监控白名单WMIC执行payload行为

简述

WMI（Windows Management Instrumentation）是Windows管理功能，它为本地和远程访问windows系统组件提供了统一的环境。它依赖WMI服务来进行本地和远程访问，以及SMB（服务器消息块）和RPCS（远程过程调用服务）来进行远程访问。RPCS通过端口135运行。

攻击者可能会使用WMI与本地和远程系统交互，也可能使用WMI来将执行许多策略功能，例如为发现收集信息和远程执行文件来横向移动。

测试

WMIC扩展WMI（Windows Management Instrumentation，Windows管理工具），提供了从命令行接口和批命令脚本执行系统管理的支持。在WMIC出现之前，如果要管理WMI系统，必须使用一些专门的WMI应用，例如SMS，或者使用WMI的脚本编程API，或者使用象CIM Studio之类的工具。如果不熟悉C++之类的编程语言或VBScript之类的脚本语言，或者不掌握WMI名称空间的基本知识，要用WMI管理系统是很困难的。WMIC改变了这种情况。

说明：Wmic.exe所在路径已被系统添加PATH环境变量中，因此，Wmic命令可识别，需注意x86，x64位的Wmic调用。

Windows 2003 默认位置：

C:\WINDOWS\system32\wbem\wmic.exe
C:\WINDOWS\SysWOW64\wbem\wmic.exe

Windows 7 默认位置：

C:\Windows\System32\wbem\WMIC.exe
C:\Windows\SysWOW64\wbem\WMIC.exe

补充说明：在高版本操作系统中，可以通过配置策略，对进程命令行参数进行记录。日志策略开启方法：本地计算机策略>计算机配置>管理模板>系统>审核进程创建>在过程创建事件中加入命令行>启用，同样也可以在不同版本操作系统中部署sysmon，通过sysmon日志进行监控。

分析日志源

windows 安全日志（需要自行配置）

测试复现

环境准备

攻击机：Kali2019

靶机：win7