WinRM 的注册端口
IANA 注册给 WinRM 2.0 的端口：启用 WinRM 的 Windows 主机常能在本机看到 47001 处于监听状态，扫描器据此标记「WinRM 暴露」。真正承担远程管理的是 5985（HTTP）与 5986（HTTPS），47001 多为服务自身的注册与兼容用途。
基本信息
| 服务 | WinRM 2.0 |
|---|---|
| 协议 | TCP/HTTP（WS-Management） |
| 默认端口 | 47001（实际管理用 5985/5986） |
| 配置方式 | winrm quickconfig 或组策略 |
| 暴露面 | 仅管理网段，严禁公网 |
典型使用场景
- PowerShell 远程会话与批量命令执行
- 批量配置下发与合规巡检
- 自动化平台纳管 Windows 主机
- 加密场景下改用 5986 并配置证书
- 安全核查：确认远程管理面的暴露范围
Windows 侧核对
Windows 侧核对
winrm enumerate winrm/config/listener
netstat -ano | findstr 47001
Test-WSMan -ComputerName srv01 # 验证远程管理是否可用
# 配置: winrm quickconfig 按需开启监听排障与核对
| 检查项 | 做法 | 异常表现 |
|---|---|---|
| 监听 | netstat -ano | findstr 47001 | 有监听属正常，重点看是否对公网可达 |
| 远程管理 | Test-WSMan 或服务状态 | 失败：服务未起或监听未配置 |
| 加密 | 5986 监听与证书绑定 | 只用 5985：凭据在 HTTP 上传输 |
| 账号权限 | 远程管理用户与权限组 | 使用管理员组账号：口令泄露即主机失守 |
很多主机启用 WinRM 后 47001 处于监听是正常现象。安全评估的重点不是端口是否在听，而是它能否被业务网或公网访问，以及口令策略与账号权限是否合理。
远程管理的两个端口
5985 走 HTTP、5986 走 HTTPS：内网为兼容常只开 5985，跨网段或经不可信网络时应改用 5986 并配置证书。47001 是否需要对调用方开放取决于实现与版本，评估时把它与 5985/5986 同等对待、统一限制来源更稳妥。
使用基本认证时口令以易还原的编码传输，只有在 HTTPS 或 Kerberos 场景下才安全；HTTP 加基本认证等于明文口令，应在组策略层面禁用。
公网开放 5985/47001 且口令策略宽松：PowerShell 远程管理会直接变成攻击者的交互式 shell。
远程管理端口是否真的对外可达，最好用外网视角探测验证一次：本机监听正常并不代表网络策略正确，两个视角的结论经常不一致。