T1047: Windows Management Instrumentation

摘要

攻击者可能滥用 Windows Management Instrumentation（WMI）来执行恶意命令和载荷。WMI 是为程序员设计的，是 Windows 系统上管理数据和操作的基础设施。(Citation: WMI 1-3) WMI 是一项管理功能，提供访问 Windows 系统组件的统一环境。 WMI 服务同时支持本地和远程访问，后者由[远程服务](https://attack.mitre.org/techniques/T1021)（例如[分布式组件对象模型](https://attack.mitre.org/techniques/T1021/003)和 [Windows 远程管理](https://attack.mitre.org/techniques/T1021/006)）促成。(Citation: WMI 1-3) 通过 DCOM 的远程 WMI 使用端口 135 运行，而通过 WinRM 的 WMI 在使用 HTTP 时运行于端口 5985，使用 HTTPS 时为 5986。(Citation: WMI 1-3) (Citation: Mandiant WMI) 攻击者可以使用 WMI 与本地和远程系统交互，并将其作为执行各种行为的手段，例如为[发现](https://attack.mitre.org/tactics/TA0007)收集信息，以及[执行](https://attack.mitre.org/tactics/TA0002)命令和载荷。(Citation: Mandiant WMI) 例如，攻击者可以滥用 `wmic.exe`，使用命令 `wmic.exe Shadowcopy Delete` 删除卷影副本（即[阻止系统恢复](https://attack.mitre.org/techniques/T1490)）。(Citation: WMI 6) **注意：** 自 2024 年 1 月起，`wmic.exe` 已被弃用，WMIC 功能在 Windows 11+ 上 “默认禁用”。WMIC 将从后续 Windows 版本中移除，并由 [PowerShell](https://attack.mitre.org/techniques/T1059/001) 取代，成为主要的 WMI 接口。(Citation: WMI 7,8) 除 PowerShell 和 `wbemtool.exe` 等工具外，还可以使用 COM API 通过 C++、.NET、VBScript 等以编程方式与 WMI 交互。(Citation: WMI 7,8)