1、wmiprvse.exe是微软Windows操作系统的一部分。用于通过WinMgmt.exe程序处理WMI操作。...文件位置有二处： C:\WINDOWS\system32\wbem\wmiprvse.exe C:\WINDOWS\system32\dllcache\wmiprvse.exe表现为不停调用wmiprvse.exe...，或使wmiprvse.exe进程达到数十个，或许不是病毒，只是操作的系统问题。...2、怀疑病毒入侵，可用金山卫士、360安全卫士对wmiprvse.exe专杀。 3、专杀后仍占CPU 较高，试用下边的办法： （1）在运行里执行 services.msc启动系统服务。
执行时，以上述例子为例，可以看到命令执行成功前后出现了3个日志，这也和wmic的执行流程有关，我们可以参考下图： 上图咱们可以结合WMI讲解篇进行理解，WMIC操作时会先由svchost.exe调用WmiPrvSE.exe...然后由WmiPrvSE调用指定的程序，指定的cmd则由cmd.exe进行下一步操作，指定的powershell则有powershell.exe进行下一步操作。...下图为DCEPRC数据包 缓解措施 - 限制 WinRM信任的主机数量 winrm 设置 winrm/config/client '@{TrustedHosts="指定主机"}' - 在日志中重点监控WmiPrvSE.exe
关闭电源：其他(计划外) 关机类型：关闭电源 原因代码：0x0 通过PowerShell执行stop-computer关机 EventID=1074 进程：C:\Windows\system32\wbem\wmiprvse.exe...：其他(计划外) 关机类型：重启 原因代码：0x0 通过PowerShell执行restart-computer重启 EventID=1074 进程：C:\Windows\system32\wbem\wmiprvse.exe...：重启 原因代码：0x80020010 安装完Windows自带功能角色，勾选了“如果需要，自动重新启动目标服务器” EventID=1074 进程：C:\Windows\system32\wbem\wmiprvse.exe
0 70,216 K cmd.exe 1436 Services 0 4,396 K WmiPrvSE.exe...0 8,836 K svchost.exe 3024 Services 0 6,108 K WmiPrvSE.exe...0 3,048 K tasklist.exe 3620 Services 0 5,988 K WmiPrvSE.exe
MsMpEng|vmtoolsd|VsTskMgr|WmiPrvSE).)*$"| stats count min(_time) as start_time max(_time) as end_time
子进程经梳理后对应表如下所示： Caption ParentProcessId ProcessId wininit.exe 348 388 services.exe 388 504 svchost.exe 504 624 WmiPrvSE.exe...2.6 WmiPrvSE.exe CommandLine：C:\Windows\system32\wbem\wmiprvse.exe wmiprvse.exe是微软Windows操作系统的一部分
0x3 进程拉起顺序 在victim端口查看相关进程可以发现依次的启动顺序为：svchost.exe-> WmiPrvSE.exe -> powershell.exe ->powershell.exe
dfssvc.exe 3316 Dfs WmiPrvSE.exe...LTTray.exe 4564 N/A WmiPrvSE.exe
方法一：WMI macro 调用 WMI 生成一个新的进程，它能改变执行流，让 winword.exe 生成 cmd.exe 变成让 wmiprvse.exe 来生成 cmd.exe。
C:\Windows\Fonts\temp删除 C:Windows\system32\drivers\en-US\GpCheck.ps1删除 C:Windows\system32\drivers\ WmiPrvSE.ps1
0x000000006fe9a000 2018-08-04 19:33:47 UTC+0000 2018-08-04 19:33:48 UTC+0000 0x000000007db12060 WmiPrvSE.exe...0x000000002abc9000 2018-08-04 19:26:03 UTC+0000 0x000000007fb24b30 WmiPrvSE.exe
因此，WinWord.exe将不会生成子进程，但系统将会生成如下进程树：wmiprvse.exe > cmd.exe > powershell.exe。
ffffe58aa4192080 rlm.foundry.exe 0x1bc0 0n7104 ffffe58acccd6200 svchost.exe 0x1cc4 0n7364 ffffe58accebc240 WmiPrvSE.exe...ffffed8bcdfee200 conhost.exe 0x34fc 0n13564 ffffe58acdcf6080 vds.exe 0x354c 0n13644 ffffe58acd91a080 WmiPrvSE.exe
WMI由Windows进程“wmiprvse.exe”处理，该进程随后执行mavrihvu.exe。 ?
流程标识符 （PID）和 返回值 在事件XML元数据中返回，以确认成功执行远程操作 ok 我们来看看一个目标上面的一个情况 svchost.exe (DcomLaunch) -> wmiprvse.exe...考虑以下： 监视源自wmiprvse.exe和winrshost.exe的远程进程执行链 监视Microsoft-Windows-WinRM / Operational事件日志中的可疑条目。
cmanager.exe Userinit.exe cmmpu.exe WinLogon.exe Companion.exe WMIADAP.EXE comsmd.exe Wmiexe.exe cpd.exe wmiprvse.exe
1688 TermService 记住1688这个ID值，查看开放的所有端口：netstat -ano 找到1688这个ID值所对应的端口就是3389目前的端口 iis6提权提示Can not find wmiprvse.exe...的突破方法 ---- 突破方法一： 在IIS环境下，如果权限做得不严格，我们在aspx大马里面是有权限直接结束wmiprvse.exe进程的，进程查看里面直接K掉 在结束之后，它会再次运行，这时候的PID
推荐使用 WMI 来执行后续攻击链，由 WMI 启动的进程的父进程为 wmiprvse.exe 而不是 word.exe 这样就可以与恶意 word 文档取消关联，规避检测 ?
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
实时音视频
对象存储
即时通信 IM
