WMIC命令完全指南：網絡安全運維工程師的深度實踐手冊
關鍵詞：WMIC命令、Windows管理、網絡安全運維、系統信息收集、進程分析、自動化審計
【實戰總結】WMIC在HW行動中的4類關鍵應用
1. 前言
在Windows環境下的網絡安全運維中，WMIC（Windows Management Instrumentation Command-line）是一個強大但常被低估的管理工具。它通過WMI（Windows Management Instrumentation）提供了對Windows系統的底層訪問能力，可用于查詢系統信息、配置管理、自動化運維和安全事件響應。
相較于圖形化管理工具（如任務管理器、Computer Management），WMIC的優勢在于：
? 腳本化執行——可以集成到.bat或PowerShell腳本中，適用于大規模運維。
? 深度系統訪問——可查詢注冊表、進程、服務、硬件等底層數據。
? 遠程管理能力——支持從一臺主機直接查詢/管理另一臺主機（如AD域控）。
本文將從網絡安全運維的角度，詳細介紹WMIC的使用方法，并結合真實場景案例（如惡意進程分析、補丁審計、端口監控等）進行演示。
2. WMIC基礎：從查詢到管理
2.1 WMIC基本語法
WMIC的通用命令結構：
wmic [全局選項] <WMI類> [條件] <操作> [/<屬性>] [/format:<格式>]
其中：
- 全局選項：如遠程管理參數
/node、/user、/password - WMI類：定義查詢的對象（如
process、service、os） - 條件：以
where子句篩選目標（如where name="svchost.exe"） - 操作：如
get（查詢）、call（調用方法）、delete（刪除） - 格式：控制輸出顯示方式（
list、table、csv等）
2.2 WMIC核心命令分類
在網絡安全運維中，主要使用以下幾類WMIC查詢：
| 類別 | 常用WMIC類 | 應用場景 |
|---|---|---|
| 系統信息 | os、bios、csproduct | 補丁審計、硬件資產登記 |
| 進程管理 | process | 排查惡意進程、內存分析 |
| 服務控制 | service | 安全服務管理（如關閉高危服務） |
| 網絡配置 | nicconfig、netuse | 檢查異常端口、共享目錄審計 |
| 用戶與權限 | useraccount | 檢測特權賬戶、禁用失效賬戶 |
| 日志與事件 | nteventlog | 快速提取安全日志（如登錄失敗記錄） |
3. 網絡安全運維中的WMIC實戰
3.1 惡意進程排查（應急響應）
案例：某服務器CPU異常占用，疑似挖礦病毒。
排查步驟：
1?? 列出所有進程，按CPU使用率排序：
wmic process get name,processid,executablepath,commandline,workingsetsize /format:csv | sort /r
👉 關鍵點：
commandline可查看進程啟動參數（挖礦病毒通常在命令行中藏有礦池地址）。workingsetsize查看內存占用（異常高可能表明惡意軟件注入）。
2?? 定位父進程（查找進程樹關系）：
wmic process get name,processid,parentprocessid | findstr "可疑PID"
👉 技巧：結合tasklist /svc或Get-Process -IncludeUserName（PowerShell）進一步分析。
3?? 終止惡意進程：
wmic process where processid=1234 delete
? 風險：某些病毒會監控WMIC調用并重新啟動。建議先斷網再殺進程。
3.2 補丁審計（漏洞評估）
案例：企業需確認主機是否已修復CVE-2023-xxxx漏洞。
1?? 查看已安裝補丁：
wmic qfe list brief /format:table
輸出示例：
HotFixID Description InstalledOn InstalledBy
KB5029244 Security Update 10/10/2023 12:00:00 NT AUTHORITY\SYSTEM
2?? 檢查特定補丁是否存在：
wmic qfe where hotfixid="KB5029244" get installedon
👉 高級用法：導出到CSV，供漏洞掃描工具分析：
wmic /output:"patches.csv" qfe list full /format:csv
3.3 異常網絡連接檢測（入侵排查）
案例：檢測服務器是否存在后門連接。
1?? 查看當前TCP/UDP連接：
wmic netconnection get localaddress,localport,remoteaddress,remoteport,state,processid
👉 結合進程名分析：
wmic process where processid=4567 get name,executablepath
2?? 檢查異常的SMB共享（如勒索病毒利用的IPC$）：
wmic share where name="IPC$" get name,path
4. 進階：WMIC的局限性 & 替代方案
雖然WMIC功能強大，但需注意：
? Win11/Server 2022已棄用WMIC，但仍可通過PowerShell調用WMI：
Get-WmiObject -Class Win32_Process | Select-Object Name, ProcessId
? 更現代的替代方案：
- PowerShell（
Get-Process、Get-Service） - Sysinternals工具（如
Process Explorer） - Nmap（NSE腳本）：對Windows主機遠程信息收集
5. 總結 & 最佳實踐
? WMIC適用于：
- 老舊Windows系統（如Server 2008 R2）
- 受限環境（無PowerShell但有CMD）
- 快速信息收集（無需安裝額外工具）
? WMIC不適用于：
- 精細化分析（需結合日志分析工具）
- 大規模自動化（建議用Ansible或PowerShell DSC）
安全建議：
🔹 限制WMIC遠程訪問（關閉WMI服務winmgmt非必要情況）。
🔹 監控wmic.exe的異常調用（EDR/XDR可檢測惡意WMIC使用）。
附：WMIC常用命令速查表
| 場景 | 命令示例 |
|---|---|
| 查看系統信息 | wmic os get caption,version,serialnumber |
| 獲取BIOS信息 | wmic bios get serialnumber,manufacturer |
| 檢查啟動項 | wmic startup get caption,command,location |
| 查詢所有服務 | wmic service get name,displayname,startmode,state |
| 獲取用戶列表 | wmic useraccount get name,disabled,passwordchangeable |
| 檢查磁盤信息 | wmic logicaldisk get deviceid,filesystem,freespace,size |
相關閱讀推薦：
- 微軟文檔：WMI參考
- 《Windows Sysinternals實戰》——Mark Russinovich
📌 您的實戰需求：如果您有特定的WMIC使用場景（如域控審計、勒索病毒應急響應），歡迎在評論區討論，我將提供更針對性的解決方案！
)
