Capture a Network Trace without installing anything

1. Open an elevated command prompt and run:

netsh trace start persistent=yes capture=yes tracefile=c:\fichero.etl

1	netsh trace start persistent=yes capture=yes tracefile=c:\fichero.etl

2. Reproduce the issue or do a reboot if you are tracing a slow boot scenario. 3. Open an elevated command prompt and run:

netsh trace stop

1	netsh trace stop

Your trace will be stored in c:\fichero.etl**or where ever you saved it. You can view the trace on another machine using…
Read more →

Pasos para configurar Bash Bunny en español

Configuración inicial Descargar los últimos payloads desde GitHub https://github.com/hak5/bashbunny-payloads Conectar Bash Bunny en modo Arming Mode (“Switch Position 3: Arming Mode) y copiar el contenido de GitHub en Bash Bunny. Welcome & Updating the Bash Bunny Software —————————————————————————– Congratulations on your new Bash Bunny by Hak5! For the best experience, we recommend updating to the…
Read more →

PowerShell en la filtración de WikiLeaks (Vault 7: CIA Hacking Tools Revealed)

PowerShell Notes Create and Modify Your Powershell Profile First check whether or not your profile exists. Test-Path $profile If the query returned “False”, then your profile does not exist. Create your profile New-Item -path $profile -type file -force The output of the previous command will tell you where your profile was created. The path given…
Read more →

WMI Classes (detailed)

Class: Description 
Win32_1394Controller: Represents the capabilities and management of a 1394 controller.
Win32_1394ControllerDevice: Relates the high-speed serial bus (IEEE 1394 Firewire) Controller and the CIM_LogicalDevice instance connected to it.
Win32_Account: Represents information about user accounts and group accounts known to the computer system running Windows.
Win32_AccountSID: Relates a security account instance with a security descriptor instance.
Win32_ACE: Represents an access control entry (ACE).
Win32_ActiveRoute: Relates the current IP4 route to the persisted IP route table.
Win32_AllocatedResource: Relates a logical device to a system resource.
Win32_AssociatedProcessorMemory: Relates a processor and its cache memory.
Win32_AutochkSetting: Represents the settings for the autocheck operation of a disk.
Win32_BaseBoard: Represents a baseboard (also known as a motherboard or system board).
Win32_BaseService: Represents executable objects that are installed in a registry database maintained by the Service Control Manager.
Win32_Battery: Represents a battery connected to the computer system.
Win32_BIOS: Represents the attributes of the computer system's basic input or output services (BIOS) that are installed on the computer.
Win32_BootConfiguration: Represents the boot configuration of a computer system running Windows.
Win32_Bus: Represents a physical bus as seen by a Windows operating system.
Win32_CacheMemory: Represents cache memory (internal and external) on a computer system.
Win32_CDROMDrive: Represents a CD-ROM drive on a computer system running Windows.
Win32_CIMLogicalDeviceCIMDataFile: Relates logical devices and data files, indicating the driver files used by the device.
Win32_ClassicCOMApplicationClasses: Relates a DCOM application and a COM component grouped under it.
Win32_ClassicCOMClass: Represents the properties of a COM component.
Win32_ClassicCOMClassSettings: Relates a COM class and the settings used to configure instances of the COM class.
Win32_ClientApplicationSetting: Relates an executable and a DCOM application that contains the DCOM configuration options for the executable file.
Win32_CollectionStatistics: Relates a managed system element collection and the class representing statistical information about the collection.
Win32_COMApplication: Represents a COM application.
Win32_COMApplicationClasses: Relates a COM component and the COM application where it resides.
Win32_COMApplicationSettings: Relates a DCOM application and its configuration settings.
Win32_COMClass: Represents the properties of a COM component.
Win32_ComClassAutoEmulator: Relates a COM class and another COM class that it automatically emulates.
Win32_ComClassEmulator: Relates two versions of a COM class.
Win32_ComponentCategory: Represents a component category.
Win32_ComputerShutdownEvent: Represents computer shutdown events.
Win32_ComputerSystem: Represents a computer system operating in a Windows environment.
Win32_ComputerSystemEvent: Represents events related to a computer system.
Win32_ComputerSystemProcessor: Relates a computer system and a processor running on that system.
Win32_ComputerSystemProduct: Represents a product.
Win32_ComputerSystemWindowsProductActivationSetting: Relates instances of Win32_ComputerSystem andWin32_WindowsProductActivation.
Win32_COMSetting: Represents the settings associated with a COM component or COM application.
Win32_ConnectionShare: Relates a shared resource on the computer and the connection made to the shared resource.
Win32_ControllerHasHub: Represents the hubs downstream from the universal serial bus (USB) controller.
Win32_CurrentProbe: Represents the properties of a current monitoring sensor (ammeter).
Win32_CurrentTime: Represents an instance in time as component seconds, minutes, day of the week, and so on.
Win32_DCOMApplication: Represents the properties of a DCOM application.
Win32_DCOMApplicationAccessAllowedSetting: Relates the Win32_DCOMApplication instance and the user security identifications (SID) that can access it.
Win32_DCOMApplicationLaunchAllowedSetting: Relates the Win32_DCOMApplication instance and the user SIDs that can launch it.
Win32_DCOMApplicationSetting: Represents the settings of a DCOM application.
Win32_DependentService: Relates two interdependent base services.
Win32_Desktop: Represents the common characteristics of a user's desktop.
Win32_DesktopMonitor: Represents the type of monitor or display device attached to the computer system.
Win32_DeviceBus: Relates a system bus and a logical device using the bus.
Win32_DeviceChangeEvent: Represents device change events resulting from the addition, removal, or modification of devices on the computer system.
Win32_DeviceMemoryAddress: Represents a device memory address on a Windows system.
Win32_DeviceSettings: Relates a logical device and a setting that can be applied to it.
Win32_DFSNode: Represents a root or junction node of a domain-based or stand-alone distributed file system (DFS).
Win32_DFSNodeTarget: Represents the relationship of a DFS node to one of its targets.
Win32_DFSTarget: Represents the target of a DFS node.
Win32_Directory: Represents a directory entry on a computer system running Windows.
Win32_DirectorySpecification: Represents the directory layout for the product.
Win32_DiskDrive: Represents a physical disk drive as seen by a computer running the Windows operating system.
Win32_DiskDriveToDiskPartition: Relates a disk drive and a partition existing on it.
Win32_DiskPartition: Represents the capabilities and management capacity of a partitioned area of a physical disk on a computer system running Windows.
Win32_DiskQuota: Tracks disk space usage for NTFS file system volumes.
Win32_DisplayControllerConfiguration: Represents the video adapter configuration information of a computer system running Windows. This class is obsolete. In place of this class, use the properties in the Win32_VideoController, Win32_DesktopMonitor, and CIM_VideoControllerResolution classes.
Win32_DMAChannel: Represents a direct memory access (DMA) channel on a computer system running Windows.
Win32_DriverForDevice: Relates a printer to a printer driver.
Win32_Environment: Represents an environment or system environment setting on a computer system running Windows.
Win32_Fan: Represents the properties of a fan device in the computer system.
Win32_FloppyController: Represents the capabilities and management capacity of a floppy disk drive controller.
Win32_FloppyDrive: Manages the capabilities of a floppy disk drive.
Win32_Group: Represents data about a group account.
Win32_GroupInDomain: Identifies the group accounts associated with a Windows NT domain.
Win32_GroupUser: Relates a group and an account that is a member of that group.
Win32_HeatPipe: Represents the properties of a heat pipe cooling device.
Win32_IDEController: Represents the capabilities of an Integrated Drive Electronics (IDE) controller device.
Win32_IDEControllerDevice: Association class that relates an IDE controller and the logical device.
Win32_ImplementedCategory: Relates a component category and the COM class using its interfaces.
Win32_InfraredDevice: Represents the capabilities and management of an infrared device.
Win32_IP4PersistedRouteTable: Represents persisted IP routes.
Win32_IP4RouteTable: Represents information that governs the routing of network data packets.
Win32_IP4RouteTableEvent: Represents IP route change events.
Win32_IRQResource: Represents an interrupt request line (IRQ) number on a Windows computer system.
Win32_Keyboard: Represents a keyboard installed on a computer system running Windows.
Win32_LoadOrderGroup: Represents a group of system services that define execution dependencies.
Win32_LoadOrderGroupServiceDependencies: Represents an association between a base service and a load order group that the service depends on to start running.
Win32_LoadOrderGroupServiceMembers: Relates a load order group and a base service.
Win32_LocalTime: Represents a point in time returned as Win32_LocalTime objects that result from a query. The Hour property is returned as the local time in a 24-hour clock.
Win32_LogicalDisk: Represents a data source that resolves to an actual local storage device on a computer system running Windows.
Win32_LogicalDiskRootDirectory: Relates a logical disk and its directory structure.
Win32_LogicalDiskToPartition: Relates a logical disk drive and the disk partition it resides on.
Win32_LogicalFileAccess: Relates the security settings of a file or directory and one member of its discretionary access control list (DACL).
Win32_LogicalFileAuditing: Relates the security settings of a file or directory one member of its system access control list (SACL).
Win32_LogicalFileGroup: Relates the security settings of a file or directory and its group.
Win32_LogicalFileOwner: Relates the security settings of a file or directory and its owner.
Win32_LogicalFileSecuritySetting: Represents security settings for a logical file.
Win32_LogicalProgramGroup: Represents a program group in a computer system running Windows.
Win32_LogicalProgramGroupDirectory: Relates logical program groups (groupings in the Start menu), and the file directories in which they are stored.
Win32_LogicalProgramGroupItem: Represents an element contained by a Win32_ProgramGroup instance, that is not itself anotherWin32_ProgramGroup instance.
Win32_LogicalProgramGroupItemDataFile: Relates the program group items of the Start menu, and the files in which they are stored.
Win32_LogicalShareAccess: Relates the security settings of a share and one member of its DACL.
Win32_LogicalShareAuditing: Relates the security settings of a share and one member of its SACL.
Win32_LogicalShareSecuritySetting: Represents security settings for a logical file.
Win32_LogonSession: Describes the logon session or sessions associated with a user logged on to Windows.
Win32_LogonSessionMappedDisk: Represents the mapped logical disks associated with the session.
Win32_LUID: Represents a locally unique identifier (LUID)
Win32_LUIDandAttributes: Represents a LUID and its attributes.
Win32_MappedLogicalDisk: Represents network storage devices that are mapped as logical disks on the computer system running Windows.
Win32_MemoryArray: Represents the properties of the computer system memory array and mapped addresses.
Win32_MemoryArrayLocation: Relates a logical memory array and the physical memory array upon which it exists.
Win32_MemoryDevice: Represents the properties of a computer system's memory device along with its associated mapped addresses.
Win32_MemoryDeviceArray: Relates a memory device and the memory array in which it resides.
Win32_MemoryDeviceLocation: Association class that relates a memory device and the physical memory on which it exists.
Win32_MethodParameterClass: Abstract, base class that implements method parameters derived from this class.
Win32_ModuleLoadTrace: Indicates that a process has loaded a new module.
Win32_ModuleTrace: Base event for module events.
Win32_MotherboardDevice: Represents a device that contains the central components of the computer system running Windows.
Win32_NamedJobObject: Represents a kernel object that is used to group processes for the sake of controlling the life and resources of the processes within the job object.
Win32_NamedJobObjectActgInfo: Represents the I/O accounting information for a job object.
Win32_NamedJobObjectLimit: Represents an association between a job object and the job object limit settings.
Win32_NamedJobObjectLimitSetting: Represents the limit settings for a job object.
Win32_NamedJobObjectProcess: Relates a job object and the process contained in the job object.
Win32_NamedJobObjectSecLimit: Relates a job object and the job object security limit settings.
Win32_NamedJobObjectSecLimitSetting: Represents the security limit settings for a job object.
Win32_NamedJobObjectStatistics: Represents an association between a job object and the job object I/O accounting information class.
Win32_NetworkAdapter: Represents a network adapter on a computer system running Windows.
Win32_NetworkAdapterConfiguration: Represents the attributes and behaviors of a network adapter. The class is not guaranteed to be supported after the ratification of the Distributed Management Task Force (DMTF) CIM network specification.
Win32_NetworkAdapterSetting: Relates a network adapter and its configuration settings.
Win32_NetworkClient: Represents a network client on a computer system running Windows.
Win32_NetworkConnection: Represents an active network connection in a Windows environment.
Win32_NetworkLoginProfile: Represents the network login information of a specific user on a computer system running Windows.
Win32_NetworkProtocol: Represents a protocol and its network characteristics on a computer system running Windows.
Win32_NTDomain: Represents a Windows NT domain.
Win32_NTEventlogFile: Represents data stored in a Windows Event log file.
Win32_NTLogEvent: Represents Windows events.
Win32_NTLogEventComputer: Relates instances of Win32_NTLogEvent and Win32_ComputerSystem.
Win32_NTLogEventLog: Relates instances of Win32_NTLogEvent and Win32_NTEventlogFile classes.
Win32_NTLogEventUser: Relates instances of Win32_NTLogEvent and Win32_UserAccount.
Win32_OnBoardDevice: Represents common adapter devices built into the motherboard (system board).
Win32_OperatingSystem: Represents an operating system installed on a computer system running Windows.
Win32_OperatingSystemAutochkSetting: Represents the association between a CIM_ManagedSystemElement instance and the settings defined for it.
Win32_OperatingSystemQFE: Relates an operating system and product updates applied as represented inWin32_QuickFixEngineering.
Win32_OSRecoveryConfiguration: Represents the types of information that will be gathered from memory when the operating system fails.
Win32_PageFile: Represents the file used for handling virtual memory file swapping on a Windows system.
Win32_PageFileElementSetting: Relates the initial settings of a page file and the state of those settings during normal use.
Win32_PageFileSetting: Represents the settings of a page file.
Win32_PageFileUsage: Represents the file used for handling virtual memory file swapping on a computer system running Windows.
Win32_ParallelPort: Represents the properties of a parallel port on a computer system running Windows.
Win32_PCMCIAController: Manages the capabilities of a Personal Computer Memory Card Interface Adapter (PCMCIA) controller device.
Win32_Perf: The base class for the performance counter classes Win32_PerfRawData and Win32_PerfFormattedData.
Win32_PerfFormattedData: an abstract base class for the pre-installed, calculated data classes.
Win32_PerfRawData: The abstract base class for all concrete raw performance counter classes.
Win32_PhysicalMedia: Represents any type of documentation or storage medium.
Win32_PhysicalMemory: Represents a physical memory device located on a computer as available to the operating system.
Win32_PhysicalMemoryArray: Represents details about the computer system's physical memory.
Win32_PhysicalMemoryLocation: Relates an array of physical memory and its physical memory.
Win32_PingStatus: Represents the values returned by the standard ping command.
Win32_PNPAllocatedResource: Represents an association between logical devices and system resources.
Win32_PNPDevice: Relates a device (known to Configuration Manager as a PNPEntity), and the function it performs.
Win32_PNPEntity: Represents the properties of a Plug and Play device.
Win32_PointingDevice: Represents an input device used to point to and select regions on the display of a computer system running Windows.
Win32_PortableBattery: Represents the properties of a portable battery, such as one used for a notebook computer.
Win32_PortConnector: Represents physical connection ports, such as DB-25 pin male, Centronics, and PS/2.
Win32_PortResource: Represents an I/O port on a computer system running Windows.
Win32_POTSModem: Represents the services and characteristics of a Plain Old Telephone Service (POTS) modem on a computer system running Windows.
Win32_POTSModemToSerialPort: Relates a modem and the serial port the modem uses.
Win32_PowerManagementEvent: Represents power management events resulting from power state changes.
Win32_Printer: Represents a device connected to a computer system running Windows that is capable of reproducing a visual image on a medium.
Win32_PrinterConfiguration: Defines the configuration for a printer device.
Win32_PrinterController: Relates a printer and the local device to which the printer is connected.
Win32_PrinterDriver: Represents the drivers for a Win32_Printer instance.
Win32_PrinterDriverDll: Relates a local printer and its driver file (not the driver itself).
Win32_PrinterSetting: Relates a printer and its configuration settings.
Win32_PrinterShare: Relates a local printer and the share that represents it as it is viewed over a network.
Win32_PrintJob: Represents a print job generated by a Windows-based application.
Win32_PrivilegesStatus: Represents information about the privileges required to complete an operation.
Win32_Process: Represents a sequence of events on a computer system running Windows.
Win32_Processor: Represents a device capable of interpreting a sequence of machine instructions on a computer system running Windows.
Win32_ProcessStartTrace: Indicates that a new process has started.
Win32_ProcessStartup: Represents the startup configuration of a computer system running Windows.
Win32_ProcessStopTrace: Indicates that a process has terminated.
Win32_ProcessTrace: Base event for process events.
Win32_ProgramGroupContents: Relates a program group order and an individual program group or item contained in it.
Win32_ProgramGroupOrItem: Represents a logical grouping of programs on the user's Start|Programs menu.
Win32_ProtocolBinding: Relates a system-level driver, network protocol, and network adapter.
Win32_Proxy: Contains properties and methods to query and configure an Internet connection related to WPA.
Win32_QuickFixEngineering: Represents system-wide Quick Fix Engineering (QFE) or updates that have been applied to the current operating system.
Win32_QuotaSetting: Contains setting information for disk quotas on a volume.
Win32_Refrigeration: Represents the properties of a refrigeration device.
Win32_Registry: Represents the system registry on a computer system running Windows.
Win32_ScheduledJob: Represents a job scheduled using the Windows schedule service.
Win32_SCSIController: Represents a small computer system interface (SCSI) controller on a computer system running Windows.
Win32_SCSIControllerDevice: Relates a SCSI controller and the logical device (disk drive) connected to it.
Win32_SecurityDescriptor: Represents a structural representation of a SECURITY_DESCRIPTOR.
Win32_SecuritySetting: Represents security settings for a managed element.
Win32_SecuritySettingAccess: Represents the rights granted and denied to a trustee for a given object.
Win32_SecuritySettingAuditing: Represents the auditing for a given trustee on a given object.
Win32_SecuritySettingGroup: Relates the security of an object and its group.
Win32_SecuritySettingOfLogicalFile: Represents security settings of a file or directory object.
Win32_SecuritySettingOfLogicalShare: Represents security settings of a shared object.
Win32_SecuritySettingOfObject: Relates an object to its security settings.
Win32_SecuritySettingOwner: Relates the security settings of an object and its owner.
Win32_SerialPort: Represents a serial port on a computer system running Windows.
Win32_SerialPortConfiguration: Represents the settings for data transmission on a Windows serial port.
Win32_SerialPortSetting: Relates a serial port and its configuration settings.
Win32_ServerConnection: Represents the connections made from a remote computer to a shared resource on the local computer.
Win32_ServerSession: Represents the sessions that are established with the local computer by users on a remote computer.
Win32_Service: Represents a service on a computer system running Windows.
Win32_SessionConnection: Represents an association between a session established with the local server by a user on a remote machine, and the connections that depend on the session.
Win32_SessionProcess: Represents an association between a logon session and the processes associated with that session.
Win32_ShadowBy: Represents the association between a shadow copy and the provider that creates the shadow copy.
Win32_ShadowContext: Specifies how a shadow copy is to be created, queried, or deleted.
Win32_ShadowCopy: Represents a duplicate copy of the original volume at a previous time.
Win32_ShadowDiffVolumeSupport: Represents an association between a shadow copy provider and a storage volume.
Win32_ShadowFor: Represents an association between a shadow copy and the volume for which the shadow copy is created.
Win32_ShadowOn: Represents an association between a shadow copy and where the differential data is written.
Win32_ShadowProvider: Represents a component that creates and represents volume shadow copies.
Win32_ShadowStorage: Represents an association between a shadow copy and where the differential data is written.
Win32_ShadowVolumeSupport: Represents an association between a shadow copy provider with a supported volume.
Win32_Share: Represents a shared resource on a computer system running Windows.
Win32_ShareToDirectory: Relates a shared resource on the computer system and the directory to which it is mapped.
Win32_ShortcutFile: Represents files that are shortcuts to other files, directories, and commands.
Win32_SID: Represents an arbitrary SID.
Win32_SIDandAttributes: Represents a security identifier (SID) and its attributes.
Win32_SMBIOSMemory: Represents the capabilities and management of memory-related logical devices.
Win32_SoundDevice: Represents the properties of a sound device on a computer system running Windows.
Win32_StartupCommand: Represents a command that runs automatically when a user logs onto the computer system.
Win32_SubDirectory: Relates a directory (folder) and one of its subdirectories (subfolders).
Win32_SystemAccount: Represents a system account.
Win32_SystemBIOS: Relates a computer system (including data such as startup properties, time zones, boot configurations, or administrative passwords) and a system BIOS (services, languages, and system management properties).
Win32_SystemBootConfiguration: Relates a computer system and its boot configuration.
Win32_SystemConfigurationChangeEvent: Indicates that the device list on the system has been refreshed (a device has been added or removed, or the configuration changed).
Win32_SystemDesktop: Relates a computer system and its desktop configuration.
Win32_SystemDevices: Relates a computer system and a logical device installed on that system.
Win32_SystemDriver: Represents the system driver for a base service.
Win32_SystemDriverPNPEntity: Relates a Plug and Play device on the Windows computer system and the driver that supports the Plug and Play device.
Win32_SystemEnclosure: Represents the properties associated with a physical system enclosure.
Win32_SystemLoadOrderGroups: Relates a computer system and a load order group.
Win32_SystemMemoryResource: Represents a system memory resource on a Windows system.
Win32_SystemNetworkConnections: Relates a network connection and the computer system on which it resides.
Win32_SystemOperatingSystem: Relates a computer system and its operating system.
Win32_SystemPartitions: Relates a computer system and a disk partition on that system.
Win32_SystemProcesses: Relates a computer system and a process running on that system.
Win32_SystemProgramGroups: Relates a computer system and a logical program group.
Win32_SystemResources: Relates a system resource and the computer system it resides on.
Win32_SystemServices: Relates a computer system and a service program that exists on the system.
Win32_SystemSetting: Relates a computer system and a general setting on that system.
Win32_SystemSlot: Represents physical connection points including ports, motherboard slots and peripherals, and proprietary connections points.
Win32_SystemSystemDriver: Relates a computer system and a system driver running on that computer system.
Win32_SystemTimeZone: Relates a computer system and a time zone.
Win32_SystemTrace: Base class for all system trace events, including module, process, and thread traces.
Win32_SystemUsers: Relates a computer system and a user account on that system.
Win32_TapeDrive: Represents a tape drive on a computer system running Windows.
Win32_TCPIPPrinterPort: Represents a TCP/IP service access point.
Win32_TemperatureProbe: Represents the properties of a temperature sensor (electronic thermometer).
Win32_Thread: Represents a thread of execution.
Win32_ThreadStartTrace: Indicates a new thread has started.
Win32_ThreadStopTrace: Indicates that a thread has stopped.
Win32_ThreadTrace: Base event class for thread events.
Win32_TimeZone: Represents the time zone information for a computer system running Windows.
Win32_TokenGroups: Represents information about the group SIDs in an access token.
Win32_TokenPrivileges: Represents information about a set of privileges for an access token.
Win32_Trustee: Represents a trustee.
Win32_USBController: Manages the capabilities of a universal serial bus (USB) controller.
Win32_USBControllerDevice: Relates a USB controller and the CIM_LogicalDevice instances connected to it.
Win32_USBHub: Represents the management characteristics of a USB hub.
Win32_UserAccount: Represents information about a user account on a computer system running Windows.
Win32_UserDesktop: Relates a user account and the desktop settings that are specific to it.
Win32_UserInDomain: Relates a user account and a Windows NT domain.
Win32_UTCTime: Represents a point in time that is returned as Win32_UTCTime objects that result from a query. The Hour property is returned as the coordinated universal time (UTC) time in a 24–hour clock.
Win32_VideoController: Represents the capabilities and management capacity of the video controller on a computer system running Windows.
Win32_VideoSettings: Relates a video controller and video settings that can be applied to it.
Win32_VoltageProbe: Represents the properties of a voltage sensor (electronic voltmeter).
Win32_Volume: Represents an area of storage on a hard disk.
Win32_Volume: Represents an area of storage on a hard disk.
Win32_VolumeChangeEvent: Represents a network-mapped drive event resulting from the addition of a network drive letter or mounted drive on the computer system.
Win32_VolumeQuota: Relates a volume to the per volume quota settings.
Win32_VolumeQuotaSetting: Relates disk quota settings with a specific disk volume.
Win32_VolumeUserQuota: Relates per user quotas to quota-enabled volumes.
Win32_VolumeUserQuota: Represents a volume to the per volume quota settings.
Win32_WindowsProductActivation: Contains properties and methods related to WPA.
Win32_WMIElementSetting: Association between a service running in the Windows system, and the WMI settings it can use.
Win32_WMISetting: Contains the operational parameters for the WMI service.

100

101

102

103

104

105

106

107

108

109

110

111

112

113

114

115

116

117

118

119

120

121

122

123

124

125

126

127

128

129

130

131

132

133

134

135

136

137

138

139

140

141

142

143

144

145

146

147

148

149

150

151

152

153

154

155

156

157

158

159

160

161

162

163

164

165

166

167

168

169

170

171

172

173

174

175

176

177

178

179

180

181

182

183

184

185

186

187

188

189

190

191

192

193

194

195

196

197

198

199

200

201

202

203

204

205

206

207

208

209

210

211

212

213

214

215

216

217

218

219

220

221

222

223

224

225

226

227

228

229

230

231

232

233

234

235

236

237

238

239

240

241

242

243

244

245

246

247

248

249

250

251

252

253

254

255

256

257

258

259

260

261

262

263

264

265

266

267

268

269

270

271

272

273

274

275

276

277

278

279

280

281

Class: Description

Win32_1394Controller: Represents the capabilities and management of a 1394 controller.

Win32_1394ControllerDevice: Relates the high-speed serial bus (IEEE 1394 Firewire) Controller and the CIM_LogicalDevice instance connected to it.

Win32_Account: Represents information about user accounts and group accounts known to the computer system running Windows.

Win32_AccountSID: Relates a security account instance with a security descriptor instance.

Win32_ACE: Represents an access control entry (ACE).

Win32_ActiveRoute: Relates the current IP4 route to the persisted IP route table.

Win32_AllocatedResource: Relates a logical device to a system resource.

Win32_AssociatedProcessorMemory: Relates a processor and its cache memory.

Win32_AutochkSetting: Represents the settings for the autocheck operation of a disk.

Win32_BaseBoard: Represents a baseboard (also known as a motherboard or system board).

Win32_BaseService: Represents executable objects that are installed in a registry database maintained by the Service Control Manager.

Win32_Battery: Represents a battery connected to the computer system.

Win32_BIOS: Represents the attributes of the computer system's basic input or output services (BIOS) that are installed on the computer.

Win32_BootConfiguration: Represents the boot configuration of a computer system running Windows.

Win32_Bus: Represents a physical bus as seen by a Windows operating system.

Win32_CacheMemory: Represents cache memory (internal and external) on a computer system.

Win32_CDROMDrive: Represents a CD-ROM drive on a computer system running Windows.

Win32_CIMLogicalDeviceCIMDataFile: Relates logical devices and data files, indicating the driver files used by the device.

Win32_ClassicCOMApplicationClasses: Relates a DCOM application and a COM component grouped under it.

Win32_ClassicCOMClass: Represents the properties of a COM component.

Win32_ClassicCOMClassSettings: Relates a COM class and the settings used to configure instances of the COM class.

Win32_ClientApplicationSetting: Relates an executable and a DCOM application that contains the DCOM configuration options for the executable file.

Win32_CollectionStatistics: Relates a managed system element collection and the class representing statistical information about the collection.

Win32_COMApplication: Represents a COM application.

Win32_COMApplicationClasses: Relates a COM component and the COM application where it resides.

Win32_COMApplicationSettings: Relates a DCOM application and its configuration settings.

Win32_COMClass: Represents the properties of a COM component.

Win32_ComClassAutoEmulator: Relates a COM class and another COM class that it automatically emulates.

Win32_ComClassEmulator: Relates two versions of a COM class.

Win32_ComponentCategory: Represents a component category.

Win32_ComputerShutdownEvent: Represents computer shutdown events.

Win32_ComputerSystem: Represents a computer system operating in a Windows environment.

Win32_ComputerSystemEvent: Represents events related to a computer system.

Win32_ComputerSystemProcessor: Relates a computer system and a processor running on that system.

Win32_ComputerSystemProduct: Represents a product.

Win32_ComputerSystemWindowsProductActivationSetting: Relates instances of Win32_ComputerSystem andWin32_WindowsProductActivation.

Win32_COMSetting: Represents the settings associated with a COM component or COM application.

Win32_ConnectionShare: Relates a shared resource on the computer and the connection made to the shared resource.

Win32_ControllerHasHub: Represents the hubs downstream from the universal serial bus (USB) controller.

Win32_CurrentProbe: Represents the properties of a current monitoring sensor (ammeter).

Win32_CurrentTime: Represents an instance in time as component seconds, minutes, day of the week, and so on.

Win32_DCOMApplication: Represents the properties of a DCOM application.

Win32_DCOMApplicationAccessAllowedSetting: Relates the Win32_DCOMApplication instance and the user security identifications (SID) that can access it.

Win32_DCOMApplicationLaunchAllowedSetting: Relates the Win32_DCOMApplication instance and the user SIDs that can launch it.

Win32_DCOMApplicationSetting: Represents the settings of a DCOM application.

Win32_DependentService: Relates two interdependent base services.

Win32_Desktop: Represents the common characteristics of a user's desktop.

Win32_DesktopMonitor: Represents the type of monitor or display device attached to the computer system.

Win32_DeviceBus: Relates a system bus and a logical device using the bus.

Win32_DeviceChangeEvent: Represents device change events resulting from the addition, removal, or modification of devices on the computer system.

Win32_DeviceMemoryAddress: Represents a device memory address on a Windows system.

Win32_DeviceSettings: Relates a logical device and a setting that can be applied to it.

Win32_DFSNode: Represents a root or junction node of a domain-based or stand-alone distributed file system (DFS).

Win32_DFSNodeTarget: Represents the relationship of a DFS node to one of its targets.

Win32_DFSTarget: Represents the target of a DFS node.

Win32_Directory: Represents a directory entry on a computer system running Windows.

Win32_DirectorySpecification: Represents the directory layout for the product.

Win32_DiskDrive: Represents a physical disk drive as seen by a computer running the Windows operating system.

Win32_DiskDriveToDiskPartition: Relates a disk drive and a partition existing on it.

Win32_DiskPartition: Represents the capabilities and management capacity of a partitioned area of a physical disk on a computer system running Windows.

Win32_DiskQuota: Tracks disk space usage for NTFS file system volumes.

Win32_DisplayControllerConfiguration: Represents the video adapter configuration information of a computer system running Windows. This class is obsolete. In place of this class, use the properties in the Win32_VideoController, Win32_DesktopMonitor, and CIM_VideoControllerResolution classes.

Win32_DMAChannel: Represents a direct memory access (DMA) channel on a computer system running Windows.

Win32_DriverForDevice: Relates a printer to a printer driver.

Win32_Environment: Represents an environment or system environment setting on a computer system running Windows.

Win32_Fan: Represents the properties of a fan device in the computer system.

Win32_FloppyController: Represents the capabilities and management capacity of a floppy disk drive controller.

Win32_FloppyDrive: Manages the capabilities of a floppy disk drive.

Win32_Group: Represents data about a group account.

Win32_GroupInDomain: Identifies the group accounts associated with a Windows NT domain.

Win32_GroupUser: Relates a group and an account that is a member of that group.

Win32_HeatPipe: Represents the properties of a heat pipe cooling device.

Win32_IDEController: Represents the capabilities of an Integrated Drive Electronics (IDE) controller device.

Win32_IDEControllerDevice: Association class that relates an IDE controller and the logical device.

Win32_ImplementedCategory: Relates a component category and the COM class using its interfaces.

Win32_InfraredDevice: Represents the capabilities and management of an infrared device.

Win32_IP4PersistedRouteTable: Represents persisted IP routes.

Win32_IP4RouteTable: Represents information that governs the routing of network data packets.

Win32_IP4RouteTableEvent: Represents IP route change events.

Win32_IRQResource: Represents an interrupt request line (IRQ) number on a Windows computer system.

Win32_Keyboard: Represents a keyboard installed on a computer system running Windows.

Win32_LoadOrderGroup: Represents a group of system services that define execution dependencies.

Win32_LoadOrderGroupServiceDependencies: Represents an association between a base service and a load order group that the service depends on to start running.

Win32_LoadOrderGroupServiceMembers: Relates a load order group and a base service.

Win32_LocalTime: Represents a point in time returned as Win32_LocalTime objects that result from a query. The Hour property is returned as the local time in a 24-hour clock.

Win32_LogicalDisk: Represents a data source that resolves to an actual local storage device on a computer system running Windows.

Win32_LogicalDiskRootDirectory: Relates a logical disk and its directory structure.

Win32_LogicalDiskToPartition: Relates a logical disk drive and the disk partition it resides on.

Win32_LogicalFileAccess: Relates the security settings of a file or directory and one member of its discretionary access control list (DACL).

Win32_LogicalFileAuditing: Relates the security settings of a file or directory one member of its system access control list (SACL).

Win32_LogicalFileGroup: Relates the security settings of a file or directory and its group.

Win32_LogicalFileOwner: Relates the security settings of a file or directory and its owner.

Win32_LogicalFileSecuritySetting: Represents security settings for a logical file.

Win32_LogicalProgramGroup: Represents a program group in a computer system running Windows.

Win32_LogicalProgramGroupDirectory: Relates logical program groups (groupings in the Start menu), and the file directories in which they are stored.

Win32_LogicalProgramGroupItem: Represents an element contained by a Win32_ProgramGroup instance, that is not itself anotherWin32_ProgramGroup instance.

Win32_LogicalProgramGroupItemDataFile: Relates the program group items of the Start menu, and the files in which they are stored.

Win32_LogicalShareAccess: Relates the security settings of a share and one member of its DACL.

Win32_LogicalShareAuditing: Relates the security settings of a share and one member of its SACL.

Win32_LogicalShareSecuritySetting: Represents security settings for a logical file.

Win32_LogonSession: Describes the logon session or sessions associated with a user logged on to Windows.

Win32_LogonSessionMappedDisk: Represents the mapped logical disks associated with the session.

Win32_LUID: Represents a locally unique identifier (LUID)

Win32_LUIDandAttributes: Represents a LUID and its attributes.

Win32_MappedLogicalDisk: Represents network storage devices that are mapped as logical disks on the computer system running Windows.

Win32_MemoryArray: Represents the properties of the computer system memory array and mapped addresses.

Win32_MemoryArrayLocation: Relates a logical memory array and the physical memory array upon which it exists.

Win32_MemoryDevice: Represents the properties of a computer system's memory device along with its associated mapped addresses.

Win32_MemoryDeviceArray: Relates a memory device and the memory array in which it resides.

Win32_MemoryDeviceLocation: Association class that relates a memory device and the physical memory on which it exists.

Win32_MethodParameterClass: Abstract, base class that implements method parameters derived from this class.

Win32_ModuleLoadTrace: Indicates that a process has loaded a new module.

Win32_ModuleTrace: Base event for module events.

Win32_MotherboardDevice: Represents a device that contains the central components of the computer system running Windows.

Win32_NamedJobObject: Represents a kernel object that is used to group processes for the sake of controlling the life and resources of the processes within the job object.

Win32_NamedJobObjectActgInfo: Represents the I/O accounting information for a job object.

Win32_NamedJobObjectLimit: Represents an association between a job object and the job object limit settings.

Win32_NamedJobObjectLimitSetting: Represents the limit settings for a job object.

Win32_NamedJobObjectProcess: Relates a job object and the process contained in the job object.

Win32_NamedJobObjectSecLimit: Relates a job object and the job object security limit settings.

Win32_NamedJobObjectSecLimitSetting: Represents the security limit settings for a job object.

Win32_NamedJobObjectStatistics: Represents an association between a job object and the job object I/O accounting information class.

Win32_NetworkAdapter: Represents a network adapter on a computer system running Windows.

Win32_NetworkAdapterConfiguration: Represents the attributes and behaviors of a network adapter. The class is not guaranteed to be supported after the ratification of the Distributed Management Task Force (DMTF) CIM network specification.

Win32_NetworkAdapterSetting: Relates a network adapter and its configuration settings.

Win32_NetworkClient: Represents a network client on a computer system running Windows.

Win32_NetworkConnection: Represents an active network connection in a Windows environment.

Win32_NetworkLoginProfile: Represents the network login information of a specific user on a computer system running Windows.

Win32_NetworkProtocol: Represents a protocol and its network characteristics on a computer system running Windows.

Win32_NTDomain: Represents a Windows NT domain.

Win32_NTEventlogFile: Represents data stored in a Windows Event log file.

Win32_NTLogEvent: Represents Windows events.

Win32_NTLogEventComputer: Relates instances of Win32_NTLogEvent and Win32_ComputerSystem.

Win32_NTLogEventLog: Relates instances of Win32_NTLogEvent and Win32_NTEventlogFile classes.

Win32_NTLogEventUser: Relates instances of Win32_NTLogEvent and Win32_UserAccount.

Win32_OnBoardDevice: Represents common adapter devices built into the motherboard (system board).

Win32_OperatingSystem: Represents an operating system installed on a computer system running Windows.

Win32_OperatingSystemAutochkSetting: Represents the association between a CIM_ManagedSystemElement instance and the settings defined for it.

Win32_OperatingSystemQFE: Relates an operating system and product updates applied as represented inWin32_QuickFixEngineering.

Win32_OSRecoveryConfiguration: Represents the types of information that will be gathered from memory when the operating system fails.

Win32_PageFile: Represents the file used for handling virtual memory file swapping on a Windows system.

Win32_PageFileElementSetting: Relates the initial settings of a page file and the state of those settings during normal use.

Win32_PageFileSetting: Represents the settings of a page file.

Win32_PageFileUsage: Represents the file used for handling virtual memory file swapping on a computer system running Windows.

Win32_ParallelPort: Represents the properties of a parallel port on a computer system running Windows.

Win32_PCMCIAController: Manages the capabilities of a Personal Computer Memory Card Interface Adapter (PCMCIA) controller device.

Win32_Perf: The base class for the performance counter classes Win32_PerfRawData and Win32_PerfFormattedData.

Win32_PerfFormattedData: an abstract base class for the pre-installed, calculated data classes.

Win32_PerfRawData: The abstract base class for all concrete raw performance counter classes.

Win32_PhysicalMedia: Represents any type of documentation or storage medium.

Win32_PhysicalMemory: Represents a physical memory device located on a computer as available to the operating system.

Win32_PhysicalMemoryArray: Represents details about the computer system's physical memory.

Win32_PhysicalMemoryLocation: Relates an array of physical memory and its physical memory.

Win32_PingStatus: Represents the values returned by the standard ping command.

Win32_PNPAllocatedResource: Represents an association between logical devices and system resources.

Win32_PNPDevice: Relates a device (known to Configuration Manager as a PNPEntity), and the function it performs.

Win32_PNPEntity: Represents the properties of a Plug and Play device.

Win32_PointingDevice: Represents an input device used to point to and select regions on the display of a computer system running Windows.

Win32_PortableBattery: Represents the properties of a portable battery, such as one used for a notebook computer.

Win32_PortConnector: Represents physical connection ports, such as DB-25 pin male, Centronics, and PS/2.

Win32_PortResource: Represents an I/O port on a computer system running Windows.

Win32_POTSModem: Represents the services and characteristics of a Plain Old Telephone Service (POTS) modem on a computer system running Windows.

Win32_POTSModemToSerialPort: Relates a modem and the serial port the modem uses.

Win32_PowerManagementEvent: Represents power management events resulting from power state changes.

Win32_Printer: Represents a device connected to a computer system running Windows that is capable of reproducing a visual image on a medium.

Win32_PrinterConfiguration: Defines the configuration for a printer device.

Win32_PrinterController: Relates a printer and the local device to which the printer is connected.

Win32_PrinterDriver: Represents the drivers for a Win32_Printer instance.

Win32_PrinterDriverDll: Relates a local printer and its driver file (not the driver itself).

Win32_PrinterSetting: Relates a printer and its configuration settings.

Win32_PrinterShare: Relates a local printer and the share that represents it as it is viewed over a network.

Win32_PrintJob: Represents a print job generated by a Windows-based application.

Win32_PrivilegesStatus: Represents information about the privileges required to complete an operation.

Win32_Process: Represents a sequence of events on a computer system running Windows.

Win32_Processor: Represents a device capable of interpreting a sequence of machine instructions on a computer system running Windows.

Win32_ProcessStartTrace: Indicates that a new process has started.

Win32_ProcessStartup: Represents the startup configuration of a computer system running Windows.

Win32_ProcessStopTrace: Indicates that a process has terminated.

Win32_ProcessTrace: Base event for process events.

Win32_ProgramGroupContents: Relates a program group order and an individual program group or item contained in it.

Win32_ProgramGroupOrItem: Represents a logical grouping of programs on the user's Start|Programs menu.

Win32_ProtocolBinding: Relates a system-level driver, network protocol, and network adapter.

Win32_Proxy: Contains properties and methods to query and configure an Internet connection related to WPA.

Win32_QuickFixEngineering: Represents system-wide Quick Fix Engineering (QFE) or updates that have been applied to the current operating system.

Win32_QuotaSetting: Contains setting information for disk quotas on a volume.

Win32_Refrigeration: Represents the properties of a refrigeration device.

Win32_Registry: Represents the system registry on a computer system running Windows.

Win32_ScheduledJob: Represents a job scheduled using the Windows schedule service.

Win32_SCSIController: Represents a small computer system interface (SCSI) controller on a computer system running Windows.

Win32_SCSIControllerDevice: Relates a SCSI controller and the logical device (disk drive) connected to it.

Win32_SecurityDescriptor: Represents a structural representation of a SECURITY_DESCRIPTOR.

Win32_SecuritySetting: Represents security settings for a managed element.

Win32_SecuritySettingAccess: Represents the rights granted and denied to a trustee for a given object.

Win32_SecuritySettingAuditing: Represents the auditing for a given trustee on a given object.

Win32_SecuritySettingGroup: Relates the security of an object and its group.

Win32_SecuritySettingOfLogicalFile: Represents security settings of a file or directory object.

Win32_SecuritySettingOfLogicalShare: Represents security settings of a shared object.

Win32_SecuritySettingOfObject: Relates an object to its security settings.

Win32_SecuritySettingOwner: Relates the security settings of an object and its owner.

Win32_SerialPort: Represents a serial port on a computer system running Windows.

Win32_SerialPortConfiguration: Represents the settings for data transmission on a Windows serial port.

Win32_SerialPortSetting: Relates a serial port and its configuration settings.

Win32_ServerConnection: Represents the connections made from a remote computer to a shared resource on the local computer.

Win32_ServerSession: Represents the sessions that are established with the local computer by users on a remote computer.

Win32_Service: Represents a service on a computer system running Windows.

Win32_SessionConnection: Represents an association between a session established with the local server by a user on a remote machine, and the connections that depend on the session.

Win32_SessionProcess: Represents an association between a logon session and the processes associated with that session.

Win32_ShadowBy: Represents the association between a shadow copy and the provider that creates the shadow copy.

Win32_ShadowContext: Specifies how a shadow copy is to be created, queried, or deleted.

Win32_ShadowCopy: Represents a duplicate copy of the original volume at a previous time.

Win32_ShadowDiffVolumeSupport: Represents an association between a shadow copy provider and a storage volume.

Win32_ShadowFor: Represents an association between a shadow copy and the volume for which the shadow copy is created.

Win32_ShadowOn: Represents an association between a shadow copy and where the differential data is written.

Win32_ShadowProvider: Represents a component that creates and represents volume shadow copies.

Win32_ShadowStorage: Represents an association between a shadow copy and where the differential data is written.

Win32_ShadowVolumeSupport: Represents an association between a shadow copy provider with a supported volume.

Win32_Share: Represents a shared resource on a computer system running Windows.

Win32_ShareToDirectory: Relates a shared resource on the computer system and the directory to which it is mapped.

Win32_ShortcutFile: Represents files that are shortcuts to other files, directories, and commands.

Win32_SID: Represents an arbitrary SID.

Win32_SIDandAttributes: Represents a security identifier (SID) and its attributes.

Win32_SMBIOSMemory: Represents the capabilities and management of memory-related logical devices.

Win32_SoundDevice: Represents the properties of a sound device on a computer system running Windows.

Win32_StartupCommand: Represents a command that runs automatically when a user logs onto the computer system.

Win32_SubDirectory: Relates a directory (folder) and one of its subdirectories (subfolders).

Win32_SystemAccount: Represents a system account.

Win32_SystemBIOS: Relates a computer system (including data such as startup properties, time zones, boot configurations, or administrative passwords) and a system BIOS (services, languages, and system management properties).

Win32_SystemBootConfiguration: Relates a computer system and its boot configuration.

Win32_SystemConfigurationChangeEvent: Indicates that the device list on the system has been refreshed (a device has been added or removed, or the configuration changed).

Win32_SystemDesktop: Relates a computer system and its desktop configuration.

Win32_SystemDevices: Relates a computer system and a logical device installed on that system.

Win32_SystemDriver: Represents the system driver for a base service.

Win32_SystemDriverPNPEntity: Relates a Plug and Play device on the Windows computer system and the driver that supports the Plug and Play device.

Win32_SystemEnclosure: Represents the properties associated with a physical system enclosure.

Win32_SystemLoadOrderGroups: Relates a computer system and a load order group.

Win32_SystemMemoryResource: Represents a system memory resource on a Windows system.

Win32_SystemNetworkConnections: Relates a network connection and the computer system on which it resides.

Win32_SystemOperatingSystem: Relates a computer system and its operating system.

Win32_SystemPartitions: Relates a computer system and a disk partition on that system.

Win32_SystemProcesses: Relates a computer system and a process running on that system.

Win32_SystemProgramGroups: Relates a computer system and a logical program group.

Win32_SystemResources: Relates a system resource and the computer system it resides on.

Win32_SystemServices: Relates a computer system and a service program that exists on the system.

Win32_SystemSetting: Relates a computer system and a general setting on that system.

Win32_SystemSlot: Represents physical connection points including ports, motherboard slots and peripherals, and proprietary connections points.

Win32_SystemSystemDriver: Relates a computer system and a system driver running on that computer system.

Win32_SystemTimeZone: Relates a computer system and a time zone.

Win32_SystemTrace: Base class for all system trace events, including module, process, and thread traces.

Win32_SystemUsers: Relates a computer system and a user account on that system.

Win32_TapeDrive: Represents a tape drive on a computer system running Windows.

Win32_TCPIPPrinterPort: Represents a TCP/IP service access point.

Win32_TemperatureProbe: Represents the properties of a temperature sensor (electronic thermometer).

Win32_Thread: Represents a thread of execution.

Win32_ThreadStartTrace: Indicates a new thread has started.

Win32_ThreadStopTrace: Indicates that a thread has stopped.

Win32_ThreadTrace: Base event class for thread events.

Win32_TimeZone: Represents the time zone information for a computer system running Windows.

Win32_TokenGroups: Represents information about the group SIDs in an access token.

Win32_TokenPrivileges: Represents information about a set of privileges for an access token.

Win32_Trustee: Represents a trustee.

Win32_USBController: Manages the capabilities of a universal serial bus (USB) controller.

Win32_USBControllerDevice: Relates a USB controller and the CIM_LogicalDevice instances connected to it.

Win32_USBHub: Represents the management characteristics of a USB hub.

Win32_UserAccount: Represents information about a user account on a computer system running Windows.

Win32_UserDesktop: Relates a user account and the desktop settings that are specific to it.

Win32_UserInDomain: Relates a user account and a Windows NT domain.

Win32_UTCTime: Represents a point in time that is returned as Win32_UTCTime objects that result from a query. The Hour property is returned as the coordinated universal time (UTC) time in a 24–hour clock.

Win32_VideoController: Represents the capabilities and management capacity of the video controller on a computer system running Windows.

Win32_VideoSettings: Relates a video controller and video settings that can be applied to it.

Win32_VoltageProbe: Represents the properties of a voltage sensor (electronic voltmeter).

Win32_Volume: Represents an area of storage on a hard disk.

Win32_VolumeChangeEvent: Represents a network-mapped drive event resulting from the addition of a network drive letter or mounted drive on the computer system.

Win32_VolumeQuota: Relates a volume to the per volume quota settings.

Win32_VolumeQuotaSetting: Relates disk quota settings with a specific disk volume.

Win32_VolumeUserQuota: Relates per user quotas to quota-enabled volumes.

Win32_VolumeUserQuota: Represents a volume to the per volume quota settings.

Win32_WindowsProductActivation: Contains properties and methods related to WPA.

Win32_WMIElementSetting: Association between a service running in the Windows system, and the WMI settings it can use.

Win32_WMISetting: Contains the operational parameters for the WMI service.

Win32 Classes (Windows)

Win32_1394Controller
Win32_1394ControllerDevice
Win32_Account
Win32_AccountSID
Win32_ACE
Win32_ActiveRoute
Win32_AllocatedResource
Win32_AssociatedProcessorMemory
Win32_AutochkSetting
Win32_BaseBoard
Win32_BaseService
Win32_Battery
Win32_BIOS
Win32_BootConfiguration
Win32_Bus
Win32_CacheMemory
Win32_CDROMDrive
Win32_CIMLogicalDeviceCIMDataFile
Win32_ClassicCOMApplicationClasses
Win32_ClassicCOMClass
Win32_ClassicCOMClassSettings
Win32_ClientApplicationSetting
Win32_CollectionStatistics
Win32_COMApplication
Win32_COMApplicationClasses
Win32_COMApplicationSettings
Win32_COMClass
Win32_ComClassAutoEmulator
Win32_ComClassEmulator
Win32_ComponentCategory
Win32_ComputerShutdownEvent
Win32_ComputerSystem
Win32_ComputerSystemEvent
Win32_ComputerSystemProcessor
Win32_ComputerSystemProduct
Win32_ComputerSystemWindowsProductActivationSetting
Win32_COMSetting
Win32_ConnectionShare
Win32_ControllerHasHub
Win32_CurrentProbe
Win32_CurrentTime
Win32_DCOMApplication
Win32_DCOMApplicationAccessAllowedSetting
Win32_DCOMApplicationLaunchAllowedSetting
Win32_DCOMApplicationSetting
Win32_DependentService
Win32_Desktop
Win32_DesktopMonitor
Win32_DeviceBus
Win32_DeviceChangeEvent
Win32_DeviceMemoryAddress
Win32_DeviceSettings
Win32_DFSNode
Win32_DFSNodeTarget
Win32_DFSTarget
Win32_Directory
Win32_DirectorySpecification
Win32_DiskDrive
Win32_DiskDriveToDiskPartition
Win32_DiskPartition
Win32_DiskQuota
Win32_DisplayControllerConfiguration
Win32_DMAChannel
Win32_DriverForDevice
Win32_Environment
Win32_Fan
Win32_FloppyController
Win32_FloppyDrive
Win32_Group
Win32_GroupInDomain
Win32_GroupUser
Win32_HeatPipe
Win32_IDEController
Win32_IDEControllerDevice
Win32_ImplementedCategory
Win32_InfraredDevice
Win32_IP4PersistedRouteTable
Win32_IP4RouteTable
Win32_IP4RouteTableEvent
Win32_IRQResource
Win32_Keyboard
Win32_LoadOrderGroup
Win32_LoadOrderGroupServiceDependencies
Win32_LoadOrderGroupServiceMembers
Win32_LocalTime
Win32_LogicalDisk
Win32_LogicalDiskRootDirectory
Win32_LogicalDiskToPartition
Win32_LogicalFileAccess
Win32_LogicalFileAuditing
Win32_LogicalFileGroup
Win32_LogicalFileOwner
Win32_LogicalFileSecuritySetting
Win32_LogicalProgramGroup
Win32_LogicalProgramGroupDirectory
Win32_LogicalProgramGroupItem
Win32_LogicalProgramGroupItemDataFile
Win32_LogicalShareAccess
Win32_LogicalShareAuditing
Win32_LogicalShareSecuritySetting
Win32_LogonSession
Win32_LogonSessionMappedDisk
Win32_LUID
Win32_LUIDandAttributes
Win32_MappedLogicalDisk
Win32_MemoryArray
Win32_MemoryArrayLocation
Win32_MemoryDevice
Win32_MemoryDeviceArray
Win32_MemoryDeviceLocation
Win32_MethodParameterClass
Win32_ModuleLoadTrace
Win32_ModuleTrace
Win32_MotherboardDevice
Win32_NamedJobObject
Win32_NamedJobObjectActgInfo
Win32_NamedJobObjectLimit
Win32_NamedJobObjectLimitSetting
Win32_NamedJobObjectProcess
Win32_NamedJobObjectSecLimit
Win32_NamedJobObjectSecLimitSetting
Win32_NamedJobObjectStatistics
Win32_NetworkAdapter
Win32_NetworkAdapterConfiguration
Win32_NetworkAdapterSetting
Win32_NetworkClient
Win32_NetworkConnection
Win32_NetworkLoginProfile
Win32_NetworkProtocol
Win32_NTDomain
Win32_NTEventlogFile
Win32_NTLogEvent
Win32_NTLogEventComputer
Win32_NTLogEventLog
Win32_NTLogEventUser
Win32_OnBoardDevice
Win32_OperatingSystem
Win32_OperatingSystemAutochkSetting
Win32_OperatingSystemQFE
Win32_OSRecoveryConfiguration
Win32_PageFile
Win32_PageFileElementSetting
Win32_PageFileSetting
Win32_PageFileUsage
Win32_ParallelPort
Win32_PCMCIAController
Win32_Perf
Win32_PerfFormattedData
Win32_PerfRawData
Win32_PhysicalMedia
Win32_PhysicalMemory
Win32_PhysicalMemoryArray
Win32_PhysicalMemoryLocation
Win32_PingStatus
Win32_PNPAllocatedResource
Win32_PNPDevice
Win32_PNPEntity
Win32_PointingDevice
Win32_PortableBattery
Win32_PortConnector
Win32_PortResource
Win32_POTSModem
Win32_POTSModemToSerialPort
Win32_PowerManagementEvent
Win32_Printer
Win32_PrinterConfiguration
Win32_PrinterController
Win32_PrinterDriver
Win32_PrinterDriverDll
Win32_PrinterSetting
Win32_PrinterShare
Win32_PrintJob
Win32_PrivilegesStatus
Win32_Process
Win32_Processor
Win32_ProcessStartTrace
Win32_ProcessStartup
Win32_ProcessStopTrace
Win32_ProcessTrace
Win32_ProgramGroupContents
Win32_ProgramGroupOrItem
Win32_ProtocolBinding
Win32_Proxy
Win32_QuickFixEngineering
Win32_QuotaSetting
Win32_Refrigeration
Win32_Registry
Win32_ScheduledJob
Win32_SCSIController
Win32_SCSIControllerDevice
Win32_SecurityDescriptor
Win32_SecuritySetting
Win32_SecuritySettingAccess
Win32_SecuritySettingAuditing
Win32_SecuritySettingGroup
Win32_SecuritySettingOfLogicalFile
Win32_SecuritySettingOfLogicalShare
Win32_SecuritySettingOfObject
Win32_SecuritySettingOwner
Win32_SerialPort
Win32_SerialPortConfiguration
Win32_SerialPortSetting
Win32_ServerConnection
Win32_ServerSession
Win32_Service
Win32_SessionConnection
Win32_SessionProcess
Win32_ShadowBy
Win32_ShadowContext
Win32_ShadowCopy
Win32_ShadowDiffVolumeSupport
Win32_ShadowFor
Win32_ShadowOn
Win32_ShadowProvider
Win32_ShadowStorage
Win32_ShadowVolumeSupport
Win32_Share
Win32_ShareToDirectory
Win32_ShortcutFile
Win32_SID
Win32_SIDandAttributes
Win32_SMBIOSMemory
Win32_SoundDevice
Win32_StartupCommand
Win32_SubDirectory
Win32_SystemAccount
Win32_SystemBIOS
Win32_SystemBootConfiguration
Win32_SystemConfigurationChangeEvent
Win32_SystemDesktop
Win32_SystemDevices
Win32_SystemDriver
Win32_SystemDriverPNPEntity
Win32_SystemEnclosure
Win32_SystemLoadOrderGroups
Win32_SystemMemoryResource
Win32_SystemNetworkConnections
Win32_SystemOperatingSystem
Win32_SystemPartitions
Win32_SystemProcesses
Win32_SystemProgramGroups
Win32_SystemResources
Win32_SystemServices
Win32_SystemSetting
Win32_SystemSlot
Win32_SystemSystemDriver
Win32_SystemTimeZone
Win32_SystemTrace
Win32_SystemUsers
Win32_TapeDrive
Win32_TCPIPPrinterPort
Win32_TemperatureProbe
Win32_Thread
Win32_ThreadStartTrace
Win32_ThreadStopTrace
Win32_ThreadTrace
Win32_TimeZone
Win32_TokenGroups
Win32_TokenPrivileges
Win32_Trustee
Win32_USBController
Win32_USBControllerDevice
Win32_USBHub
Win32_UserAccount
Win32_UserDesktop
Win32_UserInDomain
Win32_UTCTime
Win32_VideoController
Win32_VideoSettings
Win32_VoltageProbe
Win32_Volume
Win32_Volume
Win32_VolumeChangeEvent
Win32_VolumeQuota
Win32_VolumeQuotaSetting
Win32_VolumeUserQuota
Win32_VolumeUserQuota
Win32_WindowsProductActivation
Win32_WMIElementSetting
Win32_WMISetting

100

101

102

103

104

105

106

107

108

109

110

111

112

113

114

115

116

117

118

119

120

121

122

123

124

125

126

127

128

129

130

131

132

133

134

135

136

137

138

139

140

141

142

143

144

145

146

147

148

149

150

151

152

153

154

155

156

157

158

159

160

161

162

163

164

165

166

167

168

169

170

171

172

173

174

175

176

177

178

179

180

181

182

183

184

185

186

187

188

189

190

191

192

193

194

195

196

197

198

199

200

201

202

203

204

205

206

207

208

209

210

211

212

213

214

215

216

217

218

219

220

221

222

223

224

225

226

227

228

229

230

231

232

233

234

235

236

237

238

239

240

241

242

243

244

245

246

247

248

249

250

251

252

253

254

255

256

257

258

259

260

261

262

263

264

265

266

267

268

269

270

271

272

273

274

275

276

277

278

279

280

Win32_1394Controller

Win32_1394ControllerDevice

Win32_Account

Win32_AccountSID

Win32_ACE

Win32_ActiveRoute

Win32_AllocatedResource

Win32_AssociatedProcessorMemory

Win32_AutochkSetting

Win32_BaseBoard

Win32_BaseService

Win32_Battery

Win32_BIOS

Win32_BootConfiguration

Win32_Bus

Win32_CacheMemory

Win32_CDROMDrive

Win32_CIMLogicalDeviceCIMDataFile

Win32_ClassicCOMApplicationClasses

Win32_ClassicCOMClass

Win32_ClassicCOMClassSettings

Win32_ClientApplicationSetting

Win32_CollectionStatistics

Win32_COMApplication

Win32_COMApplicationClasses

Win32_COMApplicationSettings

Win32_COMClass

Win32_ComClassAutoEmulator

Win32_ComClassEmulator

Win32_ComponentCategory

Win32_ComputerShutdownEvent

Win32_ComputerSystem

Win32_ComputerSystemEvent

Win32_ComputerSystemProcessor

Win32_ComputerSystemProduct

Win32_ComputerSystemWindowsProductActivationSetting

Win32_COMSetting

Win32_ConnectionShare

Win32_ControllerHasHub

Win32_CurrentProbe

Win32_CurrentTime

Win32_DCOMApplication

Win32_DCOMApplicationAccessAllowedSetting

Win32_DCOMApplicationLaunchAllowedSetting

Win32_DCOMApplicationSetting

Win32_DependentService

Win32_Desktop

Win32_DesktopMonitor

Win32_DeviceBus

Win32_DeviceChangeEvent

Win32_DeviceMemoryAddress

Win32_DeviceSettings

Win32_DFSNode

Win32_DFSNodeTarget

Win32_DFSTarget

Win32_Directory

Win32_DirectorySpecification

Win32_DiskDrive

Win32_DiskDriveToDiskPartition

Win32_DiskPartition

Win32_DiskQuota

Win32_DisplayControllerConfiguration

Win32_DMAChannel

Win32_DriverForDevice

Win32_Environment

Win32_Fan

Win32_FloppyController

Win32_FloppyDrive

Win32_Group

Win32_GroupInDomain

Win32_GroupUser

Win32_HeatPipe

Win32_IDEController

Win32_IDEControllerDevice

Win32_ImplementedCategory

Win32_InfraredDevice

Win32_IP4PersistedRouteTable

Win32_IP4RouteTable

Win32_IP4RouteTableEvent

Win32_IRQResource

Win32_Keyboard

Win32_LoadOrderGroup

Win32_LoadOrderGroupServiceDependencies

Win32_LoadOrderGroupServiceMembers

Win32_LocalTime

Win32_LogicalDisk

Win32_LogicalDiskRootDirectory

Win32_LogicalDiskToPartition

Win32_LogicalFileAccess

Win32_LogicalFileAuditing

Win32_LogicalFileGroup

Win32_LogicalFileOwner

Win32_LogicalFileSecuritySetting

Win32_LogicalProgramGroup

Win32_LogicalProgramGroupDirectory

Win32_LogicalProgramGroupItem

Win32_LogicalProgramGroupItemDataFile

Win32_LogicalShareAccess

Win32_LogicalShareAuditing

Win32_LogicalShareSecuritySetting

Win32_LogonSession

Win32_LogonSessionMappedDisk

Win32_LUID

Win32_LUIDandAttributes

Win32_MappedLogicalDisk

Win32_MemoryArray

Win32_MemoryArrayLocation

Win32_MemoryDevice

Win32_MemoryDeviceArray

Win32_MemoryDeviceLocation

Win32_MethodParameterClass

Win32_ModuleLoadTrace

Win32_ModuleTrace

Win32_MotherboardDevice

Win32_NamedJobObject

Win32_NamedJobObjectActgInfo

Win32_NamedJobObjectLimit

Win32_NamedJobObjectLimitSetting

Win32_NamedJobObjectProcess

Win32_NamedJobObjectSecLimit

Win32_NamedJobObjectSecLimitSetting

Win32_NamedJobObjectStatistics

Win32_NetworkAdapter

Win32_NetworkAdapterConfiguration

Win32_NetworkAdapterSetting

Win32_NetworkClient

Win32_NetworkConnection

Win32_NetworkLoginProfile

Win32_NetworkProtocol

Win32_NTDomain

Win32_NTEventlogFile

Win32_NTLogEvent

Win32_NTLogEventComputer

Win32_NTLogEventLog

Win32_NTLogEventUser

Win32_OnBoardDevice

Win32_OperatingSystem

Win32_OperatingSystemAutochkSetting

Win32_OperatingSystemQFE

Win32_OSRecoveryConfiguration

Win32_PageFile

Win32_PageFileElementSetting

Win32_PageFileSetting

Win32_PageFileUsage

Win32_ParallelPort

Win32_PCMCIAController

Win32_Perf

Win32_PerfFormattedData

Win32_PerfRawData

Win32_PhysicalMedia

Win32_PhysicalMemory

Win32_PhysicalMemoryArray

Win32_PhysicalMemoryLocation

Win32_PingStatus

Win32_PNPAllocatedResource

Win32_PNPDevice

Win32_PNPEntity

Win32_PointingDevice

Win32_PortableBattery

Win32_PortConnector

Win32_PortResource

Win32_POTSModem

Win32_POTSModemToSerialPort

Win32_PowerManagementEvent

Win32_Printer

Win32_PrinterConfiguration

Win32_PrinterController

Win32_PrinterDriver

Win32_PrinterDriverDll

Win32_PrinterSetting

Win32_PrinterShare

Win32_PrintJob

Win32_PrivilegesStatus

Win32_Process

Win32_Processor

Win32_ProcessStartTrace

Win32_ProcessStartup

Win32_ProcessStopTrace

Win32_ProcessTrace

Win32_ProgramGroupContents

Win32_ProgramGroupOrItem

Win32_ProtocolBinding

Win32_Proxy

Win32_QuickFixEngineering

Win32_QuotaSetting

Win32_Refrigeration

Win32_Registry

Win32_ScheduledJob

Win32_SCSIController

Win32_SCSIControllerDevice

Win32_SecurityDescriptor

Win32_SecuritySetting

Win32_SecuritySettingAccess

Win32_SecuritySettingAuditing

Win32_SecuritySettingGroup

Win32_SecuritySettingOfLogicalFile

Win32_SecuritySettingOfLogicalShare

Win32_SecuritySettingOfObject

Win32_SecuritySettingOwner

Win32_SerialPort

Win32_SerialPortConfiguration

Win32_SerialPortSetting

Win32_ServerConnection

Win32_ServerSession

Win32_Service

Win32_SessionConnection

Win32_SessionProcess

Win32_ShadowBy

Win32_ShadowContext

Win32_ShadowCopy

Win32_ShadowDiffVolumeSupport

Win32_ShadowFor

Win32_ShadowOn

Win32_ShadowProvider

Win32_ShadowStorage

Win32_ShadowVolumeSupport

Win32_Share

Win32_ShareToDirectory

Win32_ShortcutFile

Win32_SID

Win32_SIDandAttributes

Win32_SMBIOSMemory

Win32_SoundDevice

Win32_StartupCommand

Win32_SubDirectory

Win32_SystemAccount

Win32_SystemBIOS

Win32_SystemBootConfiguration

Win32_SystemConfigurationChangeEvent

Win32_SystemDesktop

Win32_SystemDevices

Win32_SystemDriver

Win32_SystemDriverPNPEntity

Win32_SystemEnclosure

Win32_SystemLoadOrderGroups

Win32_SystemMemoryResource

Win32_SystemNetworkConnections

Win32_SystemOperatingSystem

Win32_SystemPartitions

Win32_SystemProcesses

Win32_SystemProgramGroups

Win32_SystemResources

Win32_SystemServices

Win32_SystemSetting

Win32_SystemSlot

Win32_SystemSystemDriver

Win32_SystemTimeZone

Win32_SystemTrace

Win32_SystemUsers

Win32_TapeDrive

Win32_TCPIPPrinterPort

Win32_TemperatureProbe

Win32_Thread

Win32_ThreadStartTrace

Win32_ThreadStopTrace

Win32_ThreadTrace

Win32_TimeZone

Win32_TokenGroups

Win32_TokenPrivileges

Win32_Trustee

Win32_USBController

Win32_USBControllerDevice

Win32_USBHub

Win32_UserAccount

Win32_UserDesktop

Win32_UserInDomain

Win32_UTCTime

Win32_VideoController

Win32_VideoSettings

Win32_VoltageProbe

Win32_Volume

Win32_VolumeChangeEvent

Win32_VolumeQuota

Win32_VolumeQuotaSetting

Win32_VolumeUserQuota

Win32_WindowsProductActivation

Win32_WMIElementSetting

Win32_WMISetting

Windows services (detailed)

AJRouter: Enruta los mensajes AllJoyn de los clientes AllJoyn locales. Si este servicio se interrumpe, los clientes AllJoyn que no tengan sus propios enrutadores integrados no podrán ejecutarse.
ALG: Proporciona compatibilidad entre los complementos de protocolo de terceros y la Conexión compartida a Internet.
AppIDSvc: Determina y comprueba la identidad de una aplicación. Si se deshabilita este servicio, no se aplicará AppLocker.
Appinfo: Facilita la ejecución de aplicaciones interactivas con privilegios administrativos adicionales. Si este servicio se detiene, los usuarios no podrán iniciar las aplicaciones con los privilegios administrativos adicionales necesarios para realizar las tareas de usuario deseadas.
AppReadiness: Preparar las aplicaciones para que se usen por primera vez cuando un usuario inicie sesión en este equipo y al agregar nuevas aplicaciones.
AppXSvc: Proporciona compatibilidad con infraestructuras para la implementación de aplicaciones de la Tienda. Este servicio se inicia bajo petición y, si está deshabilitado, las aplicaciones de la Tienda no se implementarán en el sistema y podrían no funcionar correctamente.
AudioEndpointBuilder: Administra los dispositivos de audio para el servicio de Audio de Windows. Si este servicio se detiene, los dispositivos y efectos de audio no funcionarán correctamente. Si este servicio se deshabilita, no se podrá iniciar ningún servicio que dependa explícitamente de él.
Audiosrv: Administra el audio para programas basados en Windows. Si este servicio se detiene, los dispositivos y efectos de audio no funcionarán correctamente. Si este servicio se deshabilita, no se podrá iniciar ningún servicio que dependa explícitamente de él.
AxInstSV: Proporciona validación de Control de cuentas de usuario para la instalación de controles ActiveX desde Internet y habilita la administración de la instalación de controles ActiveX basada en la configuración de directiva de grupo. Este servicio se inicia a petición y, si se deshabilita, la instalación de controles ActiveX se realizará según la configuración predeterminada del explorador.
BDESVC: BDESVC hospeda el servicio Cifrado de unidad BitLocker. El Cifrado de unidad BitLocker proporciona un inicio seguro del sistema operativo, así como un cifrado de volumen completo para volúmenes extraíbles, fijos o del sistema operativo. Este servicio permite que BitLocker solicite a los usuarios diversas acciones relacionadas con sus volúmenes cuando se montan, y desbloquea los volúmenes automáticamente sin la intervención del usuario. Además, almacena la información de recuperación en Active Directory, si está disponible, y se asegura, si fuera necesario, de que se usen los certificados de recuperación más recientes. Si se detiene o se deshabilita este servicio, los usuarios no podrán sacar provecho de esta función.
BFE: El Motor de filtrado de base (BFE) es un servicio que administra las directivas de firewall y del protocolo de seguridad de Internet (IPsec) e implementa el filtrado de modo usuario. Si se detiene o deshabilita el servicio BFE, se reducirá de forma significativa la seguridad del sistema. También dará lugar a un comportamiento impredecible en las aplicaciones de administración de IPsec y firewall.
BITS: Transfiere archivos en segundo plano mediante el uso de ancho de banda de red inactivo. Si el servicio está deshabilitado, las aplicaciones que dependen de BITS, como Windows Update o MSN Explorer, no podrán descargar programas ni otra información de forma automática.
BrokerInfrastructure: Servicio de infraestructura de Windows que controla qué tareas en segundo plano se pueden ejecutar en el sistema.
Browser: Mantiene una lista actualizada de equipos en la red y proporciona esta lista a los equipos designados como exploradores. Si se detiene este servicio, esta lista no se actualizará o mantendrá. Si se deshabilita el servicio, no se podrá iniciar ninguno de los servicios que dependan explícitamente de él.
BthHFSrv: Permite que se ejecuten en este equipo auriculares Bluetooth inalámbricos. Si se detiene o deshabilita este servicio, los auriculares Bluetooth no funcionarán correctamente en este equipo.
bthserv: El servicio Bluetooth admite la detección y la asociación de dispositivos Bluetooth remotos. Si el servicio se detiene o deshabilita, puede que los dispositivos Bluetooth ya instalados dejen de funcionar correctamente y no se puedan detectar ni asociar dispositivos nuevos.
CDPSvc: Este servicio se usa en escenarios de dispositivos conectados y Universal Glass
CertPropSvc: Copia los certificados de usuario y certificados raíz de tarjetas inteligentes en el almacén de certificados del usuario actual, detecta la inserción de una tarjeta inteligente en un lector de tarjetas inteligentes y, si es necesario, instala el minicontrolador Plug and Play para tarjetas inteligentes.
ClipSVC: Proporciona compatibilidad con infraestructura para Microsoft Store. Este servicio se inicia a petición y, si se deshabilita, las aplicaciones compradas en la Tienda Windows no funcionarán correctamente.
COMSysApp: Administra la configuración y el seguimiento de los componentes del Modelo de objetos componentes (COM+). Si se detiene el servicio, la mayoría de los componentes COM+ no funcionarán correctamente. Si se deshabilita este servicio, no se podrá iniciar ningún servicio que dependa específicamente de él.
CoreMessagingRegistrar: Manages communication between system components.
cphs: Intel(R) Content Protection HECI Service - enables communication with the Content Protection FW
CryptSvc: Proporciona tres servicios de administración: Servicio de catálogo de base de datos, que confirma las firmas de archivos de Windows y permite la instalación de nuevos programas; Servicio de raíz protegida, que agrega y quita certificados de entidades de certificación raíz de confianza del equipo, y Servicio automático de actualización de certificados raíz, que recupera certificados raíz de Windows Update y habilita escenarios como SSL. Si se detiene este servicio, los servicios de administración mencionados no funcionarán correctamente. Si se deshabilita este servicio, no se podrán iniciar ninguno de los servicios que dependen explícitamente de él.
DcomLaunch: El servicio DCOMLAUNCH inicia los servidores COM y DCOM en respuesta a las solicitudes de activación de objetos. Si este servicio se detiene o se deshabilita, los programas que usen 
COM o DCOM no funcionarán correctamente. Por ello, es muy recomendable que ejecute el servicio DCOMLAUNCH.
DcpSvc: The DCP (Data Collection and Publishing) service supports first party apps to upload data to cloud.
defragsvc: Ayuda al equipo a ejecutarse de manera más eficaz mediante la optimización de archivos en las unidades de almacenamiento.
DeviceAssociationService: Permite el emparejamiento entre el sistema y dispositivos con cable e inalámbricos.
DeviceInstall: Habilita un equipo para que reconozca y adapte los cambios de hardware con el menor esfuerzo por parte del usuario. Si se detiene o deshabilita este servicio, el sistema se volverá inestable.
DevQueryBroker: Permite a las aplicaciones detectar dispositivos con una tarea en segundo plano
Dhcp: Registra y actualiza las direcciones IP y los registros DNS en este equipo. Si se detiene este servicio, el equipo no recibirá direcciones IP dinámicas ni actualizaciones de DNS. Si se deshabilita este servicio, no se podrá iniciar ningún servicio que dependa explícitamente de él.
diagnosticshub.standardcollector.service: Servicio Recopilador estándar del concentrador de diagnósticos. Cuando se ejecuta, este servicio recopila eventos ETW en tiempo real y los procesa.
DiagTrack: El servicio Telemetría y experiencias del usuario conectado proporciona características compatibles con las experiencias del usuario conectado y en aplicación. Además, este servicio administra la transmisión y colección basada en eventos de información de uso y diagnóstico (que se usa para mejorar la experiencia y la calidad de la plataforma Windows) cuando la configuración de opción de directiva de uso y diagnóstico está habilitada en Comentarios y diagnósticos.
DmEnrollmentSvc: Realiza actividades de inscripción de dispositivos para la administración de dispositivos
dmwappushservice: Servicio de enrutamiento de mensajes de inserción WAP
Dnscache: El servicio Cliente DNS (dnscache) almacena en caché los nombres de Sistema de nombres de dominio (DNS) y registra el nombre de equipo completo para este equipo. Si este servicio se detiene, los nombres DNS se seguirán resolviendo. Sin embargo, los resultados de las consultas de nombres DNS no se almacenarán en caché y el nombre del equipo no se registrará. Si este servicio se deshabilita, todos los servicios que dependen explícitamente de él no podrán iniciarse.
DoSvc: Realiza tareas de optimización de entrega de contenido
dot3svc: El Servicio de configuración automática de redes cableadas (DOT3SVC) se encarga de realizar la autenticación IEEE 802.1X en interfaces Ethernet. Si la implementación de la red cableada actual exige autenticación 802.1X, el servicio DOT3SVC debe configurarse de modo que se ejecute para establecer la conectividad de nivel 2 y/o proporcionar acceso a los recursos de red. Las redes cableadas que no exigen autenticación 802.1X no se verán afectadas por el servicio DOT3SVC.
DPS: El Servicio de directivas de diagnóstico permite detectar, solucionar y resolver problemas de componentes de Windows. Si se detiene este servicio, los diagnósticos dejarán de funcionar.
DsmSvc: Habilita la detección, la descarga y la instalación del software relacionado con el dispositivo. Si se deshabilita este servicio, los dispositivos podrían configurarse con un software desfasado y podrían no funcionar correctamente.
DsSvc: Proporciona servicios de administración de datos entre aplicaciones.
EapHost: El servicio Protocolo de autenticación extensible (EAP) proporciona autenticación de red en escenarios como 802.1x con cable e inalámbrica, VPN y Protección de acceso a redes (NAP). 
EAP también proporciona interfaces de programación de aplicaciones (API) usadas por clientes de acceso a redes, incluidos clientes inalámbricos y VPN, durante el proceso de autenticación. Si deshabilita este servicio, este equipo no podrá obtener acceso a redes que requieran autenticación EAP.
EFS: Proporciona la tecnología de cifrado de archivos básica usada para almacenar archivos cifrados en volúmenes del sistema de archivos NTFS. Si este servicio se detiene o se deshabilita, las aplicaciones no podrán tener acceso a los archivos cifrados.
embeddedmode: El servicio de modo incrustado habilita escenarios relacionados con las aplicaciones en segundo plano. Al deshabilitar este servicio se impedirá que se activen las aplicaciones en segundo plano.
EntAppSvc: Habilita la administración de aplicaciones de empresa.
esifsvc: ESIF Upper Framework Service
EventLog: Este servicio administra eventos y registros de eventos. Permite registrar eventos, consultar eventos, suscribirse a eventos, archivar registros de eventos y administrar metadatos de eventos. Puede mostrar los eventos en formato XML y de texto simple. Si se detiene este servicio, podría ponerse en peligro la seguridad y confiabilidad del sistema.
EventSystem: Admite el Servicio de notificación de eventos del sistema (SENS), que proporciona la distribución automática de eventos a los componentes del Modelo de objetos componentes (COM). Si se detiene este servicio, SENS se cerrará y no podrá ofrecer notificaciones de inicio ni de cierre de sesión. Si se deshabilita el servicio, no se podrá iniciar ningún servicio que dependa específicamente de él.
Fax: Le permite enviar y recibir faxes, con los recursos disponibles en este equipo o en la red.
fdPHost: El servicio FDPHOST hospeda proveedores de detección de redes FD (detección de funciones). Estos proveedores FD proporcionan servicios de detección de redes para el Protocolo de detección de servicios simple (SSDP) y el protocolo de detección de servicios web (WS-D). Si se detiene o deshabilita el servicio FDPHOST, se deshabilitará la detección de redes para estos protocolos cuando se use FD. Si este servicio no está disponible, los servicios de red que usen FD y estén basados en estos protocolos de detección no podrán encontrar dispositivos o recursos de red.
FDResPub: Publica este equipo y los recursos conectados a él para que puedan detectarse a través de la red. Si se detiene este servicio, los recursos de red dejarán de publicarse y no podrán detectarlos otros equipos de la red.
fhsvc: Protege los archivos de usuario frente a pérdidas accidentales copiándolos en una ubicación de copia de seguridad
FontCache: Optimiza el rendimiento de las aplicaciones copiando en la memoria caché los datos de fuente más usados. Las aplicaciones iniciarán este servicio si no se está ejecutando. Es posible deshabilitarlo, aunque si se hace, el rendimiento de las aplicaciones se reducirá.
FrameServer: Permite que varios clientes tengan acceso a los fotogramas de vídeo de las cámaras.
gpsvc: Este servicio es responsable de aplicar en el equipo y los usuarios la configuración establecida por los administradores, a través del componente Directiva de grupo. Si el servicio se deshabilita, la configuración no se aplicará y las aplicaciones y componentes no se podrán administrar a través de Directiva de grupo. Cualquier componente o aplicación que dependa del componente Directiva de grupo podría dejar de funcionar si el servicio se deshabilita.
gupdate: Mantiene actualizado el software de Google. Si este servicio se inhabilita o se detiene, el software de Google no se mantendrá actualizado, lo que significa que las vulnerabilidades de seguridad que puedan surgir no se podrán solucionar y es posible que el rendimiento del producto se vea afectado. Este servicio se desinstala por sí solo cuando no lo está utilizando ningún software de Google.
gupdatem: Mantiene actualizado el software de Google. Si este servicio se inhabilita o se detiene, el software de Google no se mantendrá actualizado, lo que significa que las vulnerabilidades de seguridad que puedan surgir no se podrán solucionar y es posible que el rendimiento del producto se vea afectado. Este servicio se desinstala por sí solo cuando no lo está utilizando ningún software de Google.
hidserv: Activa y mantiene el uso de botones de acceso directo predefinidos en los teclados, controles remotos y otros dispositivos multimedia. Se recomienda mantener este servicio en ejecución.
HomeGroupProvider: Realiza tareas de red asociadas con la configuración y el mantenimiento de los grupos en el hogar. Si se detiene o deshabilita este servicio, el equipo no podrá detectar otros grupos en el hogar y es posible que el grupo en el hogar no funcione correctamente. Se recomienda que no deje de ejecutar este servicio.
HvHost: Proporciona una interfaz para que el hipervisor Hyper-V proporcione contadores de rendimiento por partición al sistema operativo del host.
icssvc: Permite compartir una conexión de datos móviles con otro dispositivo.
igfxCUIService2.0.0.0: Service for Intel(R) HD Graphics Control Panel
IKEEXT: El servicio IKEEXT hospeda los módulos de creación de claves de Intercambio de claves por red (IKE) y protocolo de Internet autenticado (AuthIP). Estos módulos de creación de claves se usan para la autenticación y el intercambio de claves en el protocolo de seguridad de Internet (IPsec). Si se detiene o deshabilita el servicio IKEEXT, se deshabilitará el intercambio de claves IKE y AuthIP con equipos del mismo nivel. Normalmente, IPsec está configurado para usar IKE o AuthIP; es posible que detener o deshabilitar el servicio IKEEXT provoque errores de IPsec y ponga en peligro la seguridad del sistema. Se recomienda ejecutar el servicio IKEEXT.
iphlpsvc: Proporciona conectividad de túnel mediante tecnologías de transición IPv6 (6to4, ISATAP, Proxy de puerto y Teredo) e IP-HTTPS. Si se detiene este servicio, el equipo no contará con los beneficios de conectividad mejorada que ofrecen estas tecnologías.
irmon: Detecta otros dispositivos de infrarrojos dentro del alcance e inicia la aplicación de transferencia de archivos. Si detiene el servicio, la transferencia de archivos no funcionará.
KeyIso: El servicio Aislamiento de claves CNG se hospeda en el proceso LSA. Proporciona aislamiento de proceso de claves para las claves privadas y las operaciones criptográficas asociadas según lo requiere el Criterio común. El servicio almacena y usa claves de larga duración en un proceso seguro que cumple los requisitos del Criterio común.
KinectManagement: Provides management of Kinect devices through a COM server.  Downloads Audio firmware on device connect.
KinectMonitor: Manages the Kinect runtime and service
KtmRm: Coordina transacciones entre el coordinador de transacciones distribuidas (MSDTC) y el administrador de transacciones de kernel (KTM). Si no es necesario, es recomendable que este servicio permanezca detenido. Si es necesario, tanto MSDTC como KTM iniciarán el servicio automáticamente. Si se deshabilita este servicio, cualquier transacción de MSDTC que interactúe con un administrador de transacciones de kernel no se podrá realizar y cualquier servicio que dependa explícitamente de él no podrá iniciarse.
LanmanServer: Ofrece compatibilidad con uso compartido de archivos, impresoras y canalizaciones con nombres en la red para este equipo. Si se detiene el servicio, estas funciones no estarán disponibles. Si se deshabilita el servicio, no se podrá iniciar ninguno de los servicios que dependan explícitamente de él.
LanmanWorkstation: Crea y mantiene conexiones de red de cliente con servidores remotos con el protocolo SMB. Si se detiene este servicio, las conexiones dejarán de estar disponibles. Si se deshabilita, no podrá iniciarse ningún servicio que dependa explícitamente de él.
lfsvc: Este servicio supervisa la ubicación actual del sistema y administra geovallas (ubicación geográfica con eventos asociados). Si desactiva este servicio, las aplicaciones no podrán usar ni recibir notificaciones de geolocalización o geovallas.
LicenseManager: Proporciona compatibilidad con infraestructuras para la Tienda Windows. Este servicio se inicia bajo demanda y, si se deshabilita, el contenido adquirido a través de Tienda Windows no funcionará correctamente.
lltdsvc: Crea un mapa de red con información sobre la topología de dispositivos y de equipos (conectividad) y los metadatos que describen cada equipo y dispositivo.  Si se deshabilita este servicio, el mapa de red no funcionará correctamente
lmhosts: Proporciona compatibilidad para el servicio NetBIOS sobre TCP/IP (NetBT) y resolución de nombres NetBIOS para clientes de la red, lo que permite a los usuarios compartir archivos, imprimir e iniciar sesión en la red. Si se detiene este servicio, puede que estas funciones no estén disponibles. Si se deshabilita, los servicios que dependan implícitamente de él no se iniciarán.
MapsBroker: Servicio de Windows para el acceso de las aplicaciones a los mapas descargados. Este servicio se inicia a petición de la aplicación que accede a los mapas descargados. Si se deshabilita este servicio, las aplicaciones no podrán tener acceso a los mapas.
MpsSvc: Firewall de Windows ayuda a proteger su equipo al impedir que usuarios sin autorización obtengan acceso a su equipo a través de Internet o una red.
MSDTC: Coordina las transacciones que abarcan varios administradores de recursos, como bases de datos, colas de mensajes y sistemas de archivos. Si se detiene este servicio, estas transacciones no podrán realizarse. Si se deshabilita el servicio, no se podrá iniciar ningún servicio que dependa específicamente de él.
MSiSCSI: Administra las sesiones SCSI de Internet (iSCSI) desde este equipo hacia los dispositivos de destino iSCSI remotos. Si se detiene este servicio, el equipo no podrá iniciar sesión en los destinos iSCSI ni tener acceso a ellos. Si se deshabilita, todos los servicios que dependan explícitamente de él no se podrán iniciar.
msiserver: Agrega, modifica y quita aplicaciones proporcionadas como paquetes de Windows Installer (*.msi, *.msp, *.appx). Si se deshabilita este servicio, no se podrá iniciar ninguno de los servicios que dependan explícitamente de él.
NcaSvc: Proporciona notificación de estado de DirectAccess para componentes de UI
NcbService: Conexiones de agentes que permiten que las aplicaciones de la Tienda Windows reciban notificaciones de Internet.
NcdAutoSetup: El servicio Configuración automática de dispositivos conectados a la red supervisa e instala dispositivos calificados que se conectan a redes calificadas. Si se detiene o se deshabilita este servicio. Windows no podrá detectar e instalar automáticamente los dispositivos conectados a la red calificados. Los usuarios pueden agregar manualmente los dispositivos conectados a la red a un equipo mediante la interfaz de usuario.
Netlogon: Mantiene un canal seguro entre el equipo y el controlador de dominio para autenticar usuarios y servicios. Si se detiene este servicio, puede que el equipo no autentique usuarios y servicios y que el controlador de dominio no pueda registrar los registros DNS. Si se deshabilita este servicio, los servicios que depende de él explícitamente no se podrán iniciar.
Netman: Administra objetos en la carpeta Conexiones de red y acceso telefónico, donde se pueden ver conexiones de red de área local y remotas.
netprofm: Identifica las redes a las que se conectó el equipo, recopila y almacena las propiedades de estas redes y notifica a las aplicaciones cuando estas propiedades cambian.
NetTcpPortSharing: Ofrece la posibilidad de compartir puertos TCP a través del protocolo net.tcp.
NgcCtnrSvc: Administra claves de identidad de usuario locales para autenticar al usuario en proveedores de identidad, así como tarjetas inteligentes virtuales del TPM. Si se deshabilita este servicio, no se podrá acceder a las claves de identidad de usuario locales y las tarjetas inteligentes virtuales del TPM. Te recomendamos que no configures este servicio.
NgcSvc: Proporciona aislamiento de procesos de claves criptográficas usadas para autenticarse en los proveedores de identidades asociados de un usuario. Si se deshabilita este servicio, todos los usos y administración de estas claves dejarán de estar disponibles, lo cual incluye el inicio de sesión de máquina y el inicio de sesión único para aplicaciones y sitios web. Este servicio se inicia y detiene automáticamente. Es recomendable no reconfigurar el servicio.
NlaSvc: Recopila y almacena información de configuración de la red y notifica a los programas cuando esta información se modifica. Si se detiene este servicio, es posible que la información de configuración no esté disponible. Si se deshabilita este servicio, no se iniciará ningún servicio que dependa de él de forma explícita.
nsi: Este servicio entrega notificaciones de red (por ejemplo, interfaces agregadas/eliminadas, etc.) a los clientes en modo usuario. Si se detiene este servicio, se perderá la conectividad de la red. Si se deshabilita este servicio, no se iniciará ningún servicio que dependa de él de forma explícita.
p2pimsvc: Proporciona servicios de identidad para los servicios de Protocolo de resolución de nombres de mismo nivel (PNRP) y Agrupación de punto a punto. Si se deshabilita, es posible que los servicios de Protocolo de resolución de nombres de mismo nivel (PNRP) y Agrupación de punto a punto no funcionen y que algunas aplicaciones, como Grupo Hogar y Asistencia remota, no funcionen correctamente.
p2psvc: Permite la comunicación de varios participantes mediante Agrupación de punto a punto. Si se deshabilita, es posible que algunas aplicaciones, como Grupo Hogar, no funcionen.
PcaSvc: Este servicio proporciona soporte al Asistente para la compatibilidad de programas (PCA). PCA supervisa los programas que instala y ejecuta el usuario, y detecta problemas de compatibilidad conocidos. Si se detiene este servicio, PCA no funcionará correctamente.
PerfHost: Habilita a los usuarios remotos y los procesos de 64-bits consultar con los contadores de rendimiento proporcionados por las DLLs de 32-bits. Si este servicio se detuviera, solo los usuarios locales y los procesos de 32-bits podrán consultar con los contadores de rendimiento proporcionados por las DLLs de 32-bits.
PhoneSvc: Administra el estado de telefonía en el dispositivo
pla: Registros y alertas de rendimiento recopila información de rendimiento de equipos locales o remotos según parámetros programados configurados previamente y los escribe en un registro o activa una alerta. Si se detiene este servicio, no se recopilará información de rendimiento. Si se deshabilita, no se iniciarán los servicios que dependan de él explícitamente.
PlugPlay: Habilita un equipo para que reconozca y adapte los cambios de hardware con el menor esfuerzo por parte del usuario. Si se detiene o deshabilita este servicio, el sistema se volverá inestable.
PNRPAutoReg: Este servicio publica un nombre de equipo con el Protocolo de resolución de nombres de mismo nivel. La configuración se administra con el contexto netsh "p2p pnrp peer". 
PNRPsvc: Habilita la resolución de nombres del mismo nivel sin servidor a través de Internet mediante el Protocolo de resolución de nombres de mismo nivel (PNRP). Si se deshabilita, algunas aplicaciones de colaboración y de punto a punto, como Asistencia remota, pueden dejar de funcionar.
PolicyAgent: El protocolo de seguridad de Internet (IPSec) admite la autenticación del mismo nivel de la red, la autenticación de orígenes de datos, la integridad de datos, la confidencialidad de datos (cifrado) y la protección de reproducción. Este servicio aplica las directivas IPSec creadas a través del complemento Directivas de seguridad IP o la herramienta de la línea de comandos "netsh ipsec". Si detiene este servicio, es posible que experimente problemas de conectividad de red si la directiva requiere que las conexiones usen IPSec. Además, la administración remota del Firewall de Windows no está disponible cuando se detiene este servicio.
Power: Administra la directiva de energía y la entrega de notificaciones de dicha directiva.
PrintNotify: Este servicio abre cuadros de diálogo personalizados de la impresora y administra notificaciones desde un servidor de impresión o una impresora remotos. Si lo desactiva, no podrá ver las extensiones ni las notificaciones de impresora.
ProfSvc: Este servicio es responsable de cargar y descargar los perfiles de usuario. Si se detiene o se deshabilita, los usuarios no podrán iniciar ni cerrar la sesión, las aplicaciones pueden experimentar problemas para obtener los datos de los usuarios y no recibirán notificaciones de eventos de perfil los componentes registrados para recibirlas.
QWAVE: Experiencia de calidad de audio y vídeo de Windows (qWave) es una plataforma de red para aplicaciones de transmisión de audio y vídeo (AV) por secuencias en redes domésticas IP. qWave mejora el rendimiento y confiabilidad de la transmisión de AV por secuencias al garantizar la calidad de servicio (QoS) para aplicaciones de AV en la red. Proporciona mecanismos para control de admisión, supervisión y cumplimiento en tiempo de ejecución, recopilación de comentarios acerca de aplicaciones y establecimiento de la prioridad del tráfico.
RasAuto: Crea una conexión a una red remota siempre que un programa hace referencia a un nombre o dirección DNS o NetBIOS remoto.
RasMan: Administra conexiones de acceso telefónico y de red privada virtual (VPN) desde este equipo a Internet u otras redes remotas. Si se deshabilita este servicio, no se iniciará ningún otro servicio que dependa de forma explícita de él.
RemoteAccess: Ofrece servicios de enrutamiento a empresas en entornos de red de área local y extensa.
RemoteRegistry: Habilita usuarios remotos para que modifiquen la configuración del Registro en este equipo. Si se detiene este servicio, cualquier usuario en este equipo puede modificar el Registro. Si este servicio está deshabilitado, cualquier servicio que explícitamente dependa de él no podrá iniciarse.
RetailDemo: El servicio de prueba comercial controla la actividad del dispositivo mientras este esté en el modo de prueba comercial.
RmSvc: Servicio de administración de radio y modo avión
rpcapd: Allows to capture traffic on this machine from a remote machine.
RpcEptMapper: Resuelve identificadores de interfaces RPC en extremos de transporte. Si se detiene o deshabilita este servicio, los programas que usen servicios de llamada a procedimiento remoto (RPC) no funcionarán correctamente.
RpcLocator: En Windows 2003 y versiones anteriores de Windows, el servicio Ubicador de llamada a procedimiento remoto (RPC) administra la base de datos de servicio de nombres de RPC. En Windows Vista y versiones posteriores de Windows, este servicio no proporciona ninguna funcionalidad y solo está presente por motivos de compatibilidad con algunas aplicaciones.
RpcSs: El servicio RPCSS es el Administrador de control de servicios para servidores COM y DCOM. Realiza solicitudes de activación de objetos, resoluciones del exportador de objetos y recolección distribuida de elementos no usados para servidores COM y DCOM. Si este servicio se detiene o se deshabilita, los programas que usen COM o DCOM no funcionarán correctamente. Por ello, es muy recomendable que ejecute el servicio RPCSS.
SamSs: El inicio de este servicio indica a otros servicios que el Administrador de cuentas de seguridad (SAM) está listo para aceptar solicitudes. Si deshabilita este servicio, impedirá que se notifique a otros servicios del sistema cuándo está listo SAM, lo que a su vez puede provocar un error de inicio de dichos servicios. No debe deshabilitar este servicio.
SCardSvr: Administra el acceso a tarjetas inteligentes leídas por el equipo. Si este servicio se detiene, el equipo no podrá leer las tarjetas inteligentes. Si este servicio está deshabilitado, cualquier servicio que explícitamente dependa de él no podrá iniciarse.
ScDeviceEnum: Crea nodos de dispositivos de software para todos los lectores de tarjetas inteligentes accesibles a una sesión determinada. Si se deshabilita este servicio, las API de WinRT no podrán enumerar los lectores de tarjetas inteligentes.
Schedule: Permite a un usuario configurar y programar tareas automáticas en este equipo. El servicio también hospeda varias tareas críticas para el sistema Windows. Si se detiene o deshabilita este servicio, estas tareas no se ejecutarán en sus horas programadas. Si se deshabilita este servicio, no podrá iniciarse ningún servicio que dependa de él de forma explícita.
SCPolicySvc: Permite configurar el sistema para bloquear el escritorio del usuario al quitar la tarjeta inteligente.
SDRSVC: Ofrece funcionalidad de Copias de seguridad y restauración de Windows.
seclogon: Habilita procesos de inicio bajo credenciales alternadas. Si se detiene, este tipo de acceso de inicio de sesión no estará disponible. Si el servicio está deshabilitado, cualquiera de los servicios que dependan explícitamente de él, no se iniciaran.
SENS: Supervisa los eventos de sistema y notifica a los suscriptores del sistema de eventos COM+ de estos eventos.
SensorDataService: Entrega datos de varios sensores
SensorService: Servicio para sensores que administra diferentes funciones de sensor. Administra la orientación de dispositivo simple (SDO) y el historial de los sensores. Carga el sensor SDO que notifica cambios en la orientación del dispositivo. Si se detiene o deshabilita este servicio, el sensor SDO no se carga y no funciona la rotación automática. También se detiene la recopilación de historial de los sensores.
SensrSvc: Supervisa los diversos sensores para exponer los datos y adaptarse al sistema y el estado del usuario. Si se detiene o se deshabilita, el brillo de la pantalla no se adaptará a las condiciones de iluminación. Al detenerlo, probablemente también se vean afectadas otras características y funcionalidades.
SessionEnv: El servicio Configuración de Escritorio remoto (RDCS) se encarga de todas las actividades de mantenimiento de sesiones y configuración relacionadas con Servicios de Escritorio remoto y Escritorio remoto que requieran el contexto SYSTEM. Entre ellas, se incluyen las carpetas temporales por sesión, los temas de Escritorio remoto y los certificados de Escritorio remoto.
SharedAccess: Proporciona servicios de traducción de direcciones de red, direccionamiento, resolución de nombres y prevención de intrusiones para una red doméstica o de oficina pequeña.
ShellHWDetection: Proporciona notificaciones sobre eventos de hardware AutoPlay.
shpamsvc: Manages profiles and accounts on a SharedPC configured device
smphost: Servicio host para el proveedor de administración de Espacios de almacenamiento de Microsoft. Si se detiene o deshabilita este servicio, Espacios de almacenamiento no se puede administrar.
SmsRouter: Enruta mensajes en función de reglas para clientes concretos.
SNMPTRAP: Recibe mensajes de captura generados por agentes locales o remotos del Servicio de Protocolo simple de administración de redes (SNMP) y retransmite los mensajes a programas de administración de SNMP que se ejecutan en este equipo. Si se detiene este servicio, los programas basados en SNMP en este equipo no recibirán mensajes de captura SNMP. Si se deshabilita este servicio, cualquier servicio que dependa explícitamente de él tendrá un error al iniciar.
Spooler: Este servicio pone en cola los trabajos de impresión y administra la interacción con la impresora. Si lo desactiva, no podrá imprimir ni ver las impresoras.
sppsvc: Habilita la descarga, instalación y aplicación de licencias digitales para Windows y aplicaciones para Windows. Si el servicio está deshabilitado, es posible que el sistema operativo y las aplicaciones bajo licencia se ejecuten en modo de notificación. Es muy recomendable no deshabilitar el servicio de protección de software.
SSDPSRV: Detecta dispositivos y servicios en red que usan el protocolo de detección SSDP, como los dispositivos UPnP. También anuncia dispositivos y servicios SSDP que se ejecutan en el equipo local. Si se detiene este servicio, no se detectarán los dispositivos basados en SSDP. Si se deshabilita este servicio, no podrán iniciarse los servicios que dependan explícitamente del mismo.
SstpSvc: Ofrece compatibilidad con el protocolo de túnel de sockets seguros (SSTP) para conectarse con equipos remotos usando VPN. Si se deshabilita este servicio, los usuarios no podrán usar SSTP para tener acceso a servidores remotos.
StateRepository: Proporciona soporte a la infraestructura necesaria para el modelo de aplicación.
stisvc: Proporciona servicios de adquisición de imágenes para escáneres y cámaras.
StorSvc: Ofrece servicios de habilitación para la configuración de almacenamiento y la expansión del almacenamiento externo
svsvc: Comprueba posibles daños en el sistema de archivos.
swprv: Administra instantáneas de volumen basadas en software y tomadas por el Servicio de instantáneas de volumen. Si se detiene el servicio, no se podrán administrar las instantáneas de volumen basadas en software. Si se deshabilita el servicio, se producirá un error al iniciar cualquiera de los servicios que dependen explícitamente de él.
SysMain: Mantiene y mejora el rendimiento del sistema a lo largo del tiempo.
SystemEventsBroker: Coordina la ejecución de trabajo en segundo plano para la aplicación WinRT. Si se deshabilita o se detiene este servicio, el trabajo en segundo plano podría no activarse.
TabletInputService: Habilita la funcionalidad de lápiz y entrada de lápiz del Panel de escritura a mano y teclado táctil
TapiSrv: Ofrece compatibilidad con la API de telefonía (TAPI) para programas que controlan dispositivos de telefonía en el equipo local y, a través de la LAN, en servidores que también usan el servicio.
TermService: Permite a los usuarios conectarse de forma interactiva a un equipo remoto. Escritorio remoto y el servidor host de sesión de Escritorio remoto dependen de este servicio. Para impedir el uso remoto de este equipo, desactive las casillas de la pestaña Acceso remoto, en el elemento Propiedades del sistema del Panel de control.
Themes: Proporciona administración de temas de experiencia de usuario.
TieringEngineService: Optimiza la colocación de los datos en capas de almacenamiento en todos los espacios de almacenamiento en capas del sistema.
tiledatamodelsvc: Servidor de mosaico para actualizaciones de mosaicos.
TimeBrokerSvc: Coordina la ejecución de trabajo en segundo plano para la aplicación WinRT. Si se deshabilita o se detiene este servicio, el trabajo en segundo plano podría no activarse.
TrkWks: Mantiene los vínculos entre archivos NTFS dentro de un equipo o entre equipos de una red.
TrustedInstaller: Habilita la instalación, modificación y eliminación de actualizaciones y componentes opcionales de Windows. Si este servicio está deshabilitado, es posible que no se puedan instalar o desinstalar correctamente las actualizaciones de Windows en este equipo.
tzautoupdate: Establece la zona horaria del sistema automáticamente.
UI0Detect: Habilita la notificación al usuario sobre la entrada de usuario para los servicios interactivos; esto habilita el acceso a los cuadros de diálogo creados por los servicios interactivos cuando aparecen. Si se detiene este servicio, dejarán de funcionar las notificaciones de cuadros de diálogo de nuevos servicios interactivos y es posible que no se pueda obtener acceso a los cuadros de diálogo de servicios interactivos. Si se deshabilita este servicio, dejarán de funcionar las notificaciones y el acceso a los cuadros de diálogo de nuevos servicios interactivos.
UmRdpService: Permite la redirección de impresoras, unidades o puertos para conexiones RDP.
upnphost: Permite que los dispositivos UPnP se hospeden en el equipo. Si se detiene el servicio, todos los dispositivos UPnP hospedados dejarán de funcionar y no se podrá agregar ningún dispositivo hospedado adicional. Si se deshabilita este servicio, no podrán iniciarse los servicios que dependan explícitamente del mismo.
UserManager: El administrador de usuarios proporciona los componentes de tiempo de ejecución necesarios para la interacción con múltiples usuarios. Si se detiene este servicio, es posible que algunas aplicaciones no funcionen correctamente.
VaultSvc: Proporciona un almacenamiento seguro y la recuperación de credenciales para usuarios, aplicaciones y paquetes de servicios de seguridad.
vds: Proporciona servicios de administración para discos, volúmenes, sistemas de archivos y matrices de almacenamiento.
vmicguestinterface: Proporciona una interfaz para que el host de Hyper-V interactúe con servicios específicos que se ejecutan en la máquina virtual.
vmicheartbeat: Supervisa el estado de la máquina virtual mediante la notificación de un latido a intervalos regulares. Este servicio ayuda a identificar las máquinas virtuales en ejecución que dejaron de responder.
vmickvpexchange: Ofrece un mecanismo para intercambiar datos entre la máquina virtual y el sistema operativo que se ejecuta en el equipo físico.
vmicrdv: Proporciona una plataforma para la comunicación entre la máquina virtual y el sistema operativo que se ejecuta en el equipo físico.
vmicshutdown: Ofrece un mecanismo para apagar el sistema operativo de esta máquina virtual desde las interfaces de administración del equipo físico.
vmictimesync: Sincroniza la hora del sistema de esta máquina virtual con la hora del sistema del equipo físico.
vmicvmsession: Proporciona un mecanismo para administrar la máquina virtual con PowerShell a través de una sesión de máquina virtual sin una red virtual.
vmicvss: Coordina las comunicaciones que requieren el uso del Servicio de instantáneas de volumen para realizar copias de seguridad de las aplicaciones y los datos de esta máquina virtual desde el sistema operativo del equipo físico.
VSS: Administra e implementa Instantáneas de volumen usadas para copias de seguridad y otros propósitos. Si este servicio se detiene, las instantáneas se deshabilitarán para la copia de seguridad y ésta generará un error. Si este servicio está deshabilitado, se producirá un error al iniciar cualquier servicio que explícitamente dependa de él.
W32Time: Mantiene la sincronización de fecha y hora en todos los clientes y servidores de la red. Si se detiene este servicio, no estará disponible la sincronización de fecha y hora. Si se deshabilita este servicio, no se podrá iniciar ninguno de los servicios que dependen explícitamente de él.
WalletService: Almacena objetos usados por los clientes de la cartera
wbengine: Copias de seguridad de Windows usa el servicio WBENGINE para realizar operaciones de copia de seguridad y recuperación. Si el usuario detiene este servicio, es posible que se produzcan errores en la operación de copia de seguridad o de recuperación que se esté ejecutando. Si se deshabilita este servicio, es posible que se deshabiliten las operaciones de copia de seguridad y de recuperación que usan Copias de seguridad de Windows en este equipo.
WbioSrvc: El Servicio biométrico de Windows proporciona a las aplicaciones cliente la posibilidad de capturar, comparar, manipular y almacenar datos biométricos sin obtener acceso directo a ninguna muestra ni hardware biométricos. El servicio se hospeda en un proceso SVCHOST con privilegios.
Wcmsvc: Toma decisiones de conexión/desconexión automáticas en función de las opciones de conectividad de red disponibles actualmente para el equipo y permite administrar la conectividad de red basándose en la configuración de directivas de grupo.
wcncsvc: WCNCSVC hospeda la configuración de Windows Connect Now, que es la implementación de Microsoft del protocolo WPS (Wi-Fi Protected Setup). Se usa para configurar las opciones de LAN inalámbrica para un punto de acceso (AP) o un dispositivo Wi-Fi. El servicio se inicia mediante programación cuando es necesario.
WdiServiceHost: El Servicio de directivas de diagnóstico usa el Host del servicio de diagnóstico para hospedar los diagnósticos que deben ejecutarse en un contexto de Servicio local. Si se detiene este servicio, los diagnósticos que dependan de él dejarán de funcionar.
WdiSystemHost: El Servicio de directivas de diagnóstico usa el Host de sistema de diagnóstico para hospedar los diagnósticos que deben ejecutarse en un contexto de Sistema local. Si se detiene este servicio, los diagnósticos que dependan de él dejarán de funcionar.
WdNisSvc: Ayuda a proteger contra intentos de intrusión dirigidos a vulnerabilidades conocidas o recientemente descubiertas en protocolos de red
WebClient: Habilita los programas basados en Windows para que creen, tengan acceso y modifiquen archivos basados en Internet. Si este servicio se detiene, estas funciones no estarán disponibles. Si este servicio está deshabilitado, cualquier servicio que explícitamente dependa de él no podrá iniciarse.
Wecsvc: Este servicio administra suscripciones persistentes a eventos desde orígenes remotos que admiten el protocolo WS-Management. Esto incluye registros de eventos de Windows Vista, hardware y orígenes de eventos con la interfaz IPMI habilitada. El servicio almacena los eventos reenviados en un registro de eventos local. Si se detiene o deshabilita este servicio, no podrán crearse suscripciones de eventos y no podrán aceptarse los eventos reenviados.
WEPHOSTSVC: El servicio host de proveedor de cifrado de Windows sirve como intermediario para proporcionar funcionalidades de cifrado de proveedores de cifrado de terceros a los procesos que necesitan evaluar y aplicar directivas EAS. Si lo detiene, se verán afectadas las comprobaciones de cumplimiento de EAS que han establecido las cuentas de correo conectadas
wercplsupport: Este servicio proporciona ayuda para ver, enviar y borrar los informes de problemas del nivel de sistema para el panel de control de los Informes de problemas y soluciones.
WerSvc: Permite informar de errores cuando los programas dejan de funcionar o responder y proporcionar las soluciones existentes. También permite generar registros para servicios de diagnóstico y reparación. Si se detiene este servicio, es posible que los informes de errores no funcionen correctamente y que los resultados de los servicios de diagnóstico y las reparaciones no se muestren.
WiaRpc: Inicia aplicaciones asociadas con eventos de adquisición de imágenes estáticas.
WinDefend: Ayuda a proteger a los usuarios contra malware y otro software potencialmente no deseado
WinHttpAutoProxySvc: WinHTTP implementa la pila HTTP de cliente y proporciona a los programadores una API Win32 y un componente de automatización COM para enviar solicitudes HTTP y recibir respuestas. Además, WinHTTP ofrece compatibilidad con la detección automática de una configuración proxy mediante la implementación del protocolo de detección automática de proxy web (WPAD).
Winmgmt: Proporciona una interfaz común y un modelo de objeto para tener acceso a la información de administración acerca de un sistema operativo, dispositivos, aplicaciones y servicios. Si se detiene este servicio, la mayoría del software basado en Windows no funcionará correctamente. Si este servicio está deshabilitado, cualquier servicio que explícitamente dependa de él no podrá iniciarse.
WinRM: El servicio Administración remota de Windows (WinRM) implementa el protocolo WS-Management para la administración remota. WS-Management es un protocolo estándar de servicios web usado para la administración remota de software y hardware. El servicio WinRM escucha solicitudes de WS-Management y las procesa en la red. Para tal fin, debe configurarse con una escucha que use la herramienta de línea de comandos winrm.cmd o a través de la directiva de grupo. El servicio WinRM ofrece acceso a los datos WMI y, si está en ejecución, permite la recopilación y suscripción a eventos. Los mensajes WinRM usan HTTP y HTTPS como transporte. El servicio WinRM no depende de IIS pero está preconfigurado para compartir un puerto con IIS en el mismo equipo. El servicio WinRM reserva el prefijo de URL /wsman. Para evitar conflictos con IIS, los administradores deben asegurarse de que ningún sitio web hospedado en IIS use el prefijo de URL /wsman.
WlanSvc: El servicio WLANSVC proporciona la lógica necesaria para configurar, detectar, conectarse y desconectarse de una red de área local inalámbrica (WLAN), tal y como se define en los estándares IEEE 802.11. También incluye la lógica necesaria para convertir el equipo en un punto de acceso de software de modo que otros dispositivos puedan conectarse a él de forma inalámbrica mediante un adaptador de WLAN compatible. Detener o deshabilitar el servicio WLANSVC hará que todos los adaptadores de WLAN del equipo sean inaccesibles desde la interfaz de usuario de red de Windows. Se recomienda encarecidamente mantener el servicio WLANSVC en ejecución si el equipo dispone de un adaptador de WLAN.
wlidsvc: Permite al usuario iniciar sesión mediante los servicios de identidad de cuentas Microsoft. Si se detuvo este servicio, los usuarios no podrán iniciar sesión en el equipo con sus cuentas Microsoft.
wmiApSrv: Proporciona información sobre la biblioteca de rendimiento de proveedores del servicio Instrumental de administración de Windows (WMI) a clientes de la red. Este servicio solo se ejecuta si el Ayudante de datos de rendimiento está activado.
WMPNetworkSvc: Comparte las bibliotecas del Reproductor de Windows Media con otros dispositivos multimedia  y reproductores en red mediante Plug and Play universal.
workfolderssvc: Este servicio sincroniza archivos con el servidor de Carpetas de trabajo, lo que le permite usar los archivos en cualquiera de los equipos y dispositivos en los que configuró Carpetas de trabajo.
WPDBusEnum: Exige el cumplimiento de directivas de grupo para dispositivos extraíbles de almacenamiento. Habilita aplicaciones como Windows Media Player y Asistente para importación de imágenes para transferir y sincronizador contenido mediante el uso de dispositivos de almacenamiento.
WpnService: Este servicio se ejecuta en la sesión 0 y aloja el proveedor de conexión y la plataforma de notificaciones que administra la conexión entre el dispositivo y el servidor WNS.
wscsvc: El servicio WSCSVC (Centro de seguridad de Windows) supervisa e informa acerca de la configuración de mantenimiento de seguridad del equipo. La configuración de mantenimiento incluye la configuración de firewall (activado o desactivado), antivirus (activado, desactivado o sin actualizar), anti spyware (activado, desactivado o sin actualizar), Windows Update (descargar e instalar actualizaciones automáticamente o manualmente), Control de cuentas de usuario (activado o desactivado) e Internet (recomendada o no recomendada). El servicio proporciona unas API de COM para que los fabricantes de software independientes puedan registrar el estado de sus productos en el servicio Centro de seguridad. La interfaz de usuario de Seguridad y mantenimiento usa el servicio para proporcionar alertas de la bandeja del sistema y una vista gráfica de los estados de mantenimiento de seguridad en el panel de control de Seguridad y mantenimiento. Protección de acceso a redes (NAP) usa el servicio para informar sobre los estados de mantenimiento de seguridad de los clientes al Servidor de directivas de redes de NAP para tomar decisiones de cuarentena de red. El servicio también tiene una API pública que permite a los consumidores externos recuperar mediante programación el estado de mantenimiento de seguridad agregado del sistema.
WSearch: Proporciona indización de contenido, almacenamiento en caché de propiedades y resultados de búsqueda para archivos, correo electrónico y otro tipo de contenido.
wuauserv: Habilita la detección, descarga e instalación de actualizaciones de Windows y otros programas. Si se deshabilita este servicio, los usuarios de este equipo no podrán usar Windows Update ni su función de actualización automática y los programas no podrán usar la API del Agente de Windows Update (WUA).
wudfsvc: Crea y administra procesos de controlador en modo usuario. Este servicio no se puede detener.
WwanSvc: Este servicio administra conexiones y adaptadores de módulos incrustados/de tarjeta de datos (GSM y CDMA) de banda ancha móvil mediante la configuración automática de redes. Se recomienda encarecidamente mantener este servicio en ejecución para obtener una mejor experiencia de usuario de los dispositivos de banda ancha móvil.
XblAuthManager: Proporciona servicios de autenticación y autorización para interactuar con Xbox Live. Si se detiene este servicio puede que algunas aplicaciones no funcionen correctamente.
XblGameSave: Este servicio sincroniza los datos guardados para los juegos que pueden guardarse en Xbox Live. Si se detiene el servicio, la partida guardada no se cargará a, o descargará desde, Xbox Live.
XboxNetApiSvc: Este servicio presta soporte a la interfaz de programación de aplicaciones Windows.Networking.XboxLive.

100

101

102

103

104

105

106

107

108

109

110

111

112

113

114

115

116

117

118

119

120

121

122

123

124

125

126

127

128

129

130

131

132

133

134

135

136

137

138

139

140

141

142

143

144

145

146

147

148

149

150

151

152

153

154

155

156

157

158

159

160

161

162

163

164

165

166

167

168

169

170

171

172

173

174

175

176

177

178

179

180

181

182

183

184

185

186

187

188

189

190

191

192

193

194

195

196

197

198

199

200

201

202

203

204

AJRouter: Enruta los mensajes AllJoyn de los clientes AllJoyn locales. Si este servicio se interrumpe, los clientes AllJoyn que no tengan sus propios enrutadores integrados no podrán ejecutarse.

ALG: Proporciona compatibilidad entre los complementos de protocolo de terceros y la Conexión compartida a Internet.

AppIDSvc: Determina y comprueba la identidad de una aplicación. Si se deshabilita este servicio, no se aplicará AppLocker.

Appinfo: Facilita la ejecución de aplicaciones interactivas con privilegios administrativos adicionales. Si este servicio se detiene, los usuarios no podrán iniciar las aplicaciones con los privilegios administrativos adicionales necesarios para realizar las tareas de usuario deseadas.

AppReadiness: Preparar las aplicaciones para que se usen por primera vez cuando un usuario inicie sesión en este equipo y al agregar nuevas aplicaciones.

AppXSvc: Proporciona compatibilidad con infraestructuras para la implementación de aplicaciones de la Tienda. Este servicio se inicia bajo petición y, si está deshabilitado, las aplicaciones de la Tienda no se implementarán en el sistema y podrían no funcionar correctamente.

AudioEndpointBuilder: Administra los dispositivos de audio para el servicio de Audio de Windows. Si este servicio se detiene, los dispositivos y efectos de audio no funcionarán correctamente. Si este servicio se deshabilita, no se podrá iniciar ningún servicio que dependa explícitamente de él.

Audiosrv: Administra el audio para programas basados en Windows. Si este servicio se detiene, los dispositivos y efectos de audio no funcionarán correctamente. Si este servicio se deshabilita, no se podrá iniciar ningún servicio que dependa explícitamente de él.

AxInstSV: Proporciona validación de Control de cuentas de usuario para la instalación de controles ActiveX desde Internet y habilita la administración de la instalación de controles ActiveX basada en la configuración de directiva de grupo. Este servicio se inicia a petición y, si se deshabilita, la instalación de controles ActiveX se realizará según la configuración predeterminada del explorador.

BDESVC: BDESVC hospeda el servicio Cifrado de unidad BitLocker. El Cifrado de unidad BitLocker proporciona un inicio seguro del sistema operativo, así como un cifrado de volumen completo para volúmenes extraíbles, fijos o del sistema operativo. Este servicio permite que BitLocker solicite a los usuarios diversas acciones relacionadas con sus volúmenes cuando se montan, y desbloquea los volúmenes automáticamente sin la intervención del usuario. Además, almacena la información de recuperación en Active Directory, si está disponible, y se asegura, si fuera necesario, de que se usen los certificados de recuperación más recientes. Si se detiene o se deshabilita este servicio, los usuarios no podrán sacar provecho de esta función.

BFE: El Motor de filtrado de base (BFE) es un servicio que administra las directivas de firewall y del protocolo de seguridad de Internet (IPsec) e implementa el filtrado de modo usuario. Si se detiene o deshabilita el servicio BFE, se reducirá de forma significativa la seguridad del sistema. También dará lugar a un comportamiento impredecible en las aplicaciones de administración de IPsec y firewall.

BITS: Transfiere archivos en segundo plano mediante el uso de ancho de banda de red inactivo. Si el servicio está deshabilitado, las aplicaciones que dependen de BITS, como Windows Update o MSN Explorer, no podrán descargar programas ni otra información de forma automática.

BrokerInfrastructure: Servicio de infraestructura de Windows que controla qué tareas en segundo plano se pueden ejecutar en el sistema.

Browser: Mantiene una lista actualizada de equipos en la red y proporciona esta lista a los equipos designados como exploradores. Si se detiene este servicio, esta lista no se actualizará o mantendrá. Si se deshabilita el servicio, no se podrá iniciar ninguno de los servicios que dependan explícitamente de él.

BthHFSrv: Permite que se ejecuten en este equipo auriculares Bluetooth inalámbricos. Si se detiene o deshabilita este servicio, los auriculares Bluetooth no funcionarán correctamente en este equipo.

bthserv: El servicio Bluetooth admite la detección y la asociación de dispositivos Bluetooth remotos. Si el servicio se detiene o deshabilita, puede que los dispositivos Bluetooth ya instalados dejen de funcionar correctamente y no se puedan detectar ni asociar dispositivos nuevos.

CDPSvc: Este servicio se usa en escenarios de dispositivos conectados y Universal Glass

CertPropSvc: Copia los certificados de usuario y certificados raíz de tarjetas inteligentes en el almacén de certificados del usuario actual, detecta la inserción de una tarjeta inteligente en un lector de tarjetas inteligentes y, si es necesario, instala el minicontrolador Plug and Play para tarjetas inteligentes.

ClipSVC: Proporciona compatibilidad con infraestructura para Microsoft Store. Este servicio se inicia a petición y, si se deshabilita, las aplicaciones compradas en la Tienda Windows no funcionarán correctamente.

COMSysApp: Administra la configuración y el seguimiento de los componentes del Modelo de objetos componentes (COM+). Si se detiene el servicio, la mayoría de los componentes COM+ no funcionarán correctamente. Si se deshabilita este servicio, no se podrá iniciar ningún servicio que dependa específicamente de él.

CoreMessagingRegistrar: Manages communication between system components.

cphs: Intel(R) Content Protection HECI Service - enables communication with the Content Protection FW

CryptSvc: Proporciona tres servicios de administración: Servicio de catálogo de base de datos, que confirma las firmas de archivos de Windows y permite la instalación de nuevos programas; Servicio de raíz protegida, que agrega y quita certificados de entidades de certificación raíz de confianza del equipo, y Servicio automático de actualización de certificados raíz, que recupera certificados raíz de Windows Update y habilita escenarios como SSL. Si se detiene este servicio, los servicios de administración mencionados no funcionarán correctamente. Si se deshabilita este servicio, no se podrán iniciar ninguno de los servicios que dependen explícitamente de él.

DcomLaunch: El servicio DCOMLAUNCH inicia los servidores COM y DCOM en respuesta a las solicitudes de activación de objetos. Si este servicio se detiene o se deshabilita, los programas que usen

COM o DCOM no funcionarán correctamente. Por ello, es muy recomendable que ejecute el servicio DCOMLAUNCH.

DcpSvc: The DCP (Data Collection and Publishing) service supports first party apps to upload data to cloud.

defragsvc: Ayuda al equipo a ejecutarse de manera más eficaz mediante la optimización de archivos en las unidades de almacenamiento.

DeviceAssociationService: Permite el emparejamiento entre el sistema y dispositivos con cable e inalámbricos.

DeviceInstall: Habilita un equipo para que reconozca y adapte los cambios de hardware con el menor esfuerzo por parte del usuario. Si se detiene o deshabilita este servicio, el sistema se volverá inestable.

DevQueryBroker: Permite a las aplicaciones detectar dispositivos con una tarea en segundo plano

Dhcp: Registra y actualiza las direcciones IP y los registros DNS en este equipo. Si se detiene este servicio, el equipo no recibirá direcciones IP dinámicas ni actualizaciones de DNS. Si se deshabilita este servicio, no se podrá iniciar ningún servicio que dependa explícitamente de él.

diagnosticshub.standardcollector.service: Servicio Recopilador estándar del concentrador de diagnósticos. Cuando se ejecuta, este servicio recopila eventos ETW en tiempo real y los procesa.

DiagTrack: El servicio Telemetría y experiencias del usuario conectado proporciona características compatibles con las experiencias del usuario conectado y en aplicación. Además, este servicio administra la transmisión y colección basada en eventos de información de uso y diagnóstico (que se usa para mejorar la experiencia y la calidad de la plataforma Windows) cuando la configuración de opción de directiva de uso y diagnóstico está habilitada en Comentarios y diagnósticos.

DmEnrollmentSvc: Realiza actividades de inscripción de dispositivos para la administración de dispositivos

dmwappushservice: Servicio de enrutamiento de mensajes de inserción WAP

Dnscache: El servicio Cliente DNS (dnscache) almacena en caché los nombres de Sistema de nombres de dominio (DNS) y registra el nombre de equipo completo para este equipo. Si este servicio se detiene, los nombres DNS se seguirán resolviendo. Sin embargo, los resultados de las consultas de nombres DNS no se almacenarán en caché y el nombre del equipo no se registrará. Si este servicio se deshabilita, todos los servicios que dependen explícitamente de él no podrán iniciarse.

DoSvc: Realiza tareas de optimización de entrega de contenido

dot3svc: El Servicio de configuración automática de redes cableadas (DOT3SVC) se encarga de realizar la autenticación IEEE 802.1X en interfaces Ethernet. Si la implementación de la red cableada actual exige autenticación 802.1X, el servicio DOT3SVC debe configurarse de modo que se ejecute para establecer la conectividad de nivel 2 y/o proporcionar acceso a los recursos de red. Las redes cableadas que no exigen autenticación 802.1X no se verán afectadas por el servicio DOT3SVC.

DPS: El Servicio de directivas de diagnóstico permite detectar, solucionar y resolver problemas de componentes de Windows. Si se detiene este servicio, los diagnósticos dejarán de funcionar.

DsmSvc: Habilita la detección, la descarga y la instalación del software relacionado con el dispositivo. Si se deshabilita este servicio, los dispositivos podrían configurarse con un software desfasado y podrían no funcionar correctamente.

DsSvc: Proporciona servicios de administración de datos entre aplicaciones.

EapHost: El servicio Protocolo de autenticación extensible (EAP) proporciona autenticación de red en escenarios como 802.1x con cable e inalámbrica, VPN y Protección de acceso a redes (NAP).

EAP también proporciona interfaces de programación de aplicaciones (API) usadas por clientes de acceso a redes, incluidos clientes inalámbricos y VPN, durante el proceso de autenticación. Si deshabilita este servicio, este equipo no podrá obtener acceso a redes que requieran autenticación EAP.

EFS: Proporciona la tecnología de cifrado de archivos básica usada para almacenar archivos cifrados en volúmenes del sistema de archivos NTFS. Si este servicio se detiene o se deshabilita, las aplicaciones no podrán tener acceso a los archivos cifrados.

embeddedmode: El servicio de modo incrustado habilita escenarios relacionados con las aplicaciones en segundo plano. Al deshabilitar este servicio se impedirá que se activen las aplicaciones en segundo plano.

EntAppSvc: Habilita la administración de aplicaciones de empresa.

esifsvc: ESIF Upper Framework Service

EventLog: Este servicio administra eventos y registros de eventos. Permite registrar eventos, consultar eventos, suscribirse a eventos, archivar registros de eventos y administrar metadatos de eventos. Puede mostrar los eventos en formato XML y de texto simple. Si se detiene este servicio, podría ponerse en peligro la seguridad y confiabilidad del sistema.

EventSystem: Admite el Servicio de notificación de eventos del sistema (SENS), que proporciona la distribución automática de eventos a los componentes del Modelo de objetos componentes (COM). Si se detiene este servicio, SENS se cerrará y no podrá ofrecer notificaciones de inicio ni de cierre de sesión. Si se deshabilita el servicio, no se podrá iniciar ningún servicio que dependa específicamente de él.

Fax: Le permite enviar y recibir faxes, con los recursos disponibles en este equipo o en la red.

fdPHost: El servicio FDPHOST hospeda proveedores de detección de redes FD (detección de funciones). Estos proveedores FD proporcionan servicios de detección de redes para el Protocolo de detección de servicios simple (SSDP) y el protocolo de detección de servicios web (WS-D). Si se detiene o deshabilita el servicio FDPHOST, se deshabilitará la detección de redes para estos protocolos cuando se use FD. Si este servicio no está disponible, los servicios de red que usen FD y estén basados en estos protocolos de detección no podrán encontrar dispositivos o recursos de red.

FDResPub: Publica este equipo y los recursos conectados a él para que puedan detectarse a través de la red. Si se detiene este servicio, los recursos de red dejarán de publicarse y no podrán detectarlos otros equipos de la red.

fhsvc: Protege los archivos de usuario frente a pérdidas accidentales copiándolos en una ubicación de copia de seguridad

FontCache: Optimiza el rendimiento de las aplicaciones copiando en la memoria caché los datos de fuente más usados. Las aplicaciones iniciarán este servicio si no se está ejecutando. Es posible deshabilitarlo, aunque si se hace, el rendimiento de las aplicaciones se reducirá.

FrameServer: Permite que varios clientes tengan acceso a los fotogramas de vídeo de las cámaras.

gpsvc: Este servicio es responsable de aplicar en el equipo y los usuarios la configuración establecida por los administradores, a través del componente Directiva de grupo. Si el servicio se deshabilita, la configuración no se aplicará y las aplicaciones y componentes no se podrán administrar a través de Directiva de grupo. Cualquier componente o aplicación que dependa del componente Directiva de grupo podría dejar de funcionar si el servicio se deshabilita.

gupdate: Mantiene actualizado el software de Google. Si este servicio se inhabilita o se detiene, el software de Google no se mantendrá actualizado, lo que significa que las vulnerabilidades de seguridad que puedan surgir no se podrán solucionar y es posible que el rendimiento del producto se vea afectado. Este servicio se desinstala por sí solo cuando no lo está utilizando ningún software de Google.

gupdatem: Mantiene actualizado el software de Google. Si este servicio se inhabilita o se detiene, el software de Google no se mantendrá actualizado, lo que significa que las vulnerabilidades de seguridad que puedan surgir no se podrán solucionar y es posible que el rendimiento del producto se vea afectado. Este servicio se desinstala por sí solo cuando no lo está utilizando ningún software de Google.

hidserv: Activa y mantiene el uso de botones de acceso directo predefinidos en los teclados, controles remotos y otros dispositivos multimedia. Se recomienda mantener este servicio en ejecución.

HomeGroupProvider: Realiza tareas de red asociadas con la configuración y el mantenimiento de los grupos en el hogar. Si se detiene o deshabilita este servicio, el equipo no podrá detectar otros grupos en el hogar y es posible que el grupo en el hogar no funcione correctamente. Se recomienda que no deje de ejecutar este servicio.

HvHost: Proporciona una interfaz para que el hipervisor Hyper-V proporcione contadores de rendimiento por partición al sistema operativo del host.

icssvc: Permite compartir una conexión de datos móviles con otro dispositivo.

igfxCUIService2.0.0.0: Service for Intel(R) HD Graphics Control Panel

IKEEXT: El servicio IKEEXT hospeda los módulos de creación de claves de Intercambio de claves por red (IKE) y protocolo de Internet autenticado (AuthIP). Estos módulos de creación de claves se usan para la autenticación y el intercambio de claves en el protocolo de seguridad de Internet (IPsec). Si se detiene o deshabilita el servicio IKEEXT, se deshabilitará el intercambio de claves IKE y AuthIP con equipos del mismo nivel. Normalmente, IPsec está configurado para usar IKE o AuthIP; es posible que detener o deshabilitar el servicio IKEEXT provoque errores de IPsec y ponga en peligro la seguridad del sistema. Se recomienda ejecutar el servicio IKEEXT.

iphlpsvc: Proporciona conectividad de túnel mediante tecnologías de transición IPv6 (6to4, ISATAP, Proxy de puerto y Teredo) e IP-HTTPS. Si se detiene este servicio, el equipo no contará con los beneficios de conectividad mejorada que ofrecen estas tecnologías.

irmon: Detecta otros dispositivos de infrarrojos dentro del alcance e inicia la aplicación de transferencia de archivos. Si detiene el servicio, la transferencia de archivos no funcionará.

KeyIso: El servicio Aislamiento de claves CNG se hospeda en el proceso LSA. Proporciona aislamiento de proceso de claves para las claves privadas y las operaciones criptográficas asociadas según lo requiere el Criterio común. El servicio almacena y usa claves de larga duración en un proceso seguro que cumple los requisitos del Criterio común.

KinectManagement: Provides management of Kinect devices through a COM server. Downloads Audio firmware on device connect.

KinectMonitor: Manages the Kinect runtime and service

KtmRm: Coordina transacciones entre el coordinador de transacciones distribuidas (MSDTC) y el administrador de transacciones de kernel (KTM). Si no es necesario, es recomendable que este servicio permanezca detenido. Si es necesario, tanto MSDTC como KTM iniciarán el servicio automáticamente. Si se deshabilita este servicio, cualquier transacción de MSDTC que interactúe con un administrador de transacciones de kernel no se podrá realizar y cualquier servicio que dependa explícitamente de él no podrá iniciarse.

LanmanServer: Ofrece compatibilidad con uso compartido de archivos, impresoras y canalizaciones con nombres en la red para este equipo. Si se detiene el servicio, estas funciones no estarán disponibles. Si se deshabilita el servicio, no se podrá iniciar ninguno de los servicios que dependan explícitamente de él.

LanmanWorkstation: Crea y mantiene conexiones de red de cliente con servidores remotos con el protocolo SMB. Si se detiene este servicio, las conexiones dejarán de estar disponibles. Si se deshabilita, no podrá iniciarse ningún servicio que dependa explícitamente de él.

lfsvc: Este servicio supervisa la ubicación actual del sistema y administra geovallas (ubicación geográfica con eventos asociados). Si desactiva este servicio, las aplicaciones no podrán usar ni recibir notificaciones de geolocalización o geovallas.

LicenseManager: Proporciona compatibilidad con infraestructuras para la Tienda Windows. Este servicio se inicia bajo demanda y, si se deshabilita, el contenido adquirido a través de Tienda Windows no funcionará correctamente.

lltdsvc: Crea un mapa de red con información sobre la topología de dispositivos y de equipos (conectividad) y los metadatos que describen cada equipo y dispositivo. Si se deshabilita este servicio, el mapa de red no funcionará correctamente

lmhosts: Proporciona compatibilidad para el servicio NetBIOS sobre TCP/IP (NetBT) y resolución de nombres NetBIOS para clientes de la red, lo que permite a los usuarios compartir archivos, imprimir e iniciar sesión en la red. Si se detiene este servicio, puede que estas funciones no estén disponibles. Si se deshabilita, los servicios que dependan implícitamente de él no se iniciarán.

MapsBroker: Servicio de Windows para el acceso de las aplicaciones a los mapas descargados. Este servicio se inicia a petición de la aplicación que accede a los mapas descargados. Si se deshabilita este servicio, las aplicaciones no podrán tener acceso a los mapas.

MpsSvc: Firewall de Windows ayuda a proteger su equipo al impedir que usuarios sin autorización obtengan acceso a su equipo a través de Internet o una red.

MSDTC: Coordina las transacciones que abarcan varios administradores de recursos, como bases de datos, colas de mensajes y sistemas de archivos. Si se detiene este servicio, estas transacciones no podrán realizarse. Si se deshabilita el servicio, no se podrá iniciar ningún servicio que dependa específicamente de él.

MSiSCSI: Administra las sesiones SCSI de Internet (iSCSI) desde este equipo hacia los dispositivos de destino iSCSI remotos. Si se detiene este servicio, el equipo no podrá iniciar sesión en los destinos iSCSI ni tener acceso a ellos. Si se deshabilita, todos los servicios que dependan explícitamente de él no se podrán iniciar.

msiserver: Agrega, modifica y quita aplicaciones proporcionadas como paquetes de Windows Installer (*.msi, *.msp, *.appx). Si se deshabilita este servicio, no se podrá iniciar ninguno de los servicios que dependan explícitamente de él.

NcaSvc: Proporciona notificación de estado de DirectAccess para componentes de UI

NcbService: Conexiones de agentes que permiten que las aplicaciones de la Tienda Windows reciban notificaciones de Internet.

NcdAutoSetup: El servicio Configuración automática de dispositivos conectados a la red supervisa e instala dispositivos calificados que se conectan a redes calificadas. Si se detiene o se deshabilita este servicio. Windows no podrá detectar e instalar automáticamente los dispositivos conectados a la red calificados. Los usuarios pueden agregar manualmente los dispositivos conectados a la red a un equipo mediante la interfaz de usuario.

Netlogon: Mantiene un canal seguro entre el equipo y el controlador de dominio para autenticar usuarios y servicios. Si se detiene este servicio, puede que el equipo no autentique usuarios y servicios y que el controlador de dominio no pueda registrar los registros DNS. Si se deshabilita este servicio, los servicios que depende de él explícitamente no se podrán iniciar.

Netman: Administra objetos en la carpeta Conexiones de red y acceso telefónico, donde se pueden ver conexiones de red de área local y remotas.

netprofm: Identifica las redes a las que se conectó el equipo, recopila y almacena las propiedades de estas redes y notifica a las aplicaciones cuando estas propiedades cambian.

NetTcpPortSharing: Ofrece la posibilidad de compartir puertos TCP a través del protocolo net.tcp.

NgcCtnrSvc: Administra claves de identidad de usuario locales para autenticar al usuario en proveedores de identidad, así como tarjetas inteligentes virtuales del TPM. Si se deshabilita este servicio, no se podrá acceder a las claves de identidad de usuario locales y las tarjetas inteligentes virtuales del TPM. Te recomendamos que no configures este servicio.

NgcSvc: Proporciona aislamiento de procesos de claves criptográficas usadas para autenticarse en los proveedores de identidades asociados de un usuario. Si se deshabilita este servicio, todos los usos y administración de estas claves dejarán de estar disponibles, lo cual incluye el inicio de sesión de máquina y el inicio de sesión único para aplicaciones y sitios web. Este servicio se inicia y detiene automáticamente. Es recomendable no reconfigurar el servicio.

NlaSvc: Recopila y almacena información de configuración de la red y notifica a los programas cuando esta información se modifica. Si se detiene este servicio, es posible que la información de configuración no esté disponible. Si se deshabilita este servicio, no se iniciará ningún servicio que dependa de él de forma explícita.

nsi: Este servicio entrega notificaciones de red (por ejemplo, interfaces agregadas/eliminadas, etc.) a los clientes en modo usuario. Si se detiene este servicio, se perderá la conectividad de la red. Si se deshabilita este servicio, no se iniciará ningún servicio que dependa de él de forma explícita.

p2pimsvc: Proporciona servicios de identidad para los servicios de Protocolo de resolución de nombres de mismo nivel (PNRP) y Agrupación de punto a punto. Si se deshabilita, es posible que los servicios de Protocolo de resolución de nombres de mismo nivel (PNRP) y Agrupación de punto a punto no funcionen y que algunas aplicaciones, como Grupo Hogar y Asistencia remota, no funcionen correctamente.

p2psvc: Permite la comunicación de varios participantes mediante Agrupación de punto a punto. Si se deshabilita, es posible que algunas aplicaciones, como Grupo Hogar, no funcionen.

PcaSvc: Este servicio proporciona soporte al Asistente para la compatibilidad de programas (PCA). PCA supervisa los programas que instala y ejecuta el usuario, y detecta problemas de compatibilidad conocidos. Si se detiene este servicio, PCA no funcionará correctamente.

PerfHost: Habilita a los usuarios remotos y los procesos de 64-bits consultar con los contadores de rendimiento proporcionados por las DLLs de 32-bits. Si este servicio se detuviera, solo los usuarios locales y los procesos de 32-bits podrán consultar con los contadores de rendimiento proporcionados por las DLLs de 32-bits.

PhoneSvc: Administra el estado de telefonía en el dispositivo

pla: Registros y alertas de rendimiento recopila información de rendimiento de equipos locales o remotos según parámetros programados configurados previamente y los escribe en un registro o activa una alerta. Si se detiene este servicio, no se recopilará información de rendimiento. Si se deshabilita, no se iniciarán los servicios que dependan de él explícitamente.

PlugPlay: Habilita un equipo para que reconozca y adapte los cambios de hardware con el menor esfuerzo por parte del usuario. Si se detiene o deshabilita este servicio, el sistema se volverá inestable.

PNRPAutoReg: Este servicio publica un nombre de equipo con el Protocolo de resolución de nombres de mismo nivel. La configuración se administra con el contexto netsh "p2p pnrp peer".

PNRPsvc: Habilita la resolución de nombres del mismo nivel sin servidor a través de Internet mediante el Protocolo de resolución de nombres de mismo nivel (PNRP). Si se deshabilita, algunas aplicaciones de colaboración y de punto a punto, como Asistencia remota, pueden dejar de funcionar.

PolicyAgent: El protocolo de seguridad de Internet (IPSec) admite la autenticación del mismo nivel de la red, la autenticación de orígenes de datos, la integridad de datos, la confidencialidad de datos (cifrado) y la protección de reproducción. Este servicio aplica las directivas IPSec creadas a través del complemento Directivas de seguridad IP o la herramienta de la línea de comandos "netsh ipsec". Si detiene este servicio, es posible que experimente problemas de conectividad de red si la directiva requiere que las conexiones usen IPSec. Además, la administración remota del Firewall de Windows no está disponible cuando se detiene este servicio.

Power: Administra la directiva de energía y la entrega de notificaciones de dicha directiva.

PrintNotify: Este servicio abre cuadros de diálogo personalizados de la impresora y administra notificaciones desde un servidor de impresión o una impresora remotos. Si lo desactiva, no podrá ver las extensiones ni las notificaciones de impresora.

ProfSvc: Este servicio es responsable de cargar y descargar los perfiles de usuario. Si se detiene o se deshabilita, los usuarios no podrán iniciar ni cerrar la sesión, las aplicaciones pueden experimentar problemas para obtener los datos de los usuarios y no recibirán notificaciones de eventos de perfil los componentes registrados para recibirlas.

QWAVE: Experiencia de calidad de audio y vídeo de Windows (qWave) es una plataforma de red para aplicaciones de transmisión de audio y vídeo (AV) por secuencias en redes domésticas IP. qWave mejora el rendimiento y confiabilidad de la transmisión de AV por secuencias al garantizar la calidad de servicio (QoS) para aplicaciones de AV en la red. Proporciona mecanismos para control de admisión, supervisión y cumplimiento en tiempo de ejecución, recopilación de comentarios acerca de aplicaciones y establecimiento de la prioridad del tráfico.

RasAuto: Crea una conexión a una red remota siempre que un programa hace referencia a un nombre o dirección DNS o NetBIOS remoto.

RasMan: Administra conexiones de acceso telefónico y de red privada virtual (VPN) desde este equipo a Internet u otras redes remotas. Si se deshabilita este servicio, no se iniciará ningún otro servicio que dependa de forma explícita de él.

RemoteAccess: Ofrece servicios de enrutamiento a empresas en entornos de red de área local y extensa.

RemoteRegistry: Habilita usuarios remotos para que modifiquen la configuración del Registro en este equipo. Si se detiene este servicio, cualquier usuario en este equipo puede modificar el Registro. Si este servicio está deshabilitado, cualquier servicio que explícitamente dependa de él no podrá iniciarse.

RetailDemo: El servicio de prueba comercial controla la actividad del dispositivo mientras este esté en el modo de prueba comercial.

RmSvc: Servicio de administración de radio y modo avión

rpcapd: Allows to capture traffic on this machine from a remote machine.

RpcEptMapper: Resuelve identificadores de interfaces RPC en extremos de transporte. Si se detiene o deshabilita este servicio, los programas que usen servicios de llamada a procedimiento remoto (RPC) no funcionarán correctamente.

RpcLocator: En Windows 2003 y versiones anteriores de Windows, el servicio Ubicador de llamada a procedimiento remoto (RPC) administra la base de datos de servicio de nombres de RPC. En Windows Vista y versiones posteriores de Windows, este servicio no proporciona ninguna funcionalidad y solo está presente por motivos de compatibilidad con algunas aplicaciones.

RpcSs: El servicio RPCSS es el Administrador de control de servicios para servidores COM y DCOM. Realiza solicitudes de activación de objetos, resoluciones del exportador de objetos y recolección distribuida de elementos no usados para servidores COM y DCOM. Si este servicio se detiene o se deshabilita, los programas que usen COM o DCOM no funcionarán correctamente. Por ello, es muy recomendable que ejecute el servicio RPCSS.

SamSs: El inicio de este servicio indica a otros servicios que el Administrador de cuentas de seguridad (SAM) está listo para aceptar solicitudes. Si deshabilita este servicio, impedirá que se notifique a otros servicios del sistema cuándo está listo SAM, lo que a su vez puede provocar un error de inicio de dichos servicios. No debe deshabilitar este servicio.

SCardSvr: Administra el acceso a tarjetas inteligentes leídas por el equipo. Si este servicio se detiene, el equipo no podrá leer las tarjetas inteligentes. Si este servicio está deshabilitado, cualquier servicio que explícitamente dependa de él no podrá iniciarse.

ScDeviceEnum: Crea nodos de dispositivos de software para todos los lectores de tarjetas inteligentes accesibles a una sesión determinada. Si se deshabilita este servicio, las API de WinRT no podrán enumerar los lectores de tarjetas inteligentes.

Schedule: Permite a un usuario configurar y programar tareas automáticas en este equipo. El servicio también hospeda varias tareas críticas para el sistema Windows. Si se detiene o deshabilita este servicio, estas tareas no se ejecutarán en sus horas programadas. Si se deshabilita este servicio, no podrá iniciarse ningún servicio que dependa de él de forma explícita.

SCPolicySvc: Permite configurar el sistema para bloquear el escritorio del usuario al quitar la tarjeta inteligente.

SDRSVC: Ofrece funcionalidad de Copias de seguridad y restauración de Windows.

seclogon: Habilita procesos de inicio bajo credenciales alternadas. Si se detiene, este tipo de acceso de inicio de sesión no estará disponible. Si el servicio está deshabilitado, cualquiera de los servicios que dependan explícitamente de él, no se iniciaran.

SENS: Supervisa los eventos de sistema y notifica a los suscriptores del sistema de eventos COM+ de estos eventos.

SensorDataService: Entrega datos de varios sensores

SensorService: Servicio para sensores que administra diferentes funciones de sensor. Administra la orientación de dispositivo simple (SDO) y el historial de los sensores. Carga el sensor SDO que notifica cambios en la orientación del dispositivo. Si se detiene o deshabilita este servicio, el sensor SDO no se carga y no funciona la rotación automática. También se detiene la recopilación de historial de los sensores.

SensrSvc: Supervisa los diversos sensores para exponer los datos y adaptarse al sistema y el estado del usuario. Si se detiene o se deshabilita, el brillo de la pantalla no se adaptará a las condiciones de iluminación. Al detenerlo, probablemente también se vean afectadas otras características y funcionalidades.

SessionEnv: El servicio Configuración de Escritorio remoto (RDCS) se encarga de todas las actividades de mantenimiento de sesiones y configuración relacionadas con Servicios de Escritorio remoto y Escritorio remoto que requieran el contexto SYSTEM. Entre ellas, se incluyen las carpetas temporales por sesión, los temas de Escritorio remoto y los certificados de Escritorio remoto.

SharedAccess: Proporciona servicios de traducción de direcciones de red, direccionamiento, resolución de nombres y prevención de intrusiones para una red doméstica o de oficina pequeña.

ShellHWDetection: Proporciona notificaciones sobre eventos de hardware AutoPlay.

shpamsvc: Manages profiles and accounts on a SharedPC configured device

smphost: Servicio host para el proveedor de administración de Espacios de almacenamiento de Microsoft. Si se detiene o deshabilita este servicio, Espacios de almacenamiento no se puede administrar.

SmsRouter: Enruta mensajes en función de reglas para clientes concretos.

SNMPTRAP: Recibe mensajes de captura generados por agentes locales o remotos del Servicio de Protocolo simple de administración de redes (SNMP) y retransmite los mensajes a programas de administración de SNMP que se ejecutan en este equipo. Si se detiene este servicio, los programas basados en SNMP en este equipo no recibirán mensajes de captura SNMP. Si se deshabilita este servicio, cualquier servicio que dependa explícitamente de él tendrá un error al iniciar.

Spooler: Este servicio pone en cola los trabajos de impresión y administra la interacción con la impresora. Si lo desactiva, no podrá imprimir ni ver las impresoras.

sppsvc: Habilita la descarga, instalación y aplicación de licencias digitales para Windows y aplicaciones para Windows. Si el servicio está deshabilitado, es posible que el sistema operativo y las aplicaciones bajo licencia se ejecuten en modo de notificación. Es muy recomendable no deshabilitar el servicio de protección de software.

SSDPSRV: Detecta dispositivos y servicios en red que usan el protocolo de detección SSDP, como los dispositivos UPnP. También anuncia dispositivos y servicios SSDP que se ejecutan en el equipo local. Si se detiene este servicio, no se detectarán los dispositivos basados en SSDP. Si se deshabilita este servicio, no podrán iniciarse los servicios que dependan explícitamente del mismo.

SstpSvc: Ofrece compatibilidad con el protocolo de túnel de sockets seguros (SSTP) para conectarse con equipos remotos usando VPN. Si se deshabilita este servicio, los usuarios no podrán usar SSTP para tener acceso a servidores remotos.

StateRepository: Proporciona soporte a la infraestructura necesaria para el modelo de aplicación.

stisvc: Proporciona servicios de adquisición de imágenes para escáneres y cámaras.

StorSvc: Ofrece servicios de habilitación para la configuración de almacenamiento y la expansión del almacenamiento externo

svsvc: Comprueba posibles daños en el sistema de archivos.

swprv: Administra instantáneas de volumen basadas en software y tomadas por el Servicio de instantáneas de volumen. Si se detiene el servicio, no se podrán administrar las instantáneas de volumen basadas en software. Si se deshabilita el servicio, se producirá un error al iniciar cualquiera de los servicios que dependen explícitamente de él.

SysMain: Mantiene y mejora el rendimiento del sistema a lo largo del tiempo.

SystemEventsBroker: Coordina la ejecución de trabajo en segundo plano para la aplicación WinRT. Si se deshabilita o se detiene este servicio, el trabajo en segundo plano podría no activarse.

TabletInputService: Habilita la funcionalidad de lápiz y entrada de lápiz del Panel de escritura a mano y teclado táctil

TapiSrv: Ofrece compatibilidad con la API de telefonía (TAPI) para programas que controlan dispositivos de telefonía en el equipo local y, a través de la LAN, en servidores que también usan el servicio.

TermService: Permite a los usuarios conectarse de forma interactiva a un equipo remoto. Escritorio remoto y el servidor host de sesión de Escritorio remoto dependen de este servicio. Para impedir el uso remoto de este equipo, desactive las casillas de la pestaña Acceso remoto, en el elemento Propiedades del sistema del Panel de control.

Themes: Proporciona administración de temas de experiencia de usuario.

TieringEngineService: Optimiza la colocación de los datos en capas de almacenamiento en todos los espacios de almacenamiento en capas del sistema.

tiledatamodelsvc: Servidor de mosaico para actualizaciones de mosaicos.

TimeBrokerSvc: Coordina la ejecución de trabajo en segundo plano para la aplicación WinRT. Si se deshabilita o se detiene este servicio, el trabajo en segundo plano podría no activarse.

TrkWks: Mantiene los vínculos entre archivos NTFS dentro de un equipo o entre equipos de una red.

TrustedInstaller: Habilita la instalación, modificación y eliminación de actualizaciones y componentes opcionales de Windows. Si este servicio está deshabilitado, es posible que no se puedan instalar o desinstalar correctamente las actualizaciones de Windows en este equipo.

tzautoupdate: Establece la zona horaria del sistema automáticamente.

UI0Detect: Habilita la notificación al usuario sobre la entrada de usuario para los servicios interactivos; esto habilita el acceso a los cuadros de diálogo creados por los servicios interactivos cuando aparecen. Si se detiene este servicio, dejarán de funcionar las notificaciones de cuadros de diálogo de nuevos servicios interactivos y es posible que no se pueda obtener acceso a los cuadros de diálogo de servicios interactivos. Si se deshabilita este servicio, dejarán de funcionar las notificaciones y el acceso a los cuadros de diálogo de nuevos servicios interactivos.

UmRdpService: Permite la redirección de impresoras, unidades o puertos para conexiones RDP.

upnphost: Permite que los dispositivos UPnP se hospeden en el equipo. Si se detiene el servicio, todos los dispositivos UPnP hospedados dejarán de funcionar y no se podrá agregar ningún dispositivo hospedado adicional. Si se deshabilita este servicio, no podrán iniciarse los servicios que dependan explícitamente del mismo.

UserManager: El administrador de usuarios proporciona los componentes de tiempo de ejecución necesarios para la interacción con múltiples usuarios. Si se detiene este servicio, es posible que algunas aplicaciones no funcionen correctamente.

VaultSvc: Proporciona un almacenamiento seguro y la recuperación de credenciales para usuarios, aplicaciones y paquetes de servicios de seguridad.

vds: Proporciona servicios de administración para discos, volúmenes, sistemas de archivos y matrices de almacenamiento.

vmicguestinterface: Proporciona una interfaz para que el host de Hyper-V interactúe con servicios específicos que se ejecutan en la máquina virtual.

vmicheartbeat: Supervisa el estado de la máquina virtual mediante la notificación de un latido a intervalos regulares. Este servicio ayuda a identificar las máquinas virtuales en ejecución que dejaron de responder.

vmickvpexchange: Ofrece un mecanismo para intercambiar datos entre la máquina virtual y el sistema operativo que se ejecuta en el equipo físico.

vmicrdv: Proporciona una plataforma para la comunicación entre la máquina virtual y el sistema operativo que se ejecuta en el equipo físico.

vmicshutdown: Ofrece un mecanismo para apagar el sistema operativo de esta máquina virtual desde las interfaces de administración del equipo físico.

vmictimesync: Sincroniza la hora del sistema de esta máquina virtual con la hora del sistema del equipo físico.

vmicvmsession: Proporciona un mecanismo para administrar la máquina virtual con PowerShell a través de una sesión de máquina virtual sin una red virtual.

vmicvss: Coordina las comunicaciones que requieren el uso del Servicio de instantáneas de volumen para realizar copias de seguridad de las aplicaciones y los datos de esta máquina virtual desde el sistema operativo del equipo físico.

VSS: Administra e implementa Instantáneas de volumen usadas para copias de seguridad y otros propósitos. Si este servicio se detiene, las instantáneas se deshabilitarán para la copia de seguridad y ésta generará un error. Si este servicio está deshabilitado, se producirá un error al iniciar cualquier servicio que explícitamente dependa de él.

W32Time: Mantiene la sincronización de fecha y hora en todos los clientes y servidores de la red. Si se detiene este servicio, no estará disponible la sincronización de fecha y hora. Si se deshabilita este servicio, no se podrá iniciar ninguno de los servicios que dependen explícitamente de él.

WalletService: Almacena objetos usados por los clientes de la cartera

wbengine: Copias de seguridad de Windows usa el servicio WBENGINE para realizar operaciones de copia de seguridad y recuperación. Si el usuario detiene este servicio, es posible que se produzcan errores en la operación de copia de seguridad o de recuperación que se esté ejecutando. Si se deshabilita este servicio, es posible que se deshabiliten las operaciones de copia de seguridad y de recuperación que usan Copias de seguridad de Windows en este equipo.

WbioSrvc: El Servicio biométrico de Windows proporciona a las aplicaciones cliente la posibilidad de capturar, comparar, manipular y almacenar datos biométricos sin obtener acceso directo a ninguna muestra ni hardware biométricos. El servicio se hospeda en un proceso SVCHOST con privilegios.

Wcmsvc: Toma decisiones de conexión/desconexión automáticas en función de las opciones de conectividad de red disponibles actualmente para el equipo y permite administrar la conectividad de red basándose en la configuración de directivas de grupo.

wcncsvc: WCNCSVC hospeda la configuración de Windows Connect Now, que es la implementación de Microsoft del protocolo WPS (Wi-Fi Protected Setup). Se usa para configurar las opciones de LAN inalámbrica para un punto de acceso (AP) o un dispositivo Wi-Fi. El servicio se inicia mediante programación cuando es necesario.

WdiServiceHost: El Servicio de directivas de diagnóstico usa el Host del servicio de diagnóstico para hospedar los diagnósticos que deben ejecutarse en un contexto de Servicio local. Si se detiene este servicio, los diagnósticos que dependan de él dejarán de funcionar.

WdiSystemHost: El Servicio de directivas de diagnóstico usa el Host de sistema de diagnóstico para hospedar los diagnósticos que deben ejecutarse en un contexto de Sistema local. Si se detiene este servicio, los diagnósticos que dependan de él dejarán de funcionar.

WdNisSvc: Ayuda a proteger contra intentos de intrusión dirigidos a vulnerabilidades conocidas o recientemente descubiertas en protocolos de red

WebClient: Habilita los programas basados en Windows para que creen, tengan acceso y modifiquen archivos basados en Internet. Si este servicio se detiene, estas funciones no estarán disponibles. Si este servicio está deshabilitado, cualquier servicio que explícitamente dependa de él no podrá iniciarse.

Wecsvc: Este servicio administra suscripciones persistentes a eventos desde orígenes remotos que admiten el protocolo WS-Management. Esto incluye registros de eventos de Windows Vista, hardware y orígenes de eventos con la interfaz IPMI habilitada. El servicio almacena los eventos reenviados en un registro de eventos local. Si se detiene o deshabilita este servicio, no podrán crearse suscripciones de eventos y no podrán aceptarse los eventos reenviados.

WEPHOSTSVC: El servicio host de proveedor de cifrado de Windows sirve como intermediario para proporcionar funcionalidades de cifrado de proveedores de cifrado de terceros a los procesos que necesitan evaluar y aplicar directivas EAS. Si lo detiene, se verán afectadas las comprobaciones de cumplimiento de EAS que han establecido las cuentas de correo conectadas

wercplsupport: Este servicio proporciona ayuda para ver, enviar y borrar los informes de problemas del nivel de sistema para el panel de control de los Informes de problemas y soluciones.

WerSvc: Permite informar de errores cuando los programas dejan de funcionar o responder y proporcionar las soluciones existentes. También permite generar registros para servicios de diagnóstico y reparación. Si se detiene este servicio, es posible que los informes de errores no funcionen correctamente y que los resultados de los servicios de diagnóstico y las reparaciones no se muestren.

WiaRpc: Inicia aplicaciones asociadas con eventos de adquisición de imágenes estáticas.

WinDefend: Ayuda a proteger a los usuarios contra malware y otro software potencialmente no deseado

WinHttpAutoProxySvc: WinHTTP implementa la pila HTTP de cliente y proporciona a los programadores una API Win32 y un componente de automatización COM para enviar solicitudes HTTP y recibir respuestas. Además, WinHTTP ofrece compatibilidad con la detección automática de una configuración proxy mediante la implementación del protocolo de detección automática de proxy web (WPAD).

Winmgmt: Proporciona una interfaz común y un modelo de objeto para tener acceso a la información de administración acerca de un sistema operativo, dispositivos, aplicaciones y servicios. Si se detiene este servicio, la mayoría del software basado en Windows no funcionará correctamente. Si este servicio está deshabilitado, cualquier servicio que explícitamente dependa de él no podrá iniciarse.

WinRM: El servicio Administración remota de Windows (WinRM) implementa el protocolo WS-Management para la administración remota. WS-Management es un protocolo estándar de servicios web usado para la administración remota de software y hardware. El servicio WinRM escucha solicitudes de WS-Management y las procesa en la red. Para tal fin, debe configurarse con una escucha que use la herramienta de línea de comandos winrm.cmd o a través de la directiva de grupo. El servicio WinRM ofrece acceso a los datos WMI y, si está en ejecución, permite la recopilación y suscripción a eventos. Los mensajes WinRM usan HTTP y HTTPS como transporte. El servicio WinRM no depende de IIS pero está preconfigurado para compartir un puerto con IIS en el mismo equipo. El servicio WinRM reserva el prefijo de URL /wsman. Para evitar conflictos con IIS, los administradores deben asegurarse de que ningún sitio web hospedado en IIS use el prefijo de URL /wsman.

WlanSvc: El servicio WLANSVC proporciona la lógica necesaria para configurar, detectar, conectarse y desconectarse de una red de área local inalámbrica (WLAN), tal y como se define en los estándares IEEE 802.11. También incluye la lógica necesaria para convertir el equipo en un punto de acceso de software de modo que otros dispositivos puedan conectarse a él de forma inalámbrica mediante un adaptador de WLAN compatible. Detener o deshabilitar el servicio WLANSVC hará que todos los adaptadores de WLAN del equipo sean inaccesibles desde la interfaz de usuario de red de Windows. Se recomienda encarecidamente mantener el servicio WLANSVC en ejecución si el equipo dispone de un adaptador de WLAN.

wlidsvc: Permite al usuario iniciar sesión mediante los servicios de identidad de cuentas Microsoft. Si se detuvo este servicio, los usuarios no podrán iniciar sesión en el equipo con sus cuentas Microsoft.

wmiApSrv: Proporciona información sobre la biblioteca de rendimiento de proveedores del servicio Instrumental de administración de Windows (WMI) a clientes de la red. Este servicio solo se ejecuta si el Ayudante de datos de rendimiento está activado.

WMPNetworkSvc: Comparte las bibliotecas del Reproductor de Windows Media con otros dispositivos multimedia y reproductores en red mediante Plug and Play universal.

workfolderssvc: Este servicio sincroniza archivos con el servidor de Carpetas de trabajo, lo que le permite usar los archivos en cualquiera de los equipos y dispositivos en los que configuró Carpetas de trabajo.

WPDBusEnum: Exige el cumplimiento de directivas de grupo para dispositivos extraíbles de almacenamiento. Habilita aplicaciones como Windows Media Player y Asistente para importación de imágenes para transferir y sincronizador contenido mediante el uso de dispositivos de almacenamiento.

WpnService: Este servicio se ejecuta en la sesión 0 y aloja el proveedor de conexión y la plataforma de notificaciones que administra la conexión entre el dispositivo y el servidor WNS.

wscsvc: El servicio WSCSVC (Centro de seguridad de Windows) supervisa e informa acerca de la configuración de mantenimiento de seguridad del equipo. La configuración de mantenimiento incluye la configuración de firewall (activado o desactivado), antivirus (activado, desactivado o sin actualizar), anti spyware (activado, desactivado o sin actualizar), Windows Update (descargar e instalar actualizaciones automáticamente o manualmente), Control de cuentas de usuario (activado o desactivado) e Internet (recomendada o no recomendada). El servicio proporciona unas API de COM para que los fabricantes de software independientes puedan registrar el estado de sus productos en el servicio Centro de seguridad. La interfaz de usuario de Seguridad y mantenimiento usa el servicio para proporcionar alertas de la bandeja del sistema y una vista gráfica de los estados de mantenimiento de seguridad en el panel de control de Seguridad y mantenimiento. Protección de acceso a redes (NAP) usa el servicio para informar sobre los estados de mantenimiento de seguridad de los clientes al Servidor de directivas de redes de NAP para tomar decisiones de cuarentena de red. El servicio también tiene una API pública que permite a los consumidores externos recuperar mediante programación el estado de mantenimiento de seguridad agregado del sistema.

WSearch: Proporciona indización de contenido, almacenamiento en caché de propiedades y resultados de búsqueda para archivos, correo electrónico y otro tipo de contenido.

wuauserv: Habilita la detección, descarga e instalación de actualizaciones de Windows y otros programas. Si se deshabilita este servicio, los usuarios de este equipo no podrán usar Windows Update ni su función de actualización automática y los programas no podrán usar la API del Agente de Windows Update (WUA).

wudfsvc: Crea y administra procesos de controlador en modo usuario. Este servicio no se puede detener.

WwanSvc: Este servicio administra conexiones y adaptadores de módulos incrustados/de tarjeta de datos (GSM y CDMA) de banda ancha móvil mediante la configuración automática de redes. Se recomienda encarecidamente mantener este servicio en ejecución para obtener una mejor experiencia de usuario de los dispositivos de banda ancha móvil.

XblAuthManager: Proporciona servicios de autenticación y autorización para interactuar con Xbox Live. Si se detiene este servicio puede que algunas aplicaciones no funcionen correctamente.

XblGameSave: Este servicio sincroniza los datos guardados para los juegos que pueden guardarse en Xbox Live. Si se detiene el servicio, la partida guardada no se cargará a, o descargará desde, Xbox Live.

XboxNetApiSvc: Este servicio presta soporte a la interfaz de programación de aplicaciones Windows.Networking.XboxLive.

4. Gestión de archivos en PowerShell para administradores de sistemas

Los sistemas de archivos permiten organizar los datos en los dispositivos de almacenamiento siguiendo una serie de normas y restricciones. Un sistema de archivos se implanta después de crear una partición en un dispositivo de almacenamiento (disco duro, USB, CD/DVD, etc.). La unidad principal de los sistemas de archivos es el archivo, en general, los…
Read more →

Windows Post Exploitation Cmdlets Execution (PowerShell)

Presence This section focuses on information gathering about the victim host and the network that it’s attached to. System

#Shows all current environmental variables
$env:ALLUSERSPROFILE
$env:APPDATA
$env:CommonProgramFiles
${env:CommonProgramFiles(x86)}
$env:CommonProgramW6432
$env:COMPUTERNAME
$env:ComSpec
$env:FP_NO_HOST_CHECK
$env:HOMEDRIVE
$env:HOMEPATH
$env:LOCALAPPDATA
$env:LOGONSERVER
$env:NUMBER_OF_PROCESSORS
$env:OS
$env:Path
$env:PATHEXT
$env:PROCESSOR_ARCHITECTURE
$env:PROCESSOR_IDENTIFIER
$env:PROCESSOR_LEVEL
$env:PROCESSOR_REVISION
$env:ProgramData
$env:ProgramFiles
${env:ProgramFiles(x86)}
$env:ProgramW6432
$env:PSModulePath
$env:PUBLIC
$env:SESSIONNAME
$env:SystemRoot
$env:TEMP
$env:TMP
$env:USERDOMAIN
$env:USERDOMAIN_ROAMINGPROFILE
$env:USERNAME
$env:USERPROFILE
$env:SystemDrive
$env:windir

#Shows all current environmental variables (macOS)
$env:_ 
$env:LOGNAME
$env:SHLVL
$env:TERM_SESSION_ID
$env:PATHEXT
$env:__CF_USER_TEXT_ENCODING
$env:PATH
$env:SSH_AUTH_SOCK
$env:TMPDIR
$env:Apple_PubSub_Socket_Render
$env:PSMODULEPATH
$env:TERM
$env:USER
$env:HOME
$env:PWD
$env:TERM_PROGRAM
$env:XPC_FLAGS
$env:LC_CTYPE
$env:SHELL
$env:TERM_PROGRAM_VERSION
$env:XPC_SERVICE_NAME

#Information about disk
Get-Disk

#Retrieving Process Information
Get-Process | Select-Object Name,Path,Company,CPU,Product,TotalProcessorTime,StartTime

#Lists running threads for a specified process
(Get-Process chrome | Select-Object Threads).Threads
Get-Process | select -expand Threads

#Last Boot Uptime
Get-CimInstance -ClassName win32_operatingsystem | select csname, lastbootuptime

#Lists the current drivers on the system
Get-Process -Module

#Events and event logs on the local and remote
Get-EventLog -LogName System -EntryType Error, Warning
Get-EventLog -LogName System -EntryType Error, Warning -ComputerName $computer

#Shows all current environmental variables

$env:ALLUSERSPROFILE

$env:APPDATA

$env:CommonProgramFiles

${env:CommonProgramFiles(x86)}

$env:CommonProgramW6432

$env:COMPUTERNAME

$env:ComSpec

$env:FP_NO_HOST_CHECK

$env:HOMEDRIVE

$env:HOMEPATH

$env:LOCALAPPDATA

$env:LOGONSERVER

$env:NUMBER_OF_PROCESSORS

$env:OS

$env:Path

$env:PATHEXT

$env:PROCESSOR_ARCHITECTURE

$env:PROCESSOR_IDENTIFIER

$env:PROCESSOR_LEVEL

$env:PROCESSOR_REVISION

$env:ProgramData

$env:ProgramFiles

${env:ProgramFiles(x86)}

$env:ProgramW6432

$env:PSModulePath

$env:PUBLIC

$env:SESSIONNAME

$env:SystemRoot

$env:TEMP

$env:TMP

$env:USERDOMAIN

$env:USERDOMAIN_ROAMINGPROFILE

$env:USERNAME

$env:USERPROFILE

$env:SystemDrive

$env:windir

#Shows all current environmental variables (macOS)

$env:_

$env:LOGNAME

$env:SHLVL

$env:TERM_SESSION_ID

$env:PATHEXT

$env:__CF_USER_TEXT_ENCODING

$env:PATH

$env:SSH_AUTH_SOCK

$env:TMPDIR

$env:Apple_PubSub_Socket_Render

$env:PSMODULEPATH

$env:TERM

$env:USER

$env:HOME

$env:PWD

$env:TERM_PROGRAM

$env:XPC_FLAGS

$env:LC_CTYPE

$env:SHELL

$env:TERM_PROGRAM_VERSION

$env:XPC_SERVICE_NAME

#Information about disk

Get-Disk

#Retrieving Process Information

Get-Process | Select-Object Name,Path,Company,CPU,Product,TotalProcessorTime,StartTime

#Lists running threads for a specified process

(Get-Process chrome | Select-Object Threads).Threads

Get-Process | select -expand Threads

#Last Boot Uptime

Get-CimInstance -ClassName win32_operatingsystem | select csname, lastbootuptime

#Lists the current drivers on the system

Get-Process -Module

#Events and event logs on the local and remote

Get-EventLog -LogName System -EntryType Error, Warning

Get-EventLog -LogName System -EntryType Error, Warning -ComputerName $computer

WMI

#Information about disk
Get-WmiObject -Class win32_DiskDrive

#Retrieving the Shared Resources on the Local Computer
Get-WmiObject -Class Win32_Share

#Retrieving the Shared Resources on a Remote Computer
Get-WmiObject -Class Win32_Share -ComputerName COMPUTER

#Remote information
Get-WmiObject Win32_ComputerSystem -cn $computer
Get-WmiObject Win32_Group -cn $computer
Get-WmiObject Win32_LogicalDisk -cn $computer
Get-WmiObject Win32_NetworkClient -cn $computer
Get-WmiObject Win32_NetworkConnection -cn $computer
Get-WmiObject Win32_NetworkLoginProfile -cn $computer
Get-WmiObject Win32_NTLogEvent -cn $computer
Get-WmiObject Win32_OperatingSystem -cn $computer
Get-WmiObject Win32_Process -cn $computer
Get-WmiObject Win32_Product -cn $computer
Get-WmiObject Win32_QuickFixEngineering -cn $computer
Get-WmiObject Win32_Service -cn $computer
Get-WmiObject Win32_Share -cn $computer
Get-WmiObject Win32_StartupCommand -cn $computer
Get-WmiObject Win32_UserAccount -cn $computer
Get-WmiObject Win32_Volume -cn $computer

#Remote information (use credential)
$credenciales=Get-Credential
(Get-WmiObject Win32_AutochkSetting -ComputerName ('192.168.1.'+$_) -Credential $credenciales).SettingID
(Get-WmiObject Win32_BaseBoard -ComputerName ('192.168.1.'+$_) -Credential $credenciales).Manufacturer
(Get-WmiObject Win32_BIOS -ComputerName ('192.168.1.'+$_) -Credential $credenciales).Version
(Get-WmiObject Win32_Bus -ComputerName ('192.168.1.'+$_) -Credential $credenciales).DeviceID
Get-WmiObject Win32_Processor -ComputerName ('192.168.1.'+$_) -Credential $credenciales
Get-WmiObject Win32_SystemEnclosure -ComputerName ('192.168.1.'+$_) -Credential $credenciales
Get-WmiObject Win32_Battery -ComputerName ('192.168.1.'+$_) -Credential $credenciales
Get-WmiObject Win32_Printer -ComputerName ('192.168.1.'+$_) -Credential $credenciales

#WMI queries
$query="Select * from Msft_CliAlias"; Get-WMIObject -Query $query
$query="Select * from Win32_BaseBoard"; Get-WMIObject -Query $query
$query="Select * from Win32_BIOS"; Get-WMIObject -Query $query
$query="Select * from Win32_BootConfiguration"; Get-WMIObject -Query $query
$query="Select * from Win32_CDROMDrive"; Get-WMIObject -Query $query
$query="Select * from Win32_ComputerSystem"; Get-WMIObject -Query $query
$query="Select * from WIN32_PROCESSOR"; Get-WMIObject -Query $query
$query="Select * from Win32_ComputerSystemProduct"; Get-WMIObject -Query $query
$query="Select * from CIM_DataFile"; Get-WMIObject -Query $query
$query="Select * from WIN32_DCOMApplication"; Get-WMIObject -Query $query
$query="Select * from WIN32_DESKTOP"; Get-WMIObject -Query $query
$query="Select * from WIN32_DESKTOPMONITOR"; Get-WMIObject -Query $query
$query="Select * from Win32_DeviceMemoryAddress"; Get-WMIObject -Query $query
$query="Select * from Win32_DiskDrive"; Get-WMIObject -Query $query
$query="Select * from Win32_DiskQuota"; Get-WMIObject -Query $query
$query="Select * from Win32_DMAChannel"; Get-WMIObject -Query $query
$query="Select * from Win32_Environment"; Get-WMIObject -Query $query
$query="Select * from Win32_Directory"; Get-WMIObject -Query $query
$query="Select * from Win32_Group"; Get-WMIObject -Query $query
$query="Select * from Win32_IDEController"; Get-WMIObject -Query $query
$query="Select * from Win32_IRQResource"; Get-WMIObject -Query $query
$query="Select * from Win32_ScheduledJob"; Get-WMIObject -Query $query
$query="Select * from Win32_LoadOrderGroup"; Get-WMIObject -Query $query
$query="Select * from Win32_LogicalDisk"; Get-WMIObject -Query $query
$query="Select * from Win32_LogonSession"; Get-WMIObject -Query $query
$query="Select * from WIN32_CACHEMEMORY"; Get-WMIObject -Query $query
$query="Select * from Win32_PhysicalMemory"; Get-WMIObject -Query $query
$query="Select * from Win32_PhysicalMemoryArray"; Get-WMIObject -Query $query
$query="Select * from WIN32_NetworkClient"; Get-WMIObject -Query $query
$query="Select * from Win32_NetworkLoginProfile"; Get-WMIObject -Query $query
$query="Select * from Win32_NetworkProtocol"; Get-WMIObject -Query $query
$query="Select * from Win32_NetworkConnection"; Get-WMIObject -Query $query
$query="Select * from Win32_NetworkAdapter"; Get-WMIObject -Query $query
$query="Select * from Win32_NetworkAdapterConfiguration"; Get-WMIObject -Query $query
$query="Select * from Win32_NTDomain"; Get-WMIObject -Query $query
$query="Select * from Win32_NTLogEvent"; Get-WMIObject -Query $query
$query="Select * from Win32_NTEventlogFile"; Get-WMIObject -Query $query
$query="Select * from Win32_OnBoardDevice"; Get-WMIObject -Query $query
$query="Select * from Win32_OperatingSystem"; Get-WMIObject -Query $query
$query="Select * from Win32_PageFileUsage"; Get-WMIObject -Query $query
$query="Select * from Win32_PageFileSetting"; Get-WMIObject -Query $query
$query="Select * from Win32_DiskPartition"; Get-WMIObject -Query $query
$query="Select * from Win32_PortResource"; Get-WMIObject -Query $query
$query="Select * from Win32_PortConnector"; Get-WMIObject -Query $query
$query="Select * from Win32_Printer"; Get-WMIObject -Query $query
$query="Select * from Win32_PrinterConfiguration"; Get-WMIObject -Query $query
$query="Select * from Win32_PrintJob"; Get-WMIObject -Query $query
$query="Select * from Win32_Process"; Get-WMIObject -Query $query
$query="Select * from Win32_Product"; Get-WMIObject -Query $query
$query="Select * from Win32_QuickFixEngineering"; Get-WMIObject -Query $query
$query="Select * from Win32_QuotaSetting"; Get-WMIObject -Query $query
$query="Select * from Win32_TSAccount"; Get-WMIObject -Query $query
$query="Select * from Win32_TSNetworkAdapterSetting"; Get-WMIObject -Query $query
$query="Select * from Win32_TSPermissionsSetting"; Get-WMIObject -Query $query
$query="Select * from Win32_TerminalServiceSetting"; Get-WMIObject -Query $query
$query="Select * from Win32_OSRecoveryConfiguration"; Get-WMIObject -Query $query
$query="Select * from Win32_Registry"; Get-WMIObject -Query $query
$query="Select * from Win32_SCSIController"; Get-WMIObject -Query $query
$query="Select * from Win32_PerfRawData_PerfNet_Server"; Get-WMIObject -Query $query
$query="Select * from Win32_Service"; Get-WMIObject -Query $query
$query="Select * from Win32_ShadowCopy"; Get-WMIObject -Query $query
$query="Select * from Win32_ShadowStorage"; Get-WMIObject -Query $query
$query="Select * from Win32_Share"; Get-WMIObject -Query $query
$query="Select * from Win32_SoftwareElement"; Get-WMIObject -Query $query
$query="Select * from Win32_SoftwareFeature"; Get-WMIObject -Query $query
$query="Select * from WIN32_SoundDevice"; Get-WMIObject -Query $query
$query="Select * from Win32_StartupCommand"; Get-WMIObject -Query $query
$query="Select * from Win32_SystemAccount"; Get-WMIObject -Query $query
$query="Select * from Win32_SystemDriver"; Get-WMIObject -Query $query
$query="Select * from Win32_SystemEnclosure"; Get-WMIObject -Query $query
$query="Select * from Win32_SystemSlot"; Get-WMIObject -Query $query
$query="Select * from Win32_TapeDrive"; Get-WMIObject -Query $query
$query="Select * from Win32_TemperatureProbe"; Get-WMIObject -Query $query
$query="Select * from Win32_TimeZone"; Get-WMIObject -Query $query
$query="Select * from Win32_UninterruptiblePowerSupply"; Get-WMIObject -Query $query
$query="Select * from Win32_UserAccount"; Get-WMIObject -Query $query
$query="Select * from Win32_VoltageProbe"; Get-WMIObject -Query $query
$query="Select * from Win32_Volume"; Get-WMIObject -Query $query
$query="Select * from Win32_VolumeQuotaSetting"; Get-WMIObject -Query $query
$query="Select * from Win32_VolumeUserQuota"; Get-WMIObject -Query $query
$query="Select * from Win32_WMISetting"; Get-WMIObject -Query $query

100

101

102

103

104

105

106

107

108

109

110

111

112

113

114

115

116

117

118

119

120

#Information about disk

Get-WmiObject -Class win32_DiskDrive

#Retrieving the Shared Resources on the Local Computer

Get-WmiObject -Class Win32_Share

#Retrieving the Shared Resources on a Remote Computer

Get-WmiObject -Class Win32_Share -ComputerName COMPUTER

#Remote information

Get-WmiObject Win32_ComputerSystem -cn $computer

Get-WmiObject Win32_Group -cn $computer

Get-WmiObject Win32_LogicalDisk -cn $computer

Get-WmiObject Win32_NetworkClient -cn $computer

Get-WmiObject Win32_NetworkConnection -cn $computer

Get-WmiObject Win32_NetworkLoginProfile -cn $computer

Get-WmiObject Win32_NTLogEvent -cn $computer

Get-WmiObject Win32_OperatingSystem -cn $computer

Get-WmiObject Win32_Process -cn $computer

Get-WmiObject Win32_Product -cn $computer

Get-WmiObject Win32_QuickFixEngineering -cn $computer

Get-WmiObject Win32_Service -cn $computer

Get-WmiObject Win32_Share -cn $computer

Get-WmiObject Win32_StartupCommand -cn $computer

Get-WmiObject Win32_UserAccount -cn $computer

Get-WmiObject Win32_Volume -cn $computer

#Remote information (use credential)

$credenciales=Get-Credential

(Get-WmiObject Win32_AutochkSetting -ComputerName ('192.168.1.'+$_) -Credential $credenciales).SettingID

(Get-WmiObject Win32_BaseBoard -ComputerName ('192.168.1.'+$_) -Credential $credenciales).Manufacturer

(Get-WmiObject Win32_BIOS -ComputerName ('192.168.1.'+$_) -Credential $credenciales).Version

(Get-WmiObject Win32_Bus -ComputerName ('192.168.1.'+$_) -Credential $credenciales).DeviceID

Get-WmiObject Win32_Processor -ComputerName ('192.168.1.'+$_) -Credential $credenciales

Get-WmiObject Win32_SystemEnclosure -ComputerName ('192.168.1.'+$_) -Credential $credenciales

Get-WmiObject Win32_Battery -ComputerName ('192.168.1.'+$_) -Credential $credenciales

Get-WmiObject Win32_Printer -ComputerName ('192.168.1.'+$_) -Credential $credenciales

#WMI queries

$query="Select * from Msft_CliAlias"; Get-WMIObject -Query $query

$query="Select * from Win32_BaseBoard"; Get-WMIObject -Query $query

$query="Select * from Win32_BIOS"; Get-WMIObject -Query $query

$query="Select * from Win32_BootConfiguration"; Get-WMIObject -Query $query

$query="Select * from Win32_CDROMDrive"; Get-WMIObject -Query $query

$query="Select * from Win32_ComputerSystem"; Get-WMIObject -Query $query

$query="Select * from WIN32_PROCESSOR"; Get-WMIObject -Query $query

$query="Select * from Win32_ComputerSystemProduct"; Get-WMIObject -Query $query

$query="Select * from CIM_DataFile"; Get-WMIObject -Query $query

$query="Select * from WIN32_DCOMApplication"; Get-WMIObject -Query $query

$query="Select * from WIN32_DESKTOP"; Get-WMIObject -Query $query

$query="Select * from WIN32_DESKTOPMONITOR"; Get-WMIObject -Query $query

$query="Select * from Win32_DeviceMemoryAddress"; Get-WMIObject -Query $query

$query="Select * from Win32_DiskDrive"; Get-WMIObject -Query $query

$query="Select * from Win32_DiskQuota"; Get-WMIObject -Query $query

$query="Select * from Win32_DMAChannel"; Get-WMIObject -Query $query

$query="Select * from Win32_Environment"; Get-WMIObject -Query $query

$query="Select * from Win32_Directory"; Get-WMIObject -Query $query

$query="Select * from Win32_Group"; Get-WMIObject -Query $query

$query="Select * from Win32_IDEController"; Get-WMIObject -Query $query

$query="Select * from Win32_IRQResource"; Get-WMIObject -Query $query

$query="Select * from Win32_ScheduledJob"; Get-WMIObject -Query $query

$query="Select * from Win32_LoadOrderGroup"; Get-WMIObject -Query $query

$query="Select * from Win32_LogicalDisk"; Get-WMIObject -Query $query

$query="Select * from Win32_LogonSession"; Get-WMIObject -Query $query

$query="Select * from WIN32_CACHEMEMORY"; Get-WMIObject -Query $query

$query="Select * from Win32_PhysicalMemory"; Get-WMIObject -Query $query

$query="Select * from Win32_PhysicalMemoryArray"; Get-WMIObject -Query $query

$query="Select * from WIN32_NetworkClient"; Get-WMIObject -Query $query

$query="Select * from Win32_NetworkLoginProfile"; Get-WMIObject -Query $query

$query="Select * from Win32_NetworkProtocol"; Get-WMIObject -Query $query

$query="Select * from Win32_NetworkConnection"; Get-WMIObject -Query $query

$query="Select * from Win32_NetworkAdapter"; Get-WMIObject -Query $query

$query="Select * from Win32_NetworkAdapterConfiguration"; Get-WMIObject -Query $query

$query="Select * from Win32_NTDomain"; Get-WMIObject -Query $query

$query="Select * from Win32_NTLogEvent"; Get-WMIObject -Query $query

$query="Select * from Win32_NTEventlogFile"; Get-WMIObject -Query $query

$query="Select * from Win32_OnBoardDevice"; Get-WMIObject -Query $query

$query="Select * from Win32_OperatingSystem"; Get-WMIObject -Query $query

$query="Select * from Win32_PageFileUsage"; Get-WMIObject -Query $query

$query="Select * from Win32_PageFileSetting"; Get-WMIObject -Query $query

$query="Select * from Win32_DiskPartition"; Get-WMIObject -Query $query

$query="Select * from Win32_PortResource"; Get-WMIObject -Query $query

$query="Select * from Win32_PortConnector"; Get-WMIObject -Query $query

$query="Select * from Win32_Printer"; Get-WMIObject -Query $query

$query="Select * from Win32_PrinterConfiguration"; Get-WMIObject -Query $query

$query="Select * from Win32_PrintJob"; Get-WMIObject -Query $query

$query="Select * from Win32_Process"; Get-WMIObject -Query $query

$query="Select * from Win32_Product"; Get-WMIObject -Query $query

$query="Select * from Win32_QuickFixEngineering"; Get-WMIObject -Query $query

$query="Select * from Win32_QuotaSetting"; Get-WMIObject -Query $query

$query="Select * from Win32_TSAccount"; Get-WMIObject -Query $query

$query="Select * from Win32_TSNetworkAdapterSetting"; Get-WMIObject -Query $query

$query="Select * from Win32_TSPermissionsSetting"; Get-WMIObject -Query $query

$query="Select * from Win32_TerminalServiceSetting"; Get-WMIObject -Query $query

$query="Select * from Win32_OSRecoveryConfiguration"; Get-WMIObject -Query $query

$query="Select * from Win32_Registry"; Get-WMIObject -Query $query

$query="Select * from Win32_SCSIController"; Get-WMIObject -Query $query

$query="Select * from Win32_PerfRawData_PerfNet_Server"; Get-WMIObject -Query $query

$query="Select * from Win32_Service"; Get-WMIObject -Query $query

$query="Select * from Win32_ShadowCopy"; Get-WMIObject -Query $query

$query="Select * from Win32_ShadowStorage"; Get-WMIObject -Query $query

$query="Select * from Win32_Share"; Get-WMIObject -Query $query

$query="Select * from Win32_SoftwareElement"; Get-WMIObject -Query $query

$query="Select * from Win32_SoftwareFeature"; Get-WMIObject -Query $query

$query="Select * from WIN32_SoundDevice"; Get-WMIObject -Query $query

$query="Select * from Win32_StartupCommand"; Get-WMIObject -Query $query

$query="Select * from Win32_SystemAccount"; Get-WMIObject -Query $query

$query="Select * from Win32_SystemDriver"; Get-WMIObject -Query $query

$query="Select * from Win32_SystemEnclosure"; Get-WMIObject -Query $query

$query="Select * from Win32_SystemSlot"; Get-WMIObject -Query $query

$query="Select * from Win32_TapeDrive"; Get-WMIObject -Query $query

$query="Select * from Win32_TemperatureProbe"; Get-WMIObject -Query $query

$query="Select * from Win32_TimeZone"; Get-WMIObject -Query $query

$query="Select * from Win32_UninterruptiblePowerSupply"; Get-WMIObject -Query $query

$query="Select * from Win32_UserAccount"; Get-WMIObject -Query $query

$query="Select * from Win32_VoltageProbe"; Get-WMIObject -Query $query

$query="Select * from Win32_Volume"; Get-WMIObject -Query $query

$query="Select * from Win32_VolumeQuotaSetting"; Get-WMIObject -Query $query

$query="Select * from Win32_VolumeUserQuota"; Get-WMIObject -Query $query

$query="Select * from Win32_WMISetting"; Get-WMIObject -Query $query

Networking

#Network Adaptor information contains, manufacturer, MAC ID etc
Get-WmiObject -Class win32_networkadapter

#Hardware information of the network adapter
Get-NetAdapterHardwareInfo

#Returns all physical network adapters
Get-NetAdapter -Physical

#Networking statistics from the network adapter. The statistics include broadcast, multicast, discards, and errors
Get-NetAdapterStatistics

#Get the current MAC
Get-NetAdapter | Select-Object Name,MacAddress
Get-WmiObject -Class Win32_NetworkAdapterConfiguration | Select-Object Description,MACAddress

#Neighbor cache entries (The neighbor cache maintains information for each on-link neighbor, including the IP address and the associated link-layer address. In IPv4, the neighbor cache is commonly known as the Address Resolution Protocol (ARP) cache)
Get-NetNeighbor

#Get the current IP address
Get-NetIPAddress | Select-Object InterfaceAlias,IPAddress
Get-NetIPAddress -AddressFamily ipv4
Get-NetIPAddress -AddressFamily ipv6
Get-NetIPConfiguration

#Information about firewall
Get-NetFirewallAddressFilter
Get-NetFirewallApplicationFilter
Get-NetFirewallInterfaceFilter
Get-NetFirewallInterfaceTypeFilter
Get-NetFirewallPortFilter
Get-NetFirewallProfile
Get-NetFirewallRule
Get-NetFirewallSecurityFilter
Get-NetFirewallServiceFilter
Get-NetFirewallSetting

#List Firewall Rules
#Direction: Inbound
Get-NetFirewallRule | Where {$_.Direction –eq ‘Inbound’}

#TCP
Get-NetTCPConnection
Get-NetTCPConnection | Select-Object LocalPort,Remoteport

#UDP
Get-NetUDPEndpoint
(Get-NetUDPEndpoint).LocalPort

#Information about DNS
Get-DnsClient
Get-DnsClientCache
Get-DnsClientGlobalSetting
Get-DnsClientNrptGlobal
Get-DnsClientNrptPolicy
Get-DnsClientNrptRule
Get-DnsClientServerAddress

#Displays your currently shared SMB entries
Get-SmbShare
Get-WmiObject -Class Win32_Share

#Access a Router
$user="admin"
$pass="admin123"
$pair="${user}:${pass}"
$bytes=[System.Text.Encoding]::ASCII.GetBytes($pair)
$base64=[System.Convert]::ToBase64String($bytes)
$basicAuthValue="Basic $base64"
$headers=@{Authorization=$basicAuthValue}
$url='http://192.168.1.1:89/rpSys.html'
$result=(Invoke-WebRequest -Uri $url -Headers $headers)
($result.AllElements | Where tagName -eq “title”).outerText

#Connect to Access Point
$user="admin"
$pass="1234"
$pair="${user}:${pass}"
$bytes=[System.Text.Encoding]::ASCII.GetBytes($pair)
$base64=[System.Convert]::ToBase64String($bytes)
$basicAuthValue="Basic $base64"
$headers=@{Authorization=$basicAuthValue}
$url='http://192.168.1.2/index.asp'
$result=(Invoke-WebRequest -Uri $url -Headers $headers)
($result.AllElements | Where tagName -eq “title”).outerText

#Network Adaptor information contains, manufacturer, MAC ID etc

Get-WmiObject -Class win32_networkadapter

#Hardware information of the network adapter

Get-NetAdapterHardwareInfo

#Returns all physical network adapters

Get-NetAdapter -Physical

#Networking statistics from the network adapter. The statistics include broadcast, multicast, discards, and errors

Get-NetAdapterStatistics

#Get the current MAC

Get-NetAdapter | Select-Object Name,MacAddress

Get-WmiObject -Class Win32_NetworkAdapterConfiguration | Select-Object Description,MACAddress

#Neighbor cache entries (The neighbor cache maintains information for each on-link neighbor, including the IP address and the associated link-layer address. In IPv4, the neighbor cache is commonly known as the Address Resolution Protocol (ARP) cache)

Get-NetNeighbor

#Get the current IP address

Get-NetIPAddress | Select-Object InterfaceAlias,IPAddress

Get-NetIPAddress -AddressFamily ipv4

Get-NetIPAddress -AddressFamily ipv6

Get-NetIPConfiguration

#Information about firewall

Get-NetFirewallAddressFilter

Get-NetFirewallApplicationFilter

Get-NetFirewallInterfaceFilter

Get-NetFirewallInterfaceTypeFilter

Get-NetFirewallPortFilter

Get-NetFirewallProfile

Get-NetFirewallRule

Get-NetFirewallSecurityFilter

Get-NetFirewallServiceFilter

Get-NetFirewallSetting

#List Firewall Rules

#Direction: Inbound

Get-NetFirewallRule | Where {$_.Direction –eq ‘Inbound’}

#TCP

Get-NetTCPConnection

Get-NetTCPConnection | Select-Object LocalPort,Remoteport

#UDP

Get-NetUDPEndpoint

(Get-NetUDPEndpoint).LocalPort

#Information about DNS

Get-DnsClient

Get-DnsClientCache

Get-DnsClientGlobalSetting

Get-DnsClientNrptGlobal

Get-DnsClientNrptPolicy

Get-DnsClientNrptRule

Get-DnsClientServerAddress

#Displays your currently shared SMB entries

Get-SmbShare

Get-WmiObject -Class Win32_Share

#Access a Router

$user="admin"

$pass="admin123"

$pair="${user}:${pass}"

$bytes=[System.Text.Encoding]::ASCII.GetBytes($pair)

$base64=[System.Convert]::ToBase64String($bytes)

$basicAuthValue="Basic $base64"

$headers=@{Authorization=$basicAuthValue}

$url='http://192.168.1.1:89/rpSys.html'

$result=(Invoke-WebRequest -Uri $url -Headers $headers)

($result.AllElements | Where tagName -eq “title”).outerText

#Connect to Access Point

$user="admin"

$pass="1234"

$pair="${user}:${pass}"

$bytes=[System.Text.Encoding]::ASCII.GetBytes($pair)

$base64=[System.Convert]::ToBase64String($bytes)

$basicAuthValue="Basic $base64"

$headers=@{Authorization=$basicAuthValue}

$url='http://192.168.1.2/index.asp'

$result=(Invoke-WebRequest -Uri $url -Headers $headers)

($result.AllElements | Where tagName -eq “title”).outerText

Users

#List your current user 
[System.Security.Principal.WindowsIdentity]::GetCurrent() 
([System.Security.Principal.WindowsIdentity]::GetCurrent()).name

#Remote user
Get-WmiObject win32_computersystem -property username -ComputerName RemoteComputer

#List local users
$adsi = [ADSI]"WinNT://$env:COMPUTERNAME"
$adsi.Children | Where-Object {$_.SchemaClassName -eq 'user'} | Select-Object Name

#List local groups
$adsi = [ADSI]"WinNT://$env:COMPUTERNAME"
$adsi.Children | Where-Object {$_.SchemaClassName -eq 'group'} | Select-Object name

#Information about user accounts
Get-WmiObject -Class Win32_UserAccount
Get-WmiObject -Class Win32_Account

#Information about group accounts
Get-WmiObject -Class Win32_Group

#List your current user

[System.Security.Principal.WindowsIdentity]::GetCurrent()

([System.Security.Principal.WindowsIdentity]::GetCurrent()).name

#Remote user

Get-WmiObject win32_computersystem -property username -ComputerName RemoteComputer

#List local users

$adsi = [ADSI]"WinNT://$env:COMPUTERNAME"

$adsi.Children | Where-Object {$_.SchemaClassName -eq 'user'} | Select-Object Name

#List local groups

$adsi = [ADSI]"WinNT://$env:COMPUTERNAME"

$adsi.Children | Where-Object {$_.SchemaClassName -eq 'group'} | Select-Object name

#Information about user accounts

Get-WmiObject -Class Win32_UserAccount

Get-WmiObject -Class Win32_Account

#Information about group accounts

Get-WmiObject -Class Win32_Group

Configs

#Services
Get-Service

#Print the contents of the Windows hosts file
Get-Content $env:windir\System32\drivers\etc\hosts

#Services

Get-Service

#Print the contents of the Windows hosts file

Get-Content $env:windir\System32\drivers\etc\hosts

Finding important files

#Gets the items in one or more specified locations
Get-ChildItem

#Recursively searches for files with a “.txt” extension in the C:\temp directory. The contents of any files matching this criteria are then searched for the term “password”
Get-ChildItem c:\temp -Filter *.txt -Recurse | Select-String password

#Searching file “TeamViewer”
Get-ChildItem c:\ -rec -ea SilentlyContinue | ForEach-Object {
Select-String "TeamViewer" -input (Get-ItemProperty -Path $_.PsPath) -AllMatches
}

#Searching IP adresses in text files
Write-Host "IP addresses:`n"
Get-ChildItem C:\Users\ -rec -ea SilentlyContinue | ForEach-Object {
Select-String "\b\d{1,3}\.\d{1,3}\.\d{1,3}\.\d{1,3}\b" -input (Get-ItemProperty -Path $_.PsPath) -AllMatches | ForEach-Object {($_.matches)|Select-Object Value}
}

#Searching BitLocker recovery keys
#Searching content “Clave de recuperación de Cifrado de unidad BitLocker”
Get-ChildItem C:\Users\juan -rec -ea SilentlyContinue | ForEach-Object {
Select-String "Clave de recuperación de Cifrado de unidad BitLocker" -input (Get-ItemProperty -Path $_.PsPath) -AllMatches
}

#Gets the items in one or more specified locations

Get-ChildItem

#Recursively searches for files with a “.txt” extension in the C:\temp directory. The contents of any files matching this criteria are then searched for the term “password”

Get-ChildItem c:\temp -Filter *.txt -Recurse | Select-String password

#Searching file “TeamViewer”

Get-ChildItem c:\ -rec -ea SilentlyContinue | ForEach-Object {

Select-String "TeamViewer" -input (Get-ItemProperty -Path $_.PsPath) -AllMatches

}

#Searching IP adresses in text files

Write-Host "IP addresses:`n"

Get-ChildItem C:\Users\ -rec -ea SilentlyContinue | ForEach-Object {

Select-String "\b\d{1,3}\.\d{1,3}\.\d{1,3}\.\d{1,3}\b" -input (Get-ItemProperty -Path $_.PsPath) -AllMatches | ForEach-Object {($_.matches)|Select-Object Value}

}

#Searching BitLocker recovery keys

#Searching content “Clave de recuperación de Cifrado de unidad BitLocker”

Get-ChildItem C:\Users\juan -rec -ea SilentlyContinue | ForEach-Object {

Select-String "Clave de recuperación de Cifrado de unidad BitLocker" -input (Get-ItemProperty -Path $_.PsPath) -AllMatches

}

Files to pull

#Large file, but contains spill over from RAM, usually lots of good information can be pulled, but should be a last resort due to size 
Get-ChildItem $env:SystemDrive\pagefile.sys

#Prefetch files
Get-ChildItem $env:SystemRoot\Prefetch

#Portion of accessed file list within prefetch file for PowerShell.exe
Get-Content $env:SystemRoot\Prefetch\POWERSHELL_ISE.EXE-85BC6AB4.pf

#File contains the registry settings
Get-ChildItem $env:windir\System32\config -Force

#File contains the registry settings for their individual account
Get-ChildItem $env:USERPROFILE\NTUSER.DAT

#This file contains the mappings of IP addresses to host names
Get-ChildItem $env:windir\System32\drivers\etc\hosts
Get-Content $env:windir\System32\drivers\etc\hosts

#Large file, but contains spill over from RAM, usually lots of good information can be pulled, but should be a last resort due to size

Get-ChildItem $env:SystemDrive\pagefile.sys

#Prefetch files

Get-ChildItem $env:SystemRoot\Prefetch

#Portion of accessed file list within prefetch file for PowerShell.exe

Get-Content $env:SystemRoot\Prefetch\POWERSHELL_ISE.EXE-85BC6AB4.pf

#File contains the registry settings

Get-ChildItem $env:windir\System32\config -Force

#File contains the registry settings for their individual account

Get-ChildItem $env:USERPROFILE\NTUSER.DAT

#This file contains the mappings of IP addresses to host names

Get-ChildItem $env:windir\System32\drivers\etc\hosts

Get-Content $env:windir\System32\drivers\etc\hosts

Remote system access

#Determines whether all elements of the path exist
Test-Path \\192.168.1.56\datos

#Gets the items in one or more specified locations
Get-ChildItem \\192.168.1.56\datos

#Creates a new Server Message Block (SMB) share
New-SmbShare -Name fso -Path F:\power
 
#Creates a new Server Message Block share and add permissions
New-SmbShare -Name fso -Path F:\power –FullAccess administrador -ReadAccess Everyone

#Enable remote desktop
powershell Start-Process powershell_ise -Verb runAs
Set-Location HKLM:\
$RegKey ='HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\'
Set-ItemProperty -Path $RegKey -Name fDenyTSConnections -Value 0

#View installed programs on remote machine
$credencial=Get-Credential
1..254 | %{
('192.168.1.'+$_)
if(Test-Connection ('192.168.1.'+$_) -Quiet)
{
Get-WmiObject -Class Win32_Product -ComputerName ('192.168.1.'+$_) -Credential $credencial
}
}

#Determines whether all elements of the path exist

Test-Path \\192.168.1.56\datos

#Gets the items in one or more specified locations

Get-ChildItem \\192.168.1.56\datos

#Creates a new Server Message Block (SMB) share

New-SmbShare -Name fso -Path F:\power

#Creates a new Server Message Block share and add permissions

New-SmbShare -Name fso -Path F:\power –FullAccess administrador -ReadAccess Everyone

#Enable remote desktop

powershell Start-Process powershell_ise -Verb runAs

Set-Location HKLM:\

$RegKey ='HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\'

Set-ItemProperty -Path $RegKey -Name fDenyTSConnections -Value 0

#View installed programs on remote machine

$credencial=Get-Credential

1..254 | %{

('192.168.1.'+$_)

if(Test-Connection ('192.168.1.'+$_) -Quiet)

{

Get-WmiObject -Class Win32_Product -ComputerName ('192.168.1.'+$_) -Credential $credencial

}

Software

#Gets a list of the app packages that are installed in a user profile
Get-AppxPackage

#Returns a list of all software packages that have been installed by using Package Management
Get-Package

#Gets a list of the app packages that are installed in a user profile

Get-AppxPackage

#Returns a list of all software packages that have been installed by using Package Management

Get-Package

AutoStart directories

Get-ChildItem $env:SystemDrive\'ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp\' -Force

1	Get-ChildItem $env:SystemDrive\'ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp\' -Force

Persistance This section focuses on gaining a foothold to regain,…
Read more →