WinRM

WinRM은 원격에서 데스크탑 관리를 해야하는 직원, 자동화된 원격 서비스 등을 위해

Microsoft에서 제공하는 서비스입니다.

기본적으로 5985/5986(SSL) 포트를 사용한다고 알려져있으며

원격 데스크탑의 로컬 계정 정보를 알고있다면 쉘을 획득하여 원격 명령이 가능합니다.

Practice

# 원격 서버와의 시간 동기화
w32tm /config /manualpeerlist:"time.windows.com" /syncfromflags:manual /update
w32tm /resync

# PSRemoting을 통한 쉘 연결 명령어 양식
$pass = ConvertTo-SecureString <PASS> -AsPlainText -Force
$cred = New-Object System.Management.Automation.PSCredential (<Domain>\<USER>, $pass)
Enter-PSSession -ComputerName DC01 -Credential $cred

# 실습
PS C:\Windows\system32> $pass = ConvertTo-SecureString "password123!" -AsPlainText -Force
PS C:\Windows\system32> $cred = New-Object System.Management.Automation.PSCredential ("pentesting.wiki\wiki", $pass)
PS C:\Windows\system32> Enter-PSSession -ComputerName DC01 -Credential $cred
[DC01]: PS C:\Users\wiki\Documents> whoami
pentesting\wiki
[DC01]: PS C:\Users\wiki\Documents> hostname
DC01

References

Windows Remote Management | Red Team Notes

Remote Services: Windows Remote Management, Sub-technique T1021.006 - Enterprise | MITRE ATT&CK®

Windows Remote Management - Win32 appsMicrosoftLearn