### 1. SCCM 介绍

SCCM（System Center Configuration Manager）用于部署更新、管理工作站及服务器上的软件，并向各类设备打补丁（如主域控、Exchange 服务器、员工笔记本等）。它是一个面向企业终端管理的软件生态系统，可为客户端托管安装包/软件包并进行大规模安装与配置。

### 2. 识别思路与端口特征

在一条典型的企业网络中，SCCM 服务器通常承担以下角色：

- 作为软件分发与补丁管理中心，通过 HTTP/HTTPS 暴露内容分发点（DP）与管理点（MP）
- 作为 PXE/OSD 部署服务器，向局域网内主机提供 DHCP 辅助/远程启动能力
- 作为合规性与资产管理节点，与域控、SQL Server 等组件协同工作

因此，从攻击面角度看，即便我们不掌握任何有效凭据，只要能在局域网中进行基础网络扫描，就有机会通过端口与指纹信息，较为精准地筛选出疑似 SCCM 服务器目标。

SCCM 相关端口常见特征包括：

- `80/443`：SCCM 管理点、分发点常通过 Web 站点对外提供服务，路径中常出现 `CCM_Client`、`SMS_DP` 等标识
- `445`：与 AD 域、文件共享、远程管理相关，SCCM 服务器通常同时扮演域成员/管理服务器角色
- `1433`：后端 SQL Server 服务端口，存储 SCCM 配置信息与资产数据
- `8530/8531`：WSUS（Windows Server Update Services）常用端口，SCCM 通常与 WSUS 集成进行补丁管理
- `67/68/69/4011`：与 DHCP/TFTP/PXE 启动相关端口，用于系统镜像部署
- `547`：与 IPv6 DHCPv6 相关的服务端口
- `10123`：部分环境中作为自定义代理或管理端口出现（需根据实际环境验证）

### 3. Nmap 扫描命令（发现候选主机）

这一阶段的目标：在尽可能短的时间里，把“看起来像 SCCM/补丁服务器”的主机从一大堆资产里挑出来，形成第一批候选列表。

**步骤 1：以 C 段为单位做 TCP 快速摸底**

```bash
sudo nmap -vv -n -Pn -T4 --min-rate 1000 -sS -sV --version-intensity 0 --open -p 80,443,445,1433,8530,8531,10123 192.168.0.0/24
```

实战中可以按下面的思路来理解和调整这条命令：

- 扫描范围：`192.168.0.0/24` 代表当前掌握的一个 C 段，先在小范围试扫，根据效果再决定是否扩大范围。
- 速度控制：`-T4 --min-rate 1000` 在内网环境下一般是可以接受的，如果丢包明显就把 `--min-rate` 调低一些。
- 扫描方式：`-sS` 用 SYN 扫描，兼顾速度和“动静”，适合日常信息收集；`-Pn` 则保证即使 ICMP 被屏蔽也不会漏扫主机。
- 服务识别：`-sV --version-intensity 0` 做轻量级指纹识别，够用但不过度探测，避免触发太多日志或告警。
- 关注端口：`-p 80,443,445,1433,8530,8531,10123` 只看和 SCCM 及其依赖组件关系密切的端口，减少无意义的全端口扫描。
- 输出过滤：`--open` 只保留开放端口的主机，扫描结束后可以按端口或服务名直接筛选可疑目标。

第一轮扫描完成后，优先关注满足以下条件的主机：

- 同时开放 `80/443` 与 `8530/8531`（常见 SCCM/WSUS 组合）
- 开放 `1433`，结合主机命名、操作系统指纹，疑似承载 SCCM 后端数据库
- 开放 `10123` 或环境中约定的自定义管理端口

将这些主机列入“疑似 SCCM 服务器（TCP）候选清单”。

**步骤 2：补充与部署相关的 UDP 服务探测**

在拿到第一批 TCP 候选后，再对同一地址范围做一次 UDP 探测，补上和 PXE/DHCP/TFTP 相关的信息：

```bash
sudo nmap -vv -n -Pn -T4 --min-rate 1000 -sU -sV --version-intensity 0 --open -p 67,68,69,4011,547 192.168.0.0/24
```

这一步的重点在于：

- 扫描方式：`-sU` 改为 UDP 扫描，目标是发现 DHCP、TFTP、PXE、DHCPv6 等部署相关服务。
- 端口选择：`67,68,69,4011,547` 对应传统 DHCP/TFTP/PXE 以及 DHCPv6 端口，和操作系统部署场景紧密相关。
- 结果关联：如果某台主机既出现在 TCP 候选清单中，又在这些 UDP 端口上有响应，那么它成为“高优先级疑似 SCCM 部署服务器”。

完成这两步后，你应该能得到一份按照“普通候选 / 高优先级候选”分层的主机列表，方便在下一阶段做更加精细的指纹识别和验证。

### 4. 利用 ssl-cert 脚本定位 SCCM（缩小最终目标）

第二阶段的目标：在候选主机中进一步筛选，尽可能用较少的请求确定哪些主机真正与 SCCM 组件关联。

**步骤 3：对开启 HTTPS 的候选主机枚举证书信息**

先从候选列表里挑出开放 `443` 或环境中约定 HTTPS 端口的主机，逐一执行：

```bash
nmap --script ssl-cert  192.168.122.153  -p 443
```

![image.png](https://developer.qcloudimg.com/http-save/yehe-1277458/a1ad252e02c37c5e44e1c23ac5c76599.png)

执行时可以结合下面几点来解读输出：

- 证书颁发给（CN/SAN）中是否包含 `SCCM`、`SMS`、`ConfigMgr`、`WSUS` 等字样
- 证书主题或 OU 是否与“桌面管理”“终端管理”“补丁管理”等部门或角色有关
- 证书是否由内部企业 CA 颁发，且模板或策略命名与配置管理/补丁相关

  ![image.png](https://developer.qcloudimg.com/http-save/yehe-1277458/120763397394bca1a8f55bb948a2f377.png)

如果同一台主机既满足端口特征，又在证书信息中暴露了上述关键字，可以把它标记为“优先验证的 SCCM/WSUS 服务器”。

**步骤 4：结合 Web 站点内容进行交叉验证**

对证书筛选后的主机，可以再通过浏览器或 Nmap 其他 http 脚本（如 `http-title`、`http-headers` 等）查看：

- 站点标题中是否出现 `Configuration Manager`、`Software Center` 等关键词
- URL 路径中是否包含 `CCM_Client`、`SMS_DP`、`SMS_MP` 等常见 SCCM 路径
- 返回头信息或页面内容中是否有 SCCM/WSUS 相关标识

通过端口分布、证书信息和 Web 指纹这三条线索叠加，通常可以在缺乏域凭据的前提下，对哪些主机是真正的 SCCM 服务器、哪些只是普通 Web/数据库服务器形成较为可靠的判断。

### 5. 实战建议

在真实内网渗透或红队评估场景中，建议遵循以下步骤：

1. 在获得基础网络连通性后，优先执行小范围（如单个 VLAN/C 段）的快速端口探测，验证网络质量与资产密度。
2. 根据扫描结果，筛选同时开放 HTTP/HTTPS 与企业常见基础服务端口（如 445、1433、8530/8531）的主机，作为优先分析对象。
3. 对这些主机逐一执行 `ssl-cert`、`http-title`、`http-headers` 等 Nmap 脚本，收集站点标题、证书信息、服务标识等。
4. 将疑似 SCCM 服务器标记入资产清单，为后续尝试匿名访问、弱口令、补丁缺失利用（如老版本 IIS、.NET、SQL Server 漏洞）等提供明确目标。
5. 如具备被动流量采集能力，可将 Nmap 主动探测结果与流量中出现的 SCCM 协议/URL 进行交叉印证，提高识别准确率。

### 6. 防护与加固建议

从防守视角看，理解攻击者如何利用 Nmap 无需认证枚举 SCCM，也有助于改进自身防护策略：

- 网络分区与访问控制：将 SCCM 服务器放置在受控管理网段，通过 ACL 或防火墙限制普通业务网段对其关键端口的访问范围。
- 端口最小化暴露：关闭不必要的服务端口，对 PXE、WSUS 等仅在特定场景使用的服务进行访问来源限制。
- 证书与站点信息收敛：避免在证书 CN/OU/站点标题中暴露明显的 `SCCM`、`ConfigMgr` 等敏感标识，降低指纹识别的便利性。
- 日志与告警：对异常的端口扫描行为（尤其是面向多个端口的批量扫描）设置告警阈值，结合流量与主机日志进行关联分析。
- 补丁与基线：确保 SCCM 自身及其依赖的 IIS、SQL Server、WSUS 等组件保持在受支持且补丁完整的状态，避免被作为突破口。


SCCM（System Center Configuration Manager）用于部署更新、管理工作站及服务器上的软件，并向各类设备打补丁（如主域控、Exchange 服务器、员工笔记本等）。它是一个面向企业终端管理的软件生态系统，可为客户端托管安装包/软件包并进行大规模安装与配置。

AD域攻防权威指南:十五.SCCM枚举之利用 Nmap 无需认证枚举与定位 SCCM 服务器

技术经理

安全

运维

网络与通信

SCCM（System Center Configuration Manager）是企业终端管理工具，用于软件分发、补丁管理及系统部署。通过扫描80/443、8530/8531等端口可识别SCCM服务器，结合SSL证书和Web指纹验证提升准确性。了解SCCM端口特征有助于企业安全加固，限制访问并收敛敏感信息。

数据库

服务器

防火墙

ICMP

DHCP

4核4G3M云服务器 新用户低至38元/年！

腾讯云数据库特惠，新用户首单0.5折起


sqlserver

AI驱动 智领未来

tencentdb-catalog

文章

问答

视频

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

AD域攻防权威指南:十五.SCCM枚举之利用 Nmap 无需认证枚举与定位 SCCM 服务器-腾讯云开发者社区-腾讯云

AD域攻防权威指南:十五.SCCM枚举之利用 Nmap 无需认证枚举与定位 SCCM 服务器

AD域攻防权威指南:十五.SCCM枚举之利用 Nmap 无需认证枚举与定位 SCCM 服务器

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐