winrm-pentesting

用途：面向 5985/5986 端口的 WinRM 渗透测试方法论，用于服务发现、凭据测试、远程命令执行、横向移动与漏洞排查。

主要能力与流程：

1. 服务发现：用 Test-WSMan <target-ip>、nmap -sV -p 5985,5986 <IP> 或 nxc winrm <IP> 确认 WinRM 可用；5985 为 HTTP，5986 为 HTTPS，HTTP 暴露时 NTLM Relay 攻击面更大。
2. 凭据测试：明文密码、NTLM 哈希、Kerberos 票据、AD CS 证书分别对应不同认证方式，可用 crackmapexec winrm 或 evil-winrm 验证，例如 crackmapexec winrm <IP> -d <Domain> -u <username> -p <password>、evil-winrm -i <IP> -u <user> -H <hash>、evil-winrm -i <IP> -u <user> -k --spn HTTP/<IP>、evil-winrm -i <IP> --cert-pem cert.pem --key-pem key.pem。爆破可能触发账户锁定，需谨慎。
3. 远程执行：PowerShell Remoting 的 Invoke-Command、Enter-PSSession，以及 Evil-WinRM 交互 shell 和 WSMan.Automation COM 对象（可绕过 CLM）。
4. Evil-WinRM 高级功能：文件上传/下载、-s 加载 PowerShell 脚本、-e 加载 .NET 程序集、-L 记录日志。
5. 横向移动：NTLM Relay 到 WinRM（ntlmrelayx.py -t wsman://）、从已控主机 PS-Remoting、WSMan COM 横向移动。
6. 已知漏洞：CVE-2021-38647（OMIGOD，OMI < 1.6.8-1 未认证 RCE）、NTLM Relay 到 WS-MAN（Impacket 0.11+）、WSMan.Automation COM 滥用。

适用场景：授权范围内的 Windows 环境渗透测试与配置审计。

限制：Beacon 等具体命令输出与利用条件随版本和配置变化，资料未给出完整环境验证；未涉及收费或平台信息；仅限合法授权测试。