Утилита WMIC, часть 2 – методы и ключи |

Basic wmic usage

Most WMIC commands are issued in the following format:

wmic [credentials] [area] [querystring]

For example, you can collect a list of groups on the local system using the following command:

wmic group list brief

which will return output similar to this:

Event logs

• Obtain a Certain Kind of Event from Eventlog

wmic ntevent where (message like "%logon%") list brief

wmic nteventlog where (description like "%secevent%") call cleareventlog

Retrieve list of warning and error events not from system or security logs

WMIC NTEVENT WHERE “EventType < 3 AND LogFile != ‘System’ AND LogFile != ‘Security’” GET LogFile, SourceName, EventType, Message, TimeGenerated /FORMAT:”htable.xsl”:” datatype = number”:” sortby = EventType” > c:appevent.htm

Networking

Use the following command to extract a list of network adapters and IP address information:

wmic nicconfig list

wmic nic get macaddress

• Update static IP address:

wmic nicconfig where index=9 call enablestatic("192.168.16.4"), ("255.255.255.0")

wmic nicconfig where index=9 call setgateways("192.168.16.4", "192.168.16.5"),(1,2)

wmic nicconfig where index=9 call enabledhcp

• Get List of IP Interfaces

wmic nicconfig where IPEnabled='true'

Patch management

Need to know if there are any missing patches on the system? WMIC can help you find out with this command:

wmic qfe list

The QFE here stands for “Quick Fix Engineering”.The results also include the dates of install should that be needed from an auditing standpoint.

Processes

WMIC can collect a list of the currently running processes similar to what you’d see in “Task Manager” using the following command:

wmic process list

Note that some of the WMIC built-ins can also be used in “brief” mode to display a less verbose output. The process built-in is one of these, so you could collect more refined output using the command:

wmic process list brief

Other examples

wmic process call create "calc.exe"

wmic process where name="calc.exe" call terminate

wmic process where name="explorer.exe" call setpriority 64

• Get List of Process Identifiers

wmic process where (Name='svchost.exe') get name,processid

wmic process list brief find "cmd.exe"

Services

WMIC can list all of the installed services and their configurations using this command:

wmic service list

The output will include the full command used for starting the service and its verbose description.

Other examples

 wmic service where caption="DHCP Client" call changestartmode "Disabled"

• Look at services that are set to start automatically

wmic SERVICE WHERE StartMode="Auto" GET Name, State

• Services Report on a Remote Machine HTML Formatted:

wmic /output:c:services.htm /node:server1 service list full / format:htable

• Get Startmode of Services

Wmic service get caption, name, startmode, state

• Change Start Mode of Service:

wmic service where (name like "Fax" OR name like "Alerter") CALL ChangeStartMode Disabled

• Get Running Services Information

Wmic service where (state="running") get caption, name, startmode, state

Of course, these are just samplings of the dozens of predefined aliases within WMIC.You can also go beyond the predefined aliases using WQL queries to collect and set any of themany thousands of parameters accessible through WMI.

Shares

Enumeration of all of the local shares can be collected using the command:

wmic share list

The result will also include hidden shares (named with a $ at the end).

wmic SHARE WHERE "NOT Name LIKE '%$'" GET Name, Path

System information and settings

You can collect a listing of the environment variables (including the PATH) with this command:

wmic environment list

• OS/System Report HTML Formatted

wmic /output:c:os.html os get /format:hform

• Products/Programs Installed Report HTML Formatted

wmic /output:c:product.html product get /format:hform

• Turn on Remoted Desktop Remotely

Wmi на службе системного администратора. — реальные заметки ubuntu & mikrotik

Wmic in forensics

In forensics, it’s often important to get as much information about the running system as possible before the system can be shut down.You’d also like to collect that information while keeping close records that account for your own actions and leave the smallest footprint possible on the system.Though WMIC wa sn’t really designed with this in mind, it certainly works.

Since WMIC is included by default on most Windows systems and can be executed remotely, that makes it all the more desirable.

Another interesting feature of WMIC is its ability to record the run-time command executed and runtime configuration all in one XML file. A recorded session might look something like this:

Wmic in vulnerability and penetration testing

In vulnerability and penetration testing, system footprinting is key. The more information that can be collected about a specific system or group of systems, the greater the likelihood that those systems can be compromised.

Wmic output formats | msconfig.ru

Алиасы

Хочу обратить внимание на то, что для удобства в консольной утилите WMIC, мы работаем не напрямую с классами WMI, а с их алиасами

# Все алиасы мы видим когда набираем 
wmic /?
# Или отдельно выводим их на экран
wmic alias list brief

Выполнение команды wmi на удаленных хостах

wmic /node:'Server' OS get Caption

Примеры WMI команд

Получить модель материнской платы

wmic baseboard get product,manufacturer,version,serialnumber

Узнать разрядность системы

wmic /Node:%ComputerName% Path Win32_Processor Get AddressWidth /format:list
# Аналог команды для PoSh 
( Get-WmiObject Win32_OperatingSystem ).OSArchitecture

Получить программы из автозагрузки

wmic startup list brief

Узнать имя активного пользователя

Глобальные параметры wmic

Для вывода списка глобальных ключей (параметров) используется команда CONTEXT. Сами параметры задаются в формате:

/Параметр:Значение

/NAMESPACE – позволяет выбрать пространство имен (смотрите статью Классы WMI, пространство имен и CIM) для выбора псевдонимов, по умолчанию выбирается пространство  RootCIMV2. Например:

/ROLE – позволяет выбрать пространство имен WMI, в котором хранятся описания псевдонимов, по умолчанию таким пространством является \rootcli, оно же отображается при приглашении в WMIC. Использование ключа ROLE актуально, если были созданные дополнительные роли (смотрите первую часть).

/NODE – задает имена систем (глобальные или локальный компьютер), к которым произойдет обращение при поиске классов. Например:

По умолчанию происходит поиск на локальном компьютере. При желании можно использовать подготовленный список компьютеров из внешнего файла, например:

/IMPLEVEL- данный параметр позволяет задать уровни олицетворения.

/AUTHLEVEL – данные параметры позволяют задать уровни проверки подлинности.

/LOCALE – хранит идентификатор языка (в формате MSXXX).

/PRIVILEGES – задает привилегии (значения ENABLE или DISABLE). Включение всех привилегий актуально, например, при перезагрузке или выключении компьютера. Например, следующая команда WMIC включает все привилегии:

/TRACE – включение (ON) или отключение (OFF) режима для отображения результатов выполнения WMIC команды.

/RECORD – дает возможность сохранять результаты выполнения команд во внешний XML файл, например:

Для отключения протоколирования надо в качестве значения прописать пустую строку:

/OUTPUT – перенаправление вывода результата команд во внешний текстовый файл или буфер обмена. Например:

/APPEND – позволяет направлять вывод данных одновременно и в указанный внешний файл и в консольное окно командной строки (параметр /OUTPUT должен быть со значением STDOUT). Например:

/INTERACTIVE – включает (ON) или отключает (OFF, значение по умолчанию) запрос на подтверждение выполнения WMIC команды. Например:

Запуск и завершение приложений

Запуск:

wmic process call create 'notepad.exe'

Завершение:

wmic process where name='notepad.exe' delete

Команды wmic

CONTEXT – предоставляет возможность получить список всех глобальных ключей (параметров) и их значений, использующихся в среде WMIC по умолчанию. Параметры ключей будут рассмотрены далее, по ходу статьи.

CLASS – дает возможность работать с классами WMI без использования псевдонимов (получить описание класса или создать его экземпляры). Просто, после команды WMIC CLASS прописываем имя интересующего нас класса, например:

Мы получим описание класса Win32_Process в формате HTML. Что бы перенаправить вывод в файл, можно сначала применить глобальный ключ /OUTPUT, например:

На выходе мы получим файл Win32_Process.html со списком всех свойств и методов класса Win32_Process.

PATH – данная команда дает возможность получить доступ к нескольким или же одному экземпляру заданного класса. Это эффективно, если у класса нет псевдонимов.

Фактически, команда PATH позволяет выполнять WQL запрос, например:

Что равносильно:

Можно даже так:

QUIT и EXIT – собственно, выход из утилиты WMIC и возврат в предыдущую оболочку.

Примеры использования wmic для получения сведений о компонентах системы.

WMIC OS LIST BRIEF — отобразить краткие сведения о системе.

WMIC OS GET csname,bootdevice,localdatetime — отобразить имя компьютера, устройство загрузки, локальные дату и время.

WMIC OS GET osarchitecture /value — отобразить архитектуру системы (разрядность Windows)

WMIC QFE list brief — отобразить список обновлений Quick Fix Engineering (QFE) Windows.

wmic qfe list brief | find “311” — отобразить список обновлений Windows, в названии которых присутствует 311.

WMIC QFE get hotfixid,description,installedOn — отобразить список обновлений Windows, включающий название, краткое описание и дату установки.

WMIC DISKDRIVE get name,size,model — отобразить список физических дисков, содержащих название модели, имя в системе и размер.

WMIC PARTITION list brief — отобразить список всех разделов на всех дисках.

WMIC LOGICALDISK list brief — отобразить список логических дисков.

WMIC LOGICALDISK where drivetype=4 get FreeSpace,ProviderName — отобразить свободное место и путь для сетевых дисков (drivetype=4)

WMIC LOGICALDISK where drivetype!=4 get freespace, description — отобразить свободное место и описание для локальных дисков, включая CD/DVD и съемные устройства хранения данных.

WMIC LOGICALDISK where description=’Local Fixed Disk’ get deviceid, volumename — отобразить идентификаторы (буквы дисков) и метки томов для всех локальных логических дисков.

WMIC SERVICE list brief | more — отобразить список системных служб в постраничном режиме.

WMIC SERVICE where state=”running” GET caption,name,state /format:list — отобразить список, включающий отображаемые имена, короткие имена и статус работающих системных служб.

WMIC SERVICE where state=”Stopped” GET caption,name,state /format:list — отобразить список, включающий отображаемые имена, короткие имена и статус остановленных системных служб.

WMIC SERVICE where name=’WinRM’ CALL STARTSERVICE — запустить службу удаленного управления Windows (WinRM)

WMIC SERVICE where name=’WinRM’ GET name,state — проверить состояние службы WinRM.

WMIC PRINTER LIST STATUS — отобразить список принтеров и их состояние.

WMIC BASEBOARD list brief — отобразить общую информацию о материнской плате компьютера.

wmic bios get Manufacturer — отобразить сведения о производителе BIOS.

wmic bios get smbiosbiosversion — отобразить версию BIOS.

wmic bios get Description — отобразить описание производителя BIOS.

WMIC MEMORYCHIP list brief — отобразить сведения о модулях памяти компьютера.

WMIC MEMORYCHIP GET Devicelocator,Capacity — отобразить сведения о размещении и емкости модулей памяти DIMM.

Примеры использования wmic для работы с процессами:

Для вывода сведений о принадлежности компьютера к домену:

wmic.exe ComputerSystem get Name, PartOfDomain

Для вывода сведений о процессах в html-файл:

wmic /output:c:proclist.htm process list /format:htable

Параметр /output задает имя файла с результатами, а параметр /format — формат выводимых данных.

wmic /output:proclist1.htm process list /format:hform — вывод результатов в HTML-файл в виде списка процессов с двумя колонками из названия свойства и его значения.

Для получения списка процессов на удаленной системе используется команда:

Форматирование вывода

Так как по умолчанию wmic возвращает не форматированный ответ, то если не определить форматирование вручную, мы увидим хаотически разбросанные по окну консоли слова:

Весьма информативно, не правда ли?

Для того что бы получить читаемый вывод, попробуйте использовать такую команду:

wmic BIOS list brief

Параметр brief выводит список основных параметров.Обычно не более 6 столбцов

Все типы форматов я смотрю такой командой:

wmic OS get /format /?

Можно использовать функцию /format, с любым доступным типом формата:

wmic BIOS get /format:list

Такой же вывод, как и в предыдущей команде, можно получить и следующим образом:

wmic BIOS list full

Похожее:

Освоение командной строки Получить данные о настройке операционной системы и установке программного обеспечения, используя функциональность базовой платы wmi win32 Что это за зверь wmi service WMIC. Краткий обзор возможностей |