DCOM内网横向移动技术教学文档<\/h1>

1. 概述<\/h2>

1.1 技术背景<\/h3>
DCOM（分布式组件对象模型）是Windows系统中用于内网横向移动的重要技术。在Windows命令执行横向攻击演进过程中，主要经历了从PsExec到WMI再到DCOM的技术发展路径。<\/p>

1.2 技术实现<\/h3>

Impacket工具集中的dcomexec.py文件实现了基于DCOM的横向移动，支持三种DCOM对象：<\/p>

ShellWindows<\/li>
ShellBrowserWindow<\/li>

MMC20.Application<\/li> <\/ul>

2. 环境要求<\/h2>

2.1 攻击机配置<\/h3>

操作系统：Kali Linux 2025.3 x64<\/li>
工具：Impacket（支持Python 3.9-3.13）<\/li>

推荐安装方式：

python3 -m pipx install impacket<\/code><\/li>
<\/ul>
2.2 目标机测试环境<\/h3>
测试覆盖的Windows版本包括：<\/p>

Windows Server 2008 R2<\/li>
Windows Server 2012 R2<\/li>
Windows Server 2016<\/li>
Windows Server 2019<\/li>
Windows Server 2022<\/li>
Windows Server 2025<\/li>
Windows 7<\/li>
Windows 10 22H2<\/li>
Windows 11 24H2<\/li>
<\/ul>
3. 技术原理详解<\/h2>
3.1 ShellWindows对象<\/h3>
3.1.1 技术特性<\/h4>

CLSID：9BA05972-F6A8-11CF-A442-00A0C90A8F39<\/li>
注册表位置：HKEY_CLASSES_ROOT\CLSID{9BA05972-F6A8-11CF-A442-00A0C90A8F39}<\/li>
执行进程：explorer.exe<\/li>
接口：IShellWindows<\/li>
<\/ul>
3.1.2 执行流程<\/h4>

枚举当前打开的Shell窗口（资源管理器、IE等）<\/li>
通过Document属性获取FolderView对象<\/li>
访问Application属性获得Shell.Application对象<\/li>
调用IShellDispatch接口的ShellExecute方法<\/li>
<\/ol>
3.1.3 ShellExecute方法原型<\/h4>
HRESULT ShellExecute<\/span>(
<\/span><\/span>    [in] BSTR bstrFile,
<\/span><\/span>    [in, optional] VARIANT vArgs,
<\/span><\/span>    [in, optional] VARIANT vDir, 
<\/span><\/span>    [in, optional] VARIANT vOperation,
<\/span><\/span>    [in, optional] VARIANT vShow
<\/span><\/span>);
<\/span><\/span><\/code><\/pre>3.1.4 命令执行机制<\/h4>

创建半交互式shell<\/li>
每次命令执行时远程调用COM对象函数<\/li>
命令输出重定向到临时文件<\/li>
通过SMB协议读取输出文件模拟shell交互<\/li>
<\/ul>
3.1.5 实际执行命令<\/h4>
cmd.exe \/Q \/c cd \ 1> \\127.0.0.1\ADMIN$\__17602 2>&1
<\/code><\/pre>
3.2 ShellBrowserWindow对象<\/h3>
与ShellWindows类似，但针对单个Shell窗口对象，限制更为严格。<\/p>
3.3 MMC20.Application对象<\/h3>
3.3.1 技术特性<\/h4>

COM服务器类型：EXE形式（LocalServer32）<\/li>
执行进程：mmc.exe<\/li>
自动化接口：IDispatch<\/li>
<\/ul>
3.3.2 执行链<\/h4>

获取Document对象<\/li>
获取ActiveView对象<\/li>
调用IActiveView接口的ExecuteShellCommand方法<\/li>
<\/ol>
3.3.3 进程链特征<\/h4>
svchost.exe → mmc.exe → cmd.exe（检测关键指标）<\/p>
4. 实战测试结果<\/h2>
4.1 前置条件<\/h3>

开放端口：135（RPC）、445（SMB）<\/li>
权限要求：Administrator账户权限<\/li>
注意：管理员组其他用户默认无权限<\/li>
<\/ul>
4.2 各对象兼容性测试<\/h3>
4.2.1 ShellWindows对象<\/h4>

✅ Windows Server 2008 R2：成功<\/li>
✅ Windows Server 2012 R2：成功<\/li>
❌ Windows Server 2016+：失败（rpc_s_access_denied）<\/li>
<\/ul>
限制说明<\/strong>：Windows Server 2016起禁用对该COM对象的远程RPC调用。<\/p>
4.2.2 ShellBrowserWindow对象<\/h4>

❌ Windows Server 2008 R2：失败（Class not registered）<\/li>
✅ Windows Server 2012 R2：成功<\/li>
❌ Windows Server 2016+：失败（rpc_s_access_denied）<\/li>
<\/ul>
4.2.3 MMC20.Application对象<\/h4>

✅ Windows Server 2008 R2：成功<\/li>
✅ Windows Server 2012 R2：成功<\/li>
✅ Windows Server 2016：成功<\/li>
✅ Windows Server 2019：成功<\/li>
✅ Windows Server 2022：成功<\/li>
✅ Windows 7：成功<\/li>
✅ Windows 10：成功<\/li>
✅ Windows 11：成功<\/li>
<\/ul>
4.3 Windows Server 2025特殊处理<\/h3>
在Windows Server 2025测试中，Microsoft Defender AntiVirus会阻断攻击：<\/p>

命令执行成功，但输出重定向被识别为恶意<\/li>
解决方案：修改输出文件位置和相关代码<\/li>
<\/ul>
修改后的代码位置：https:\/\/github.com\/ybdt\/post-hub\/tree\/main\/07-横向攻击\/DCOM横向移动<\/p>
5. 技术特点总结<\/h2>
5.1 优势<\/h3>

MMC20.Application兼容性最佳，支持最新Windows版本<\/li>
执行实体为系统进程，具有一定隐蔽性<\/li>
基于标准DCOM协议，难以完全禁用<\/li>
<\/ul>
5.2 限制<\/h3>

必须使用Administrator账户<\/li>
部分旧版本对象在新系统中被禁用<\/li>
可能触发终端安全防护<\/li>
<\/ul>
5.3 检测特征<\/h3>

网络层面：135\/445端口DCOM和SMB流量<\/li>
进程层面：特定进程链（如mmc.exe→cmd.exe）<\/li>
行为层面：远程命令执行和文件重定向<\/li>
<\/ul>
6. 防御建议<\/h2>
6.1 防护措施<\/h3>

限制Administrator账户的远程使用<\/li>
监控135\/445端口的异常连接<\/li>
部署进程链检测规则<\/li>
更新终端防护规则<\/li>
<\/ul>
6.2 检测规则示例<\/h3>
rule DCOM_Lateral_Movement {<\/span>
<\/span><\/span>    meta<\/span>:
<\/span><\/span>        description<\/span>: "Detect DCOM lateral movement via MMC20.Application"<\/span>
<\/span><\/span>    process<\/span>:
<\/span><\/span>        parent<\/span>: "mmc.exe"<\/span>
<\/span><\/span>        child<\/span>: "cmd.exe"<\/span>
<\/span><\/span>    network<\/span>:
<\/span><\/span>        ports<\/span>: [135<\/span>, 445<\/span>]
<\/span><\/span>}
<\/span><\/span><\/code><\/pre>7. 注意事项<\/h2>
7.1 操作注意事项<\/h3>

攻击可能在被控端产生黑框闪烁，需考虑用户在场情况<\/li>
不同Windows版本需要选择对应的DCOM对象<\/li>
需提前进行环境兼容性测试<\/li>
<\/ul>
7.2 免杀考量<\/h3>

修改默认输出文件路径和命名规则<\/li>
定制化代码避免特征检测<\/li>
结合其他技术降低检测概率<\/li>
<\/ul>
本教学文档完整覆盖了DCOM内网横向移动的技术原理、实战方法和防护措施，为渗透测试和安全防护提供全面参考。<\/p>

DCOM内网横向移动技术教学文档<\/h1>

1. 概述<\/h2>

1.1 技术背景<\/h3> DCOM（分布式组件对象模型）是Windows系统中用于内网横向移动的重要技术。在Windows命令执行横向攻击演进过程中，主要经历了从PsExec到WMI再到DCOM的技术发展路径。<\/p>

2. 环境要求<\/h2>

3. 技术原理详解<\/h2>

3.1 ShellWindows对象<\/h3>

3.2 ShellBrowserWindow对象<\/h3> 与ShellWindows类似，但针对单个Shell窗口对象，限制更为严格。<\/p>

3.3 MMC20.Application对象<\/h3>

3.3.3 进程链特征<\/h4> svchost.exe → mmc.exe → cmd.exe（检测关键指标）<\/p>

4. 实战测试结果<\/h2>

4.2 各对象兼容性测试<\/h3>

5. 技术特点总结<\/h2>

6. 防御建议<\/h2>

7. 注意事项<\/h2>

1.1 技术背景<\/h3>
DCOM（分布式组件对象模型）是Windows系统中用于内网横向移动的重要技术。在Windows命令执行横向攻击演进过程中，主要经历了从PsExec到WMI再到DCOM的技术发展路径。<\/p>

3.2 ShellBrowserWindow对象<\/h3>
与ShellWindows类似，但针对单个Shell窗口对象，限制更为严格。<\/p>

3.3.3 进程链特征<\/h4>
svchost.exe → mmc.exe → cmd.exe（检测关键指标）<\/p>