windows端口监听工具_红蓝对抗 | Windows利用WinRM实现端口复用打造隐蔽后门

目录

WinRM端口复用原理

端口复用配置

新增80端口监听

修改WinRM默认监听的端口

远程连接WinRM

WinRM端口复用原理

该端口复用的原理是使用Windows的远程管理服务WinRM，结合 HTTP.sys 驱动自带的端口复用功能，一起实现正向的端口复用后门。

关于WinRM服务，传送门：WinRM远程管理工具的使用 

而HTTP.sys驱动是IIS的主要组成部分，主要负责HTTP协议相关的处理，它有一个重要的功能叫Port Sharing(端口共享)。所有基于HTTP.sys驱动的HTTP应用都可以共享同一个端口，只需要各自注册的URL前缀不一样。而WinRM就是在HTTP.sys上注册了 wsman 的URL前缀，默认监听 5985端口。因此，在安装了IIS的Windows服务器上，开启WinRM服务后修改默认监听端口为80或新增一个80端口的监听即可实现端口复用，通过Web端口登录Windows服务器。

使用 netsh http  show  servicestate 命令可以查看所