内网-利用WinRM实现内网无文件落地攻击.pdf

内网安全一直是网络安全领域的一个重点研究方向，尤其是在防止外部攻击者入侵内部网络、提升企业网络防御能力方面。在这样的背景下，利用Windows Remote Management (WinRM)服务实现无文件落地攻击是一种新兴的技术手段，其核心是在不将恶意文件直接存储在目标系统上的情况下，远程执行攻击者指定的命令或程序。 我们来了解WinRM服务。Windows远程管理（WinRM）是一种基于Windows操作系统的服务，它使用WS-Management协议来实现远程系统管理。WS-Management协议是一个基于标准简单对象访问协议（SOAP）的协议，通过HTTP或HTTPS进行传输，因此具有良好的防火墙穿透性。WinRM服务在Windows Server 2008及更高版本中默认自动启动，而在Windows Vista或Windows 7系统中则需要手动启动，并通过winrmquickconfig命令来进行默认配置。 在利用WinRM进行无文件落地攻击时，攻击者通常需要满足一定的前提条件，包括目标系统至少是Windows Server 2008版本，防火墙开放了5985和5986端口以便通信，并且在2012版本之后的Windows中，默认允许远程任意主机管理。 攻击向量包括通过cscript.exe加载winrm.vbs脚本来执行命令，以及直接通过WinRM服务执行命令。WinRM.vbs是一个内置的Windows脚本，它提供了通过WinRM服务执行远程命令的能力。攻击者可以通过创建一个XML格式的请求文件（如obj.xml），使用cscript.exe调用winrm.vbs并加载该XML文件来远程创建进程。具体的命令格式可能如下： ```shell cscript C:\windows\system32\winrm.vbs invoke Create wmicimv2/Win32_Process -SkipCAcheck -SkipCNcheck -***\obj.xml ``` 在攻击实施过程中，如果目标内网主机无法访问外部网络，攻击者可以使用UNC（统一命名约定）路径加载远程恶意可执行文件，这一技术在Windows 7中似乎行不通，而在Windows 10或Windows Server 2016中，通过SMB（服务器消息块）连接远程加载可执行文件时，则无需文件落地即可执行命令。 此外，攻击者还可以通过cmd命令行执行WinRM服务，因为安装的服务通常都支持命令行操作。在最新的Windows版本中，通过WinRM服务直接使用cmd命令行可以进一步摆脱对winrm.vbs脚本的依赖。例如，通过@{.}替换-file:参数，可以减少对XML文件的依赖。 WinRM服务不仅为系统管理员提供了方便的远程管理能力，也为攻击者提供了可利用的通道。在内网环境中，如果该服务存在配置不当或安全措施不到位，就可能成为攻击者的突破口，造成安全风险。 WinRM服务为网络管理员和攻击者都提供了远程管理系统的手段，它既可以用于合法的远程管理操作，也可能被攻击者利用来进行无文件落地攻击。因此，在实际环境中，应加强对此类服务的安全管理，例如对WinRM服务进行严格的配置，限制远程管理的访问权限，以及定期更新系统和安全补丁，以提高内网的安全性。同时，对于网络安全人员来说，理解和掌握WinRM服务的工作原理和利用方法，对于及时发现和防御类似攻击至关重要。