أوامر ويندوز: أداة WMIC الرّائعة

WMIC أو Windows Management Instrumentation Command-line هي أقوى أدوات سطر الأوامر في ويندوز. هذه الأداة تعطيك تحكّم كامل بالنظام المحلّي أو البعيد وتجعل من إدارة الخادم مهمّة ممتعة . هذه الأداة كذلك تفيد في عملية تحديد ومكافحة بعض البرمجيّات الضّارة والتحقيقات الجنائيّة وغيره. بعد معاناة طويلة مع أحد البرامج التي تصّر على البقاء حتى بعد عمل إزالة لجأت إلى WMIC وتم التنظيف وحلّ المشكلة بأمر واحد فقط.

نأتي إلى شرح مبسّط لهذه الأداة:

لمشاهدة خصائص الأمر ومساعدة حوله

wmic /?

لمشاهدة العمليات التي تجري على الحاسب مع تجديد العرض كل ثانية بشكل مختصر

wmic process list brief /every:1

process العمليات
list اعرض
brief مختصر
full كامل

إذا أردّت متابعة عملية واحدة فقط يمكنك ذلك من خلال الأمر

wmic process where name="cmd.exe"

where لتحديد العملية
name= وضع اسم العملية كما هو بين “”

إذا أردت متابعة عمليّتان معاً يمكنك ذلك من خلال
wmic process where (name="cmd.exe" or name="game.exe") list brief
لاحظ أنّ wmic تعمل وكأنّها لغة استعلام مشابهة ل SQL وهي قوّة رهيبة بحدّ ذاتها.

إذا أردّت قتل عمليّة
wmic process xxxx delete

xxxx رقم العمليّة التي تريد ايقافها

الأمر الذي استخدمته وكان جدّاً رائع وقت استخدامه هو

wmic process where name="mybadprocess.exe" delete

للاستعلام عن حساب مستخدم
wmic useraccount

للاستعلام عن تحديث إذا تمّ تنصيبه ام لا
wmic qfe where hotfixid="KB958644" list full

hotfixid هذا تحتاجه لتحديد رقم التحديث

KB958644 هذا رقم التحديث الذي لو قام به مدير شبكة لحمى شبكته من conficker

لأخذ قائمة بكل التحديثات وتخزينها في ملف بصيغة htm بشكل مفصّل
wmic qfe list full /format:htable >C:\temp\hotfixeslist.htm

لتشغيل عملية

wmic process call create cmd.exe

call يستدعي create للبدء بالعملية cmd.exe

الآن كما ذكرت في المقدّمة هذا الأمر يعمل على الحاسب المحلي والبعيد ما شاهدناه حتى الآن خاص بالمحلي. من أجل البعيد نقوم بالآتي:

wmic /node:"1.1.1.1" process get name

node تستخدم للجهاز البعيد “” ضرورية

الأوامر السابقة الخاصّة بالمحلي يمكن استخدامه للبعيد

مثال

wmic /node:"1.11.1.1" process where name="winrar.exe" delete

إذا كنت تريد تطبيق الأمر نفسه على كافة الخوادم لديك

wmic /node:@serverslist.txt process where name="process.exe" delete

يمكن تزويد الامر باسم المستخدم البعيد مع أو بدون كلمة المرور إذا لم تقم بتزويد كلمة المرور سيقوم الأمر بسؤالك عنها:

wmic /user:"DOMAIN\Admin" /password:"Password" /node:"1.1.1.1" group list brief

للمزيد من المعلومات

http://technet.microsoft.com/en-us/library/bb742610.aspx

http://isc.sans.org/diary.html?storyid=2376

http://technet.microsoft.com/en-us/magazine/2006.09.wmidata.aspx

http://www.net-security.org/dl/articles/WMIC.pdf

http://blogs.technet.com/askperf/archive/2008/04/18/wmic-leveraging-the-power-of-wmi.aspx

http://isc.sans.org/diary.html?storyid=1229

لا تنسوا غزّة من دعائكم فلا زال الحصار مفروضاً لا بل قد اشتدّ.