WinRM 远程管理端口风险（5985/5986）

WinRM 是 Windows 远程管理通道：5985 为 HTTP、5986 为 HTTPS；开启后若配合弱凭据或暴露大网段，可能成为远程命令执行入口。

加固要点

1. 默认关闭，仅在需要远程管理的机器上启用
2. 使用 5986（HTTPS）并绑定证书
3. 禁用 Basic 认证，使用 Kerberos/Negotiate
4. 凭据使用受限管理账号，配合 JEA 限制命令范围
5. 来源限制到管理网段

winrm enumerate winrm/config/listener
winrm get winrm/config/client/auth
# 检查监听地址、端口与认证方式配置

渗透测试中 WinRM 常被用于凭据验证后的横向移动：管理端口收敛与凭据分级同样重要。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌