Skip to content
WMIparser

Glossaire

Dépôt CIM (dépôt WMI)

La base de données sur disque où WMI stocke classes et instances : OBJECTS.DATA, INDEX.BTR et MAPPING1-3.MAP dans System32\wbem\Repository.

Le dépôt CIM, également appelé dépôt WMI, est le stockage persistant de WMI. Il se trouve dans C:\Windows\System32\wbem\Repository à partir de Windows Vista (Repository\FS sous Windows XP et Server 2003) et contient les définitions de classes et les instances statiques de chaque espace de noms, y compris les abonnements permanents aux événements et les données écrites par des logiciels comme le client ConfigMgr.

Il s'agit d'une petite base de données organisée en pages, composée de cinq fichiers : OBJECTS.DATA contient les enregistrements, INDEX.BTR est un index B-tree qui les référence, et les trois fichiers MAPPING traduisent les numéros de pages logiques en pages physiques. Microsoft ne documente pas ce conteneur ; sa structure a été rétro-conçue par FireEye en 2015 (python-cim, intégré à flare-wmi), tandis que l'encodage de chaque objet suit la spécification publique MS-WMIO de Microsoft.

Pourquoi c'est important en investigation

Chaque filtre d'événements, consommateur et liaison d'une persistance WMI y est stocké : le dépôt est donc la preuve principale pour MITRE ATT&CK T1546.003. Il peut être lu hors ligne, sans se fier au service WMI d'un hôte potentiellement compromis, et il conserve davantage que ce que montre une requête en direct : les versions supprimées et anciennes des objets restent dans les pages libérées jusqu'à ce que WMI réutilise l'espace.

L'ordre de collecte est donc important. N'arrêtez pas le service WMI et ne reconstruisez pas le dépôt avant de l'avoir copié, et prenez les cinq fichiers au même instant, idéalement depuis un cliché instantané de volume (shadow copy). Un index ou une table de pages provenant d'un autre moment pointe vers les mauvaises pages.

Exemple

Un dossier collecté typique :

C:\Windows\System32\wbem\Repository\
    INDEX.BTR
    MAPPING1.MAP
    MAPPING2.MAP
    MAPPING3.MAP
    OBJECTS.DATA

Après une mise à niveau sur place, vérifiez également C:\Windows.old\Windows\System32\wbem\Repository.

Termes associés

Déposez le dossier dans WMI Parser pour le lire dans le navigateur. Pour le format de fichier en détail, lisez Au cœur d'OBJECTS.DATA ; pour l'acquisition, voir Collecter le dépôt WMI pour l'analyse forensique.