Skip to content
WMIparser

Glossar

CIM-Repository (WMI-Repository)

Die Datenbank, in der WMI Klassendefinitionen und Instanzen speichert: OBJECTS.DATA, INDEX.BTR und MAPPING1-3.MAP in System32\wbem\Repository.

Das CIM-Repository, auch WMI-Repository genannt, ist der persistente Speicher von WMI. Es liegt ab Windows Vista in C:\Windows\System32\wbem\Repository (unter Windows XP und Server 2003 in Repository\FS) und enthält die Klassendefinitionen und statischen Instanzen aller Namespaces, einschließlich der permanenten Event Subscriptions und der Daten, die Software wie der ConfigMgr-Client dort ablegt.

Es handelt sich um eine kleine seitenbasierte Datenbank aus fünf Dateien: OBJECTS.DATA enthält die Datensätze, INDEX.BTR ist ein B-Baum-Index darüber, und die drei MAPPING-Dateien übersetzen logische Seitennummern in physische. Microsoft dokumentiert diesen Container nicht; sein Layout wurde 2015 von FireEye per Reverse Engineering ermittelt (python-cim, Teil von flare-wmi), während die Kodierung der einzelnen Objekte Microsofts öffentlicher Spezifikation MS-WMIO folgt.

Warum das für Untersuchungen wichtig ist

Jeder Event-Filter, jeder Consumer und jedes Binding einer WMI-Persistenz wird hier gespeichert. Das Repository ist daher das wichtigste Beweismittel für MITRE ATT&CK T1546.003. Es lässt sich offline lesen, ohne dem WMI-Dienst eines möglicherweise kompromittierten Hosts vertrauen zu müssen, und es bewahrt mehr, als eine Live-Abfrage zeigt: Gelöschte und ältere Versionen von Objekten bleiben in freigegebenen Seiten erhalten, bis WMI den Platz wiederverwendet.

Deshalb ist die Reihenfolge bei der Sicherung wichtig. Beenden Sie den WMI-Dienst nicht und bauen Sie das Repository nicht neu auf, bevor Sie es kopiert haben, und sichern Sie alle fünf Dateien vom selben Zeitpunkt, idealerweise aus einer Volumeschattenkopie. Ein Index oder eine Zuordnung von einem anderen Zeitpunkt verweist auf die falschen Seiten.

Beispiel

Ein typischer gesicherter Ordner:

C:\Windows\System32\wbem\Repository\
    INDEX.BTR
    MAPPING1.MAP
    MAPPING2.MAP
    MAPPING3.MAP
    OBJECTS.DATA

Prüfen Sie nach einem In-Place-Upgrade zusätzlich C:\Windows.old\Windows\System32\wbem\Repository.

Verwandte Begriffe

Ziehen Sie den Ordner auf WMI Parser, um ihn im Browser auszulesen. Das Dateiformat im Detail beschreibt OBJECTS.DATA: forensische Analyse des WMI-Repositorys; zur Akquise lesen Sie WMI-Repository forensisch sichern.