Windows 取证55 条

WMI 事件订阅持久化核查

WMI 事件订阅能在特定条件下自动执行命令：查 __EventFilter、__EventConsumer、__FilterToConsumerBinding 三类对象。

取证与溯源速查安全更新于 2026-10-12

用途	隐蔽持久化点核查
对象	EventFilter / CommandLineEventConsumer / FilterToConsumerBinding

枚举

Get-CimInstance -Namespace root/subscription -ClassName __EventFilter | Select Name, Query
Get-CimInstance -Namespace root/subscription -ClassName CommandLineEventConsumer | Select Name, CommandLineTemplate

合法管理软件也会注册订阅，先建基线再判断。

易错点

命名空间 root/subscription 之外还有自定义命名空间
删除订阅前先导出定义作为证据

数据来源与参考

Microsoft Docs（WMI 永久事件订阅）

继续搜索

常用关键词：3389 traceroute iptables 子网掩码 docker

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌