Porta 5986 WinRM HTTPS: Certificati, ADCS e Evil-WinRM

Wed, 15 Apr 2026 00:00:00 +0000

La port 5986 TCP è la versione TLS/HTTPS di WinRM sulla porta 5985. Tutto ciò che funziona sulla 5985 — Evil-WinRM, CrackMapExec, Pass-the-Hash, PowerShell Remoting — funziona identicamente sulla 5986, con il traffico cifrato da TLS. La differenza operativa nel penetration testing riguarda l’autenticazione basata su certificato: WinRM HTTPS supporta client certificate authentication, e quando è configurata, non servono password o hash — basta un certificato valido. Questo apre un vettore di attacco specifico: l’abuso di Active Directory Certificate Services (ADCS) per ottenere un certificato che garantisce accesso WinRM come qualsiasi utente del dominio.

ADCS Abuse on Ethical Hacking | Pentest e Sicurezza Informatica | Hackita

Porta 5986 WinRM HTTPS: Certificati, ADCS e Evil-WinRM