定義?

　　WMI（Windows Management Instrumentation,Windows 管理規範）是一項核心的 Windows 管理技術；使用者可以使用 WMI 管理本地和遠端計算機。

簡介?

　　Windows 2K/XP和Windows 98 都支援WMI；如果為NT 4.0和Windows 95加上了 Service Pack 4或更高版本，NT 4.0和Win95也支援WMI。因此，用WMI進行遠端管理時，並非一定要用Windows 2K/XP（當然，如果WMI在一臺沒有效能的Win9x機器上執行，就不能在遠端Win9x系統上查詢Windows 2K/XP的效能監視器。　　如前所述，WMI允許透過一個公共的介面訪問多種構成單元，因此不必分別對待各種底層介面或所謂的“提供者”。利用WMI可以高效地管理遠端和本地的計算機；與此相對，並非所有的Windows 2K/XP命令列工具都支援遠端執行。　　WMI是WBEM模型的一種實現。WBEM即Web-Based Enterprise Management，或基於Web的企業管理，WBEM由DMTF（Distributed Management Task Force，分散式管理任務組）在許多廠商的幫助下創立，包括Compaq、Sun、Microsoft等。WBEM的目標是，為管理企業環境開發一個標準的介面集。WBEM模型最關鍵的部分是它的資料模型（或描述和定義物件的方式）、編碼規範（Encoding Specification），以及在和伺服器端之間傳輸資料的模式。　　WBEM的資料模型是CIM（Common Information Model，）。CIM是一個用來命名計算機的物理和的標準的命名系統（或稱為命名模式），例如硬碟的邏輯分割槽、正在執行的應用的一個例項，或者一條電纜。　　CIM是一個的模型，使用一組物件導向的術語進行描述。CIM包含類（Class)，類是被管理單元的模板。類的例項稱為物件（Object），物件代表著底層系統的一個具體單元。名稱空間（Namespace）是一個類的集合，每個名稱空間面向一個特定的管理領域。類包含屬性（Property）和方法（Method）。　　CIM分三層。第一層是核心模型（Core Model），這一層包含的類定義對於所有管理領域來說都是共同的。第二層是公共模型（Common Model），這一層包含的類定義對於特定的管理領域來說是公共的，但與具體的作業系統和系統設計無關。第三層是擴充套件模型（Extension model），這一層包含的類定義與特定的作業系統或技術有關。　　WMI是Microsoft擴充套件CIM 2.0得到的面向Win32系統的擴充套件模型。引用WMI類和屬性的形式是“擴充套件字首_類名稱.屬性名稱”，例如Win32_ComputerSystem. Name，其中Win32是CIM模式cimv2名稱空間內WMI擴充套件類的字首，ComputerSystem是類，Name是屬性。　　編寫WMI指令碼的很大一部分工作涉及到讀取和設定屬性值。當前，WMI提供的方法還很有限，但隨著時間的推移，相信WMI和CIM提供的方法都會越來越豐富。

操作方法?

　　利用WMI開發包（SDK）可以方便地檢視可用的CIM和Win32類。WMI SDK可以從MSDN下載。　　WMI SDK要求作業系統必須是Windows 2K/XP或者NT 4.0 SP4或更高版本；儘管Win9x系統上可以安裝WMI支援軟體，但SDK不能在Win9x上執行。另外，為支援SDK的，SDK還要求有IE 5.0或更高版本。SDK對機器效能的最低要求是：Pentium處理器，32 Mb的RAM，40 Mb的磁碟空間，以及至少要有800 x 600、256色的顯示裝置。對於執行Windows 2K/XP的機器來說，這些要求應該不會成為問題。CIMOM預設以服務的形式執行，但如果機器沒有網路卡，CIMOM不能作為服務執行，不過此時可以作為一個應用執行，只需執行即可。winmgmt.exe在%systemroot%system32wbem的WMI主目錄下。　　SDK必須由組的成員安裝。安裝過程很簡單，執行WMISdk.exe啟動向導，指定安裝的目標目錄（預設是program fileswmi）。選擇要安裝的可選元件（預設安裝除了SNMP支援以外的所有元件），最後點選Finish。安裝SDK不需要重新啟動。安裝完成後，“開始/程式”選單上會增加一個WMI SDK組。　　點選WMI SDK程式組的WMI CIM Studio。CIM Studio提示連線名稱空間，並顯示預設連線的名稱空間是rootcimv2，確認即可。如果你用Administrator身份登入Windows，再次點選確定以當前身份登入；如果你用其他的身份登入Windows，請改用Administrator登入。　　現在，假設我們要在當前的機器上查詢一個物件：C:驅動器。我們不知道C:驅動器在CIM或WMI中的具體名稱，瀏覽CIM Studio列出的數百個類又太麻煩，怎麼辦呢？可以使用Find按鈕（左邊上方的望遠鏡，參見圖三）。圖二顯示了點選Find按鈕後顯示的Search for Class對話方塊，在這裡輸入我們猜想C:驅動器的類名稱中應當包含的單詞，然後點選Go!按鈕。由於我們正在尋找一個命名的磁碟分割槽，而且我們知道Windows把這種分割槽叫做logical disk或logical drive，因此這裡的搜尋關鍵詞可以是logical。當然，搜尋關鍵詞也可以是disk，但這時會有大量的搜尋結果出現。　　圖二顯示了搜尋關鍵詞logical得到的結果。選擇Win32_LogicalDisk並點選OK，圖三的視窗出現（為什麼不選擇CIM_LogicalDisk？前面已經提到，WMI管理的所有物件都帶有Win32字首。如果選擇CIM_LogicalDisk然後要求顯示出它的例項，不可能看到可用邏輯驅動器的任何具體資訊，只能看到對應每一個可用邏輯驅動器的Win32_LogicalDisk條目）。現在，視窗的右邊顯示出Win32_logicalDisk類的屬性。可以看到，屬性的值都為空，這是因為我們正在檢視的是一個類，而不是類的具體例項。要顯示出Win32_LogicalDisk類的例項，點選右邊上面的Instances按鈕（右數第四）。　　點選Instances按鈕之後，視窗顯示出當前機器上所有邏輯驅動器的例項，包括網路邏輯驅動器。點選裝置ID為“C:”的例項，顯示出圖四的結果。右邊窗格包含了當前例項的屬性和方法，當前邏輯驅動器的名稱顯示在右邊窗格的上方。　　利用指令碼可以修改這些屬性或呼叫這些方法。如果對某個屬性的含義不太清楚，只需選擇Win32_LogialDisk類或Win32_LogicalDisk.DeviceID="C:"例項，再點選Help按鈕。大多數物件的屬性和方法都有詳細的說明。

WMI功能?

　　現在很多朋友仍然在使用管理員賬號密碼為空的系統，這樣就為駭客製造了可乘之機，其中系統自帶的WMI是最方便的入侵通道。WMI（Windows管理規範）作為一項Windows管理技術，方便使用者對計算機進行遠端管理。但是它的易用性也導致了系統的安全性大幅下降。讓使用者的電腦除了自己賬號密碼的保護外再沒有什麼安全保護措施。本期我們就向大家介紹“菜鳥”級的駭客都可以輕易利用的入侵通道——WMI（Windows管理規範）。　　小知識：什麼是WMI？　　WMI是一項核心的Windows管理技術，WMI作為一種規範和基礎結構，透過它可以訪問、配置、管理和監視幾乎所有的Windows資源，比如使用者可以在遠端計算機器上啟動一個程式；設定一個在特定日期和時間執行的程式；遠端啟動計算機；獲得本地或遠端計算機的已安裝程式列表；查詢本地或遠端計算機的Windows事件日誌等等。

本質善良的WMI

　　從WMI本來的功能看，它是為了讓計算機的管理更容易，同時方便管理員遠端作業系統而產生的，那麼它又怎麼會為“菜鳥”級的入侵者提供方便呢？　　一般情況下，在本地計算機上執行的WMI操作也可以在遠端計算機上執行，只要使用者擁有該計算機的管理員許可權。如果使用者對遠端計算機擁有許可權並且遠端計算機支援遠端訪問，那麼使用者就可以連線到該遠端計算機並執行擁有相應許可權的操作。　　WMI能夠成為下的一個合法通道，有了這個通道，入侵者不需要對自己進行偽裝，不必再為探測出對方賬號的密碼為空後，找不到連線對方系統的通道而發愁。只要進行簡單幾個步驟就可以輕易地入侵到別人的電腦中。下面，我們就來看看，到底該如何利用WMI通道。

WMI被利用為虎作倀

　　前面介紹了WMI的原理，下面我們實際瞭解下，如何透過WMI進行入侵。在網上，有很多利用WMI的小工具，這裡我們就以rots.vbs工具進行簡單的演示，看一個“菜鳥”駭客如何輕易地入侵。　　1.掃描135埠　　要尋找可以透過WMI入侵的遠端計算機，只要對135埠進行掃描就可以了。因為WMI服務預設開啟的就是135埠。我們本次例項採用的是NTscan掃描工具，因為它不但可以對IPC$、SMB、WMI這些資訊進行掃描，同時還可以對掃描到的遠端賬戶進行弱口令猜測，功能相對來說比較強大。　　執行NTscan，在程式視窗的“配置”區域中進行設定。首先在“起始IP”和“結束”選項中輸入掃描的IP地址範圍，接著選擇“WMI掃描”選項，並且在“掃描開啟埠的主機”選項後輸入“135”，最後點選“開始”按鈕就開始進行掃描（如圖）。　　　2.開啟終端服務　　找到可以入侵的遠端計算機以後，就可以開始入侵操作了。首先使用的工具是一個名為rots.vbs的，透過它可以開啟遠端計算機的終端服務。指令碼會自動判斷目標系統型別，如果不是Windows 2000 Server及以上版本的系統，指令碼就會提示是否要取消操作。因為Windows 2000 Pro以下版本不能安裝終端服務。　　然後是開啟終端服務。開啟工具的使用方法非常簡單，命令格式為：cscript rots.vbs [服務埠] [自動重啟選項]　　其中，[服務埠]和[自動重啟選項]為可選引數，預設情況下，程式開啟的終端服務埠為3389，如果使用者需要修改，在[服務埠]選項中填入你要的埠即可，而[自動重啟選項]選項則是在開啟終端服務以後重啟系統用的。　　舉個例子： rots.vbs 192.168.0.6 Administrator "" 4466 /r　　上面這段例項的意思是開啟192.168.0.6這臺遠端計算機的終端服務，並且將埠更改為4466，服務安裝完成後自動重啟。

屏閉135埠防禦入侵

　　從上面的介紹大家都可以看出，整個過程中使用的埠都是135。所以為了防止別人透過WMI進行入侵，我們可以使用對135埠進行遮蔽，這樣就可以達到防範類似的入侵。使用者加強自己的賬號密碼強度，也可以有效防範入侵。

關閉135埠的方法

　　我們使用到十六進位制的，比如：WINHEX、UltraEdit等軟體。執行UltraEdit，透過上的“開啟文件”按鈕找到系統SYSTEM32資料夾下的。接著點選“搜尋”選單中的“查詢”命令，在彈出的視窗中查詢“3100330035”這個字串，找到後將它替換為“3000300030”，並另存為其他的檔案目錄中，建議儲存在C盤根目錄下。　　重新啟動系統，用啟動到DOS狀態下，進入C盤後執行：copy rpcss.dll c:windowssystem32rpcss.dll，然後重新啟動計算機，就會發現135埠已經被關閉。　　使用也可以透過埠限制的手段進行遮蔽135埠。我們以天網網路防火牆為例。開啟介面，依次點選“IP規則管理→增加規則”，然後在彈出的視窗介面中，在資料包方向中選擇“接收或者傳送”，在資料包型別中選擇“TCP”，最後在本地埠中輸入“135”，然後就是確定退出，最後儲存規則即可。以後如果有資料從135埠進行傳輸，天網就會自動進行攔截。

世界製造廠識別代號

World Manufacturer Identifier

　　申請WMI的企業應向工作機構提出申請，申請時應如實填寫《世界製造廠識別代號(WMI)申請表》，並提交相應的證明材料。