Evil-WinRM on Ethical Hacking | Pentest e Sicurezza Informatica | Hackita

Porta 5986 WinRM HTTPS: Certificati, ADCS e Evil-WinRM

Wed, 15 Apr 2026 00:00:00 +0000

La port 5986 TCP è la versione TLS/HTTPS di WinRM sulla porta 5985. Tutto ciò che funziona sulla 5985 — Evil-WinRM, CrackMapExec, Pass-the-Hash, PowerShell Remoting — funziona identicamente sulla 5986, con il traffico cifrato da TLS. La differenza operativa nel penetration testing riguarda l’autenticazione basata su certificato: WinRM HTTPS supporta client certificate authentication, e quando è configurata, non servono password o hash — basta un certificato valido. Questo apre un vettore di attacco specifico: l’abuso di Active Directory Certificate Services (ADCS) per ottenere un certificato che garantisce accesso WinRM come qualsiasi utente del dominio.

Porta 5985 WinRM: Evil-WinRM, Pass-the-Hash e PowerShell Remoting

Wed, 11 Mar 2026 00:00:00 +0000

WinRM (Windows Remote Management) è l’implementazione Microsoft del protocollo WS-Management per l’amministrazione remota. Ascolta sulla porta 5985 TCP (HTTP) e sulla porta 5986 (HTTPS). Nel penetration testing di ambienti Active Directory, WinRM è spesso la porta più importante dopo SMB: permette l’esecuzione remota di comandi PowerShell, supporta Pass-the-Hash per autenticazione senza password in chiaro e, a differenza di RDP, è una shell non interattiva che non disturba l’utente connesso al desktop — perfetta per operazioni stealth. Evil-WinRM, lo strumento più usato per accedere a WinRM, è diventato uno standard de facto nella metodologia OSCP e nei red team engagement.