系列关于微软WMI技术的介绍。通过之后若干节的介绍，我想WMI技术将为在windows平台上从事开发的朋友开启另外一扇窗。（转载请指明出于breaksoftware的csdn博客）
从https://developer.nvidia.com/cuda-downloads，下载 cuda_9.1.85_387.26_linux.run文件
通用WLAN驱动模块用于Direct-Attach和Off-load芯片组。 asf.ko，qdf.ko，ath_dfs.ko，ath_spectral.ko和umac.ko这些，对于Direct-Attach和Off-load芯片组都是需要的
WMI在笔者所参与的项目中发现目前攻防中利用依旧非常频繁，尤其在横向移动中，利用wmic或者powershell的WMI模块操作Win32来达到渗透的目的。笔者在学习了WMI后，将其分为四个模块（讲解、横向移动、权限提升、攻击检测），并写了四篇文章来讲解，还追加了小知识点的编写（WBEMTEST工具使用，普通用户使用wmic）。笔者能力有限，在几篇中若有未讲人话之处，望谅解。
4、构建支持：ant maven windows batch shell python perl ruby
一：WMI基础知识 =================================================================== WMI 最初于1998年作为一个附加组件与 Windows NT 4.0 Service Pack 4 一起发行，是内置在Windows 2000、 Windows XP和Windows Server 2003 系列操作系统中核心的管理支持技术。基于由 Distributed Management Task Force (DMTF) 所监督的业界标准，WMI是一种规范和基础结构，通过它可以访问、配置、管理和监视几乎所有的Windows资源。大多用户习惯于使用众多的图形化管理工 具来管理Windows资源，在WMI之前这些工具都是通过 Win32应用程序编程接口(Application ProgrammingInterfaces，API)来访问和管理Windows资源的。只要你熟悉系统编程你就知道API有多么重要。但是大多数脚本 语言都不能直接调用Win32 API，WMI的出现使得系统管理员可以通过一种简便的方法即利用常见的脚本语言实现常用的系统管理任务。 利用WMI需要和脚本如WSH和VBScript结合起来，可以实现的功能大家可以看微软的MSDN文档。 在编写我们自己的脚本之前，我们需要对WMI的体系结构有个基本的了解。如图一：(1.gif)
当前，Windows Management Instrumentation（WMI）事件订阅已经变成了一种非常流行的在端点上建立持久性后门的技术。于是，我决定鼓捣一下Empire的WMI模块，并分析相关的代码，看看能不能清除这些持久化后门。此外，文中还介绍了用于查看和删除WMI事件订阅的一些PowerShell命令。
本文使用了《WMI技术介绍和应用——使用VC编写一个半同步查询WMI服务的类》中代码做为基础。本节只是列出了WQL语句，具体使用参看前面的例子。（转载请指明出于breaksoftware的csdn博客）
在《WMI技术介绍和应用——WMI概述》中介绍了我们可以使用C++、.net或者支持ActiveX技术的脚本语言来使用WMI。但是各种语言对WMI的控制能力是不同的，比如脚本语言只能用来从WMI获取数据或者接收事件通知。而C++还可以编写WMI提供者和发送消息。和脚本语言相比，C++对WMI有强大的控制和定制性，当然也具有更大的复杂性。本文将主要讲述使用VC如何搭建一个使用WMI的框架。（转载请指明出于breaksoftware的csdn博客）
这个月实在太忙了，一直没有时间去继续写WMI的应用例子。 本来是希望将《WMI技术介绍和应用》系列博文写的像WMI百科全书般，但是貌似对这个技术感兴趣的同学并不多，所以我决定对部分知识点点到为止，有需求的同学可以查询MSDN相关类的说明即可。本文将罗列一些可能使用到的一些知识点。如果你发现你期望查询的硬件信息在本文中没有写出来，请参看MSDN的《Computer System Hardware Classes》中相关的类。（转载请指明出于breaksoftware的csdn博客）
目前已知在杀毒厂商以及游戏厂商的安全对抗过程中，常常需要准确的监控收集并进行检测用户创建打开的EXE应用程序是否是安全的。同时也可以将此技术应用于其他应用的安全对抗方案中。那么如何去准确的监控和收集用户每次点击打开的EXE应用程序信息呢？接下来我就进行还原实现下如何准确的监控并收集用户每次点击打开EXE应用程序技术。
在Windows Server日志配置收集工具的场景2里，有几个模块特别显眼，那就是带着Hard开头的：
[root@localhost ~]# /etc/modprobe.d $ cat blacklist.conf
WMI全称为Windows Management Instrumentation，即Windows管理规范，是Windows 2K/XP管理系统的核心。它属于管理数据和操作的基础模块，设计WMI的初衷是为了能达到一种通用性，通过WMI去操作系统、应用程序等去管理本地或者远程资源。它支持分布式组件对象模型（DCOM）和Windws远程管理（WinRM），用户可通过WMI服务访问、配置、管理和监视Windows所有资源的功能，对于其他的Win32操作系统来讲WMI是一个非常不错的插件，同时也是测试人员在攻防实战中一个很完美的“无文件攻击”入口途径。
Windows Management Instrumentation（WMI）事件订阅，是一种常被攻击者利用来在端点上建立持久性的技术。因此，我决定花一些时间研究下Empire的WMI模块，看看有没有可能检测并移除这些WMI持久化后门。此外，文中我还回顾了一些用于查看和移除WMI事件订阅的PowerShell命令。这些命令在实际测试当中都非常的有用，因此我也希望你们能记录它们。
在《WMI技术介绍和应用——使用VC编写一个半同步查询WMI服务的类》一文中，我们介绍到了一个半同步查询WMI类的框架。本文将是该技术的一个应用，介绍如何使用WMI技术查询正在运行的进程信息。（转载请指明出于breaksoftware的csdn博客）
在《WMI技术介绍和应用——WMI概述》中，我们使用了下图介绍WMI构架（转载请指明出于breaksoftware的csdn博客）
# -*- coding:utf-8 -*- import datetime import os import wmi import time import _winreg import pythoncom import threading import win32api import win32con import Queue c = wmi.WMI() # 如果要连接远程机器，只需要在WMI构造器中指定远程机器名即可 # c = wmi.WMI("some_other_machine") # Li
Windows Management Instrumentation (WMI) 使系统管理员能够在本地和远程执行任务。从红队的角度来看，WMI 可用于执行多种活动，例如横向移动、持久性、态势感知、代码执行以及作为命令和控制(C2)。WMI 是几乎所有 Windows 操作系统（Windows 98-Windows 10）中都存在的 Windows 的一部分，这一事实使这些攻击性活动远离蓝队的雷达。
在简单了解了WMI后，我们开始了横向移动，包括其中的信息收集，工具利用。那么在我们短暂的获取权限后，如何才能将权限持久化，也就是所说的权限维持住呢？笔者看了国内外部分文章后，发现WMI做权限维持主要是介绍WMI事件，并将其分为永久事件和临时事件，本文参考部分博客文章对WMI事件进行讲解，不足之处，望及时指出。
在 PowerShell 可以很容易使用 WMI 拿到系统的信息，如果有关注我的网站，就会发现我写了很多通过 WMI 拿到系统的显卡，系统安装的软件等方法，本文告诉大家如果通过 PowerShell 拿到 WMI 类里面的属性
其中，9090是Prometheus的端口，3000是grafana的端口，3389是Linux远程桌面的端口。
开启WebDAV服务的IIS 6.0被爆存在缓存区溢出漏洞导致远程代码执行，目前针对Windows Server 2003 R2可以稳定利用，该漏洞最早在2016年7,8月份开始在野外被利用。
本文使用了《WMI技术介绍和应用——使用VC编写一个半同步查询WMI服务的类》中代码做为基础。
WMI利用（权限维持）
WMI使用技巧集 很多的朋友对WMI可能见过但理解不深，我也是十分想了解关于WMI的知识，可一直找不运维
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
即时通信 IM
实时音视频
