WinRM（Windows Remote Management）和WinRS（Windows Remote Shell）是两个不同的远程管理工具，它们有以下区别：

将 Windows 性能监视器的计数器与事件查看器的日志相结合，是监测 Windows Remote Management 服务健康状况、诊断问题和进行性能分析的非常强大和全面的方法。

这种组合允许您：

• 性能监视器：提供量化的、与时间相关的性能数据（如请求频率、队列长度、CPU/内存使用率），让您看到“发生了什么”以及“发生的程度”。

• 事件查看器：提供定性的、描述性的操作日志和错误信息（如身份验证成功/失败、服务启动/停止、配置更改），让您知道“为什么会发生”以及“系统的具体反应”。

下面是如何将两者组合起来，对 WinRM 进行协同监测的详细指南。

---

第一部分：Windows 性能监视器

性能监视器帮助您了解 WinRM 的服务负载、资源消耗和潜在瓶颈。

1. 关键性能对象和计数器

打开 perfmon.msc，添加以下计数器：

a. 核心 WinRM 服务计数器（对象：WinRM Service 和 WinRM Service Listener）

• WinRM Service 对象：

  • Active Requests: 当前正在处理的请求数量。如果这个数值持续很高，表示服务器负载很重。

  • Requests per Second: 每秒处理的请求数。这是衡量服务活跃度的关键指标。

  • Response Time: 平均响应时间（可能不总是可用）。数值过高表示操作缓慢。

  • Total Requests: 自服务启动以来的总请求数。

• WinRM Service Listener 对象：

  • Active Users: 当前通过 WinRM 连接的唯一用户数。

  • Requests per Second (按监听器): 针对特定监听器（如 HTTP/HTTPS）的请求频率。

b. 相关系统资源计数器

WinRM 的性能也依赖于底层系统资源。

• Processor(_Total)\% Processor Time: 高 CPU 使用率可能表明脚本或命令本身消耗大，或者 WinRM 正在处理加密/解密。

• Memory\Available MBytes 和 Process(winrshost)\Working Set: 内存不足会影响 WinRM 操作的稳定性。

• Network Interface(*)\Bytes Total/sec: 监控由 WinRM 活动产生的网络流量。

• LogicalDisk(*)\Avg. Disk sec/Transfer: 如果 WinRM 操作涉及大量磁盘读写，磁盘延迟会影响整体性能。

2. 如何使用性能监视器

1. 运行 perfmon.msc。

2. 展开 “数据收集器集” -> “用户定义”。

3. 右键单击，创建一个新的数据收集器集，包含上述计数器。

4. 设置采样间隔（例如，每 15 秒一次）。

5. 在报告或图表中查看数据，特别是在您怀疑性能下降的时间段。

---

第二部分：Windows 事件查看器

事件查看器记录了 WinRM 服务生命周期的所有关键操作和错误。

1. 关键事件日志通道

打开 eventvwr.msc，关注以下通道：

• Microsoft-Windows-WinRM/Operational (主要通道):

  • 包含详细的操作日志，如请求的接收、处理、用户身份验证、命令执行等。

  • 需要手动启用：默认情况下可能被禁用。右键点击该通道，选择“启用日志”。

• Microsoft-Windows-WinRM/Admin:

  • 包含更高级别的管理事件，如服务启动、停止、监听器创建和配置更改。

• Windows Logs\Security:

  • 记录所有与 WinRM 相关的安全事件，特别是身份验证成功和失败（事件 ID 4624, 4625）。这对于审核和排查访问问题至关重要。

2. 关键事件 ID

 

 

事件 ID	日志通道	描述	意义和操作
141	WinRM/Operational	请求被成功处理。	表示正常的操作流量。
142	WinRM/Operational	响应已发送。	表示正常的操作流量。
169	WinRM/Operational	用户身份验证成功。	审核谁成功连接。
151	WinRM/Operational	WinRM 正在监听指定地址/端口。	服务监听器正常启动。
81	WinRM/Admin	WinRM 服务已启动。	服务生命周期事件。
80	WinRM/Admin	WinRM 监听器已创建。	监听器配置成功。
101	WinRM/Admin	WinRM 服务收到请求但无法读取。	警告，可能表示协议或消息格式错误。
400	WinRM/Admin	WinRM 服务无法完成操作。	错误，需要查看事件描述以确定原因。
4624	Security	登录成功。	确认用户成功通过身份验证。
4625	Security	登录失败。	关键安全事件。原因可能是用户名/密码错误、权限不足、账户被锁定等。

---

第三部分：组合监测与关联分析

这是最关键的一步，将性能数据和事件日志关联起来，形成一个完整的故事。

场景示例 1：诊断性能缓慢和超时

1. 性能监视器信号：您注意到在某个时间段，Active Requests 计数器急剧上升，同时 Response Time 增加，% Processor Time 也达到峰值。

2. 关联事件查看器：

   • 转到事件查看器，在 Microsoft-Windows-WinRM/Operational 日志中，过滤同一时间段。

   • 您可能会看到大量的 事件 ID 169（认证成功），表明有大量并发用户登录。

   • 进一步，您可能会发现 事件 ID 101 或 400，表明某些格式错误的请求正在消耗资源。

3. 结论：系统正在经历高并发 WinRM 请求，导致性能瓶颈。可能的原因包括：调度了密集的自动化任务、有脚本在循环调用 WinRM、或者遭到了低效的扫描。解决方案可能是优化脚本、错峰执行任务，或者增加服务器资源。

场景示例 2：排查连接失败问题

1. 事件查看器信号：用户报告无法通过 PowerShell Remoting 连接。

2. 关联性能监视器：

   • 首先，在 Security 日志中查找 事件 ID 4625（登录失败）。事件描述会明确指出失败原因（例如“未知用户名或错误密码”、“账户被锁定”）。

   • 同时，检查 WinRM/Admin 日志，看服务是否正在运行（事件 ID 81）或有无错误（事件 ID 400）。

3. 结论：如果安全日志中有 4625 事件，问题在于身份验证。如果 WinRM 服务根本没有记录任何接收到请求的日志（如事件 141），则问题可能出在网络连接、防火墙或 WinRM 监听器配置上。

场景示例 3：建立基线并监控异常

1. 建立基线：在系统正常运行期间，运行性能监视器数据收集器集一段时间（例如一天），记录下 Requests per Second、Active Users 和 Response Time 的正常范围。

2. 监控异常：

   • 当性能监视器显示 Requests per Second 远高于基线时，立即去事件查看器查看 WinRM/Operational 日志。

   • 检查这些请求来自哪些用户（事件 ID 169）和源 IP 地址（在事件详细信息中）。

   • 如果这些用户和 IP 不在预期的管理范围内，这可能是一个安全事件（如暴力破解或未经授权的访问）。

最佳实践总结

1. 先启用日志：确保 Microsoft-Windows-WinRM/Operational 日志已被启用。

2. 创建数据收集器集：在性能监视器中创建一个专门用于 WinRM 的数据收集器集，便于长期跟踪和回顾。

3. 使用过滤器：在事件查看器中，为常见的 WinRM 事件 ID（如 169, 142, 400, 4625）创建自定义视图，以便快速访问。

4. 时间同步是关键：确保性能监视器图表和事件查看器日志的时间戳是同步的，这是关联分析的基础。

5. 从事件开始：通常，排查问题时先从描述性的事件查看器入手，找到错误或异常时间点，然后再去性能监视器中查看该时间点的量化性能表现。

通过这种“性能数据 + 操作日志”的组合拳，您可以非常精准地掌握 WinRM 服务的运行状态，快速定位并解决各种复杂问题。

---

针对 WinRS 的监测，我们将同样采用性能监视器与事件查看器组合的方法。WinRS 是 Windows Remote Shell 的简称，它是 WinRM 服务的一个具体组件，用于执行远程命令。

---

第一部分：Windows 性能监视器

由于 WinRS 是 WinRM 服务的一个具体应用，它本身没有独立的性能对象。因此，我们主要通过监测 承载 WinRS 会话的进程 和 底层的 WinRM 服务 来间接监控 WinRS 的活动。

1. 关键性能对象和计数器

打开 perfmon.msc，添加以下计数器：

a. 核心进程计数器（对象：Process）

WinRS 命令通常在 winrshost.exe 进程中执行。

• Process(winrshost)\% Processor Time: 监控 WinRS 主机进程的 CPU 使用率。如果某个远程命令非常消耗 CPU，这里会直接体现。

• Process(winrshost)\Working Set: 监控 WinRS 主机进程的内存占用。内存泄漏或内存密集型命令会在这里显示。

• Process(winrshost)\ID Process: 用于确认你监控的是正确的进程实例（通过 PID）。

• Process(winrshost)\Handle Count: 监控进程打开的句柄数。异常增长可能预示资源泄漏。

注意：如果同时有多个用户执行远程命令，可能会存在多个 winrshost 进程实例。你需要根据 PID 或通过创建特定数据收集器集来捕获所有实例。

b. WinRM 服务计数器（对象：WinRM Service）

由于 WinRS 通过 WinRM 进行通信，WinRM 的负载反映了 WinRS 的活动。

• WinRM Service\Active Requests: 当前正在处理的远程请求总数，包括 WinRS 命令。

• WinRM Service\Requests per Second: 每秒收到的请求数。当频繁执行 WinRS 命令时，这个数值会升高。

c. 相关系统资源计数器

• Processor(_Total)\% Processor Time: 整体 CPU 使用情况。

• Memory\Available MBytes: 可用内存。

• LogicalDisk(*)\Avg. Disk sec/Transfer: 如果 WinRS 命令涉及大量磁盘 I/O（如 dir C:\large_folder），磁盘延迟会显著影响命令完成时间。

---

第二部分：Windows 事件查看器

事件查看器是监控 WinRS 活动的主要信息来源，因为它详细记录了每个远程命令的执行情况。

1. 关键事件日志通道

打开 eventvwr.msc，关注以下通道：

• Microsoft-Windows-WinRS/Operational (核心通道):

  • 这个通道专门记录与 WinRS 相关的操作，但默认是禁用的。你需要右键点击它并选择“启用日志”才能开始收集数据。

  • 它记录了远程 shell 的创建、命令的执行以及 shell 的终止。

• Microsoft-Windows-WinRM/Operational:

  • 虽然主要记录 WinRM 通信，但 WinRS 的会话建立和身份验证也会在这里留下痕迹。

• Windows Logs\Security:

  • 记录登录和注销事件，对于审核谁通过 WinRS 建立了远程会话至关重要。

2. 关键事件 ID

在 Microsoft-Windows-WinRS/Operational 中：

 

 

事件 ID	级别	描述	意义和操作
101	信息	Shell 已启动。	一个新的远程 Shell 会话被创建。查看详细信息中的 ShellId。
102	信息	Shell 已终止。	一个远程 Shell 会话被结束。与事件 101 配对，可以计算会话持续时间。
111	信息	命令已启动。	在 Shell 中开始执行一个命令。详细信息中包含 CommandLine，这是最关键的字段，它记录了实际执行的命令。
112	信息	命令已终止。	命令执行结束。与事件 111 配对，可以计算命令执行时间。
141	信息	命令标准输出已发送。	命令产生了标准输出。可能包含命令返回的数据。
142	信息	命令错误输出已发送。	命令产生了错误输出（stderr）。
143	警告	报告操作失败。	某个 WinRS 操作失败，例如创建 Shell 或执行命令失败。

在 Microsoft-Windows-WinRM/Operational 中：

• 事件 ID 169：用户成功通过身份验证。可以关联到哪个用户启动了 WinRS 会话。

• 事件 ID 33：WS-Management 服务正在处理特定用户的请求。

在 Security 中：

• 事件 ID 4624：登录成功。日志类型为“3”（网络登录），进程名可能为 winrshost.exe。

• 事件 ID 4634/4647：注销成功。表示会话结束。

---

第三部分：组合监测与关联分析

将性能数据和事件日志关联起来，可以构建出完整的 WinRS 活动画像。

场景示例 1：诊断一个执行缓慢的远程命令

1. 用户报告：dir \\server\large_share 这个命令执行得非常慢。

2. 事件查看器分析：

   • 打开 Microsoft-Windows-WinRS/Operational 日志。

   • 过滤 事件 ID 111，在描述中找到对应的 CommandLine 字段，确认命令执行时间。

   • 记下这个命令的 CommandId 和 ShellId，然后查找对应的 事件 ID 112。计算两个事件的时间差，确认命令执行了多长时间。

3. 性能监视器关联：

   • 回到性能监视器，查看在命令执行的时间段内：

     • Process(winrshost)\% Processor Time 是否很高？（命令是否消耗 CPU？）

     • LogicalDisk(*)\Avg. Disk sec/Transfer 是否很高？（是否是磁盘瓶颈？）

     • Network Interface(*)\Bytes Total/sec 是否很高？（是否是网络瓶颈？）

4. 结论：如果发现磁盘延迟很高，而 CPU 和网络正常，那么问题根源很可能是目标服务器或共享文件的磁盘 I/O 性能不足。

场景示例 2：调查可疑的远程执行活动

1. 性能监视器信号：你注意到 WinRM Service\Requests per Second 在深夜异常增高。

2. 事件查看器关联：

   • 立即查看 Microsoft-Windows-WinRS/Operational 日志中对应时间段的事件。

   • 过滤 事件 ID 111，仔细检查 CommandLine 字段。你可能会发现一些异常命令，如 net user ..., powershell -encodedCommand ..., 或可疑的脚本执行路径。

   • 同时查看 事件 ID 101 和 Security 日志中的 事件 ID 4624，确认是哪个用户账户在执行这些命令。

3. 结论：这很可能是一个安全事件，一个非管理员的用户账户在深夜执行了权限提升或横向移动命令。需要立即采取安全措施。

场景示例 3：排查 WinRS 连接失败

1. 用户报告：无法通过 WinRS 执行命令。

2. 排查步骤：

   • 首先检查 Microsoft-Windows-WinRS/Operational 是否有 事件 ID 143（操作失败）。

   • 检查 Microsoft-Windows-WinRM/Operational 是否有错误事件（如 事件 ID 400）。

   • 最后检查 Security 日志中的 事件 ID 4625（登录失败），这通常是权限或密码问题。

最佳实践总结

1. 启用关键日志：务必手动启用 Microsoft-Windows-WinRS/Operational 日志，否则你将看不到任何 WinRS 的具体操作记录。

2. 关注命令详情：事件 ID 111 中的 CommandLine 字段是监控和审计的黄金信息，它告诉你“到底执行了什么”。

3. 进程监控：由于 WinRS 活动体现在 winrshost.exe 进程上，在性能监视器中重点关注这个进程的资源消耗。

4. 会话与命令关联：使用 ShellId 和 CommandId 可以将多个事件关联到同一个会话或命令，便于完整追溯。

5. 安全审计：将 WinRS/Operational 日志与 Security 日志结合，是进行命令行审计和检测横向移动的强大手段。

通过这种组合，你不仅能知道 WinRS 服务是否繁忙，更能精确地知道谁、在什么时候、执行了什么命令，以及这个命令对系统造成了什么影响。

---

PS C:\Users\Administrator> winrs -help

用法
=====
(全部大写的字符 = 必须由用户提供的值。)

winrs [-/SWITCH[:VALUE]] COMMAND

COMMAND - 可以作为 cmd.exe 外壳程序中的命令来执行的任何字符串。

开关
========
(所有开关都接受短形式或长形式。例如 -r 和-remote 都有效。)

 winrs -r[emote]:ENDPOINT      - 使用 NetBIOS 名称或标准连接 URL: [TRANSPORT://]TARGET[:PORT] 的目标终结点。如果未指定该点，
则使用 -r:localhost。

 winrs -un[encrypted]          - 指定不加密到远程外壳程序的消息。这在以下情况下有用: 疑难解答、已使用 IPSec 加密网络通讯，或者强制使用物理安全性。默认情况下，使用 Kerberos 或 NTLM 密钥加密消息。选择 HTTPS 传输时忽略该开关。

 winrs -u[sername]:USERNAME    - 在命令行上指定用户名。如果未指定该用户名，则工具将使用协商身份验证或提示指定名称。
如果指定 -username，则还必须指定 -password。

 winrs -p[assword]:PASSWORD    - 在命令行上指定密码。如果未指定 -password 而指定 -username，则工具将提示指定密码。如果指定 -password，则还必须指定 -user。

 winrs -t[imeout]:SECONDS      - 不推荐使用该选项。

 winrs -d[irectory]:PATH       - 指定远程外壳程序的启动目录。如果未指定，则远程外壳程序将在用户的主目录下启动，该主目录由环境变量 %USERPROFILE% 定义。

 winrs -env[ironment]:STRING=VALUE   - 指定外壳程序启动时要设置的单个环境变量，这允许更改外壳程序的默认环境。必须多次使用该开关来指定多个环境变量。

 winrs -noe[cho]               - 指定应禁用该回显。可能需要此操作来确保不在本地显示用户对远程提示的响应。默认情况下，回显为 "on"。

 winrs -nop[rofile]            - 指定不应加载用户的配置文件。默认情况下，服务器将试图加载用户配置文件。如果远程用户不是目标系统上的本地管理员，则需要使用该选项 (默认设置将导致错误)。

-a[llow]d[elegate]      - 指定可以将用户凭据用于访问远程共享，例如，不是目标终结点所在的计算机上创建的远程共享。

 winrs -comp[ression]          - 启用压缩。远程计算机上的旧安装可能不支持压缩，因此默认情况下处于禁用状态。

 winrs -[use]ssl               - 在使用远程终结点时使用 SSL 连接。指定该传输 "https:" 以外的设置时，将使用默认的 WinRM 默认端口。

 winrs -?- 帮助

若要终止远程命令，用户可以键入 Ctrl-C 或 Ctrl-Break，该键入将被发送到远程外壳程序。第二次 Ctrl-C 将强制终止 winrs.exe。

若要管理活动的远程外壳程序或 WinRS 配置，请使用 WinRM 工具。管理活动的外壳程序的 URI 别名为 shell/cmd。WinRS 配置的 URI 别名为 winrm/config/winrs。键入 "WinRM -?" 可以在 WinRM 工具中找到示例用法。

示例:
winrs -r:https://myserver.com command
winrs -r:myserver.com -usessl command
winrs -r:myserver command
winrs -r:http://127.0.0.1 command
winrs -r:http://169.51.2.101:80 -unencrypted command
winrs -r:https://[::FFFF:129.144.52.38] command
winrs -r:http://[1080:0:0:0:8:800:200C:417A]:80 command
winrs -r:https://myserver.com -t:600 -u:administrator -p:$%fgh7 ipconfig
winrs -r:myserver -env:PATH=^%PATH^%;c:\tools -env:TEMP=d:\temp config.cmd
winrs -r:myserver netdom join myserver /domain:testdomain /userd:johns /passwordd:$%fgh789
winrs -r:myserver -ad -u:administrator -p:$%fgh7 dir \\anotherserver\share

---

WinRM（Windows Remote Management）和WinRS（Windows Remote Shell）是两个不同的远程管理工具，它们有以下区别：

1. 功能：WinRM 是一种用于远程管理和配置 Windows 系统的协议和服务。它提供了基于 SOAP 协议的远程管理功能，可以通过网络连接来执行命令和脚本、访问远程资源以及获取系统信息等。WinRM 主要用于远程 PowerShell 执行和管理。而 WinRS 是一种轻量级的命令行远程管理工具，它允许在远程计算机上执行命令行命令，类似于在本地计算机上使用命令提示符。

2. 应用场景：WinRM 主要用于管理和配置远程 Windows 系统，特别是在大规模和复杂的环境中。它可用于远程管理服务器、集群、云环境等。WinRM 提供了更强大和灵活的远程管理功能，可以执行复杂的 PowerShell 命令和脚本，进行配置管理、监控和故障排除等操作。而 WinRS 更适用于简单的命令行任务，例如执行简单的命令、查看文件或目录等。

3. 通信协议：WinRM 使用基于 SOAP（Simple Object Access Protocol）的远程通信协议，通过 HTTP 或 HTTPS 连接进行通信。这使得 WinRM 可以在不同的网络环境中进行安全的远程管理。而 WinRS 使用基于 RPC（Remote Procedure Call）的远程通信协议，通过 SMB（Server Message Block）协议进行通信。

4. 安全性：WinRM 在通信过程中支持加密和身份验证，可以使用 HTTPS 和 SSL/TLS 协议进行通信，同时还支持基于 Kerberos 和 NTLM 的身份验证。这些功能可以保护远程管理过程中的数据安全和身份认证。而 WinRS 则不支持加密和身份验证，因此在使用时需要谨慎考虑网络安全问题。

5. PowerShell 支持：WinRM 与 PowerShell 强相关联，可通过 WinRM 远程调用 PowerShell 脚本和命令，实现强大的系统管理和配置功能。而 WinRS 不支持 PowerShell，只能使用命令行方式执行简单的命令和脚本。

6. 支持平台：WinRM 只能在 Windows 系统上运行，而 WinRS 可以在 Linux、Unix 和 Windows 等多种操作系统中运行。

7. 配置复杂度：WinRM 的配置相对复杂，需要进行一些设置和配置才能实现远程管理功能。需要确保远程计算机上已启用 WinRM 服务、配置 WinRM 端口和防火墙等，同时还需要设置身份验证和授权策略。而 WinRS 的配置相对简单，只需要在远程计算机上启用远程 Shell 即可。

8. 性能：WinRM 的性能相对较慢，因为它基于 SOAP 协议，在网络传输和数据解析方面存在一定的延迟。而 WinRS 的性能相对较快，因为它基于 RPC 协议，通信效率更高。

9. 可扩展性：WinRM 可以通过编写自定义插件和脚本来扩展其功能，例如添加自定义 PowerShell 模块和命令。而 WinRS 的功能相对简单，无法进行类似的扩展。

---

按功能分类的 WinRM（Windows Remote Management） 的表格，详细列出了它的主要功能及应用场景：

功能类别	功能描述	应用场景
远程命令执行	通过 WinRM 在远程计算机上执行命令。	适用于管理和配置远程系统，如执行脚本、运行程序、查询系统状态等。
远程会话管理	支持通过 PowerShell 或命令行远程进入目标计算机进行交互式会话，支持多个会话同时进行。	适用于多台计算机的集中管理、交互式远程管理任务，执行远程调试或维护。
远程脚本执行	可以远程执行 PowerShell 脚本或批处理文件，支持复杂的自动化任务。	自动化系统配置、补丁安装、日志分析等任务。
远程文件传输	通过 PowerShell 脚本使用 Copy-Item 或 Invoke-Command 传输文件到远程计算机。	适用于在不同计算机之间复制文件、配置文件传输、软件部署等。
远程服务管理	支持启动、停止、重启远程计算机上的服务和进程。	用于远程管理系统服务、启动/停止应用程序，或在没有物理访问的情况下进行服务器管理。
系统配置与管理	可以远程管理操作系统配置，包括防火墙、网络设置、用户权限、组策略等。	在企业环境中进行大规模系统配置、管理多个服务器的安全设置和网络配置等。
事件日志查看	允许远程查看、导出和分析目标计算机上的事件日志。	用于远程排查系统故障、查看错误信息、分析安全事件日志等。
硬件监控与报告	通过远程获取硬件健康状况信息，如硬盘状态、CPU 使用率、内存占用等。	用于数据中心或云环境中进行硬件监控，确保服务器的健康运行。
身份验证与安全性	支持多种身份验证方式（如 Kerberos、证书、用户名/密码等），加密通信，保证数据安全。	企业环境中需要保证身份验证与通信安全的远程管理操作。
跨平台管理	支持在 Windows 计算机之间进行管理，并且通过 Windows Management Framework (WMF) 支持 Linux 系统。	用于混合环境（Windows + Linux）中的远程管理任务，特别是在跨平台自动化管理和系统维护时。
远程执行计划任务	可以远程设置和管理 Windows 任务计划程序，创建定时任务。	在多个机器上部署定时任务（如自动备份、定期清理日志等）。
并行远程管理	支持在多台计算机上并行执行命令和任务（通过 PowerShell Remoting 或批处理）。	在多个服务器上批量执行相同的操作，如更新、部署、脚本执行等。
资源监控与性能分析	可以远程收集系统性能数据，如 CPU、内存、磁盘使用情况，并生成报告。	用于远程监控服务器性能、生成报告并进行优化分析。
Windows Management Instrumentation (WMI) 集成	支持通过 WMI 获取远程计算机的系统信息、配置、性能数据等。	用于详细查询远程系统的信息，管理 Windows 系统，获取硬件、操作系统、进程、服务等信息。
远程桌面管理（RD）	与远程桌面服务（RDS）结合使用，能够通过 PowerShell 启动、停止或配置远程桌面会话。	在远程服务器或桌面环境中进行会话管理，自动化远程桌面会话的创建、关闭等操作。
远程安全设置与补丁管理	支持远程检查和安装操作系统更新、管理补丁安装。	在多个远程计算机上部署操作系统更新、安装安全补丁。

 

WinRM 是一个功能强大的远程管理工具，支持多种管理任务，包括命令执行、系统配置、文件传输、日志分析等。它尤其适用于需要批量远程管理的企业环境。通过结合 PowerShell，WinRM 可以完成从基本命令执行到复杂自动化任务的各种操作。

---

WinRS（Windows Remote Shell） 按功能分类的表格，详细列出了它的主要功能及应用场景：

功能类别	功能描述	应用场景
远程命令执行	通过 WinRS 在远程计算机上执行单一命令或脚本，支持与远程主机建立命令行连接。	适用于需要在远程计算机上执行简单命令的任务，如查询系统信息、运行脚本等。
快速启动远程会话	提供简化的命令行接口来启动远程会话，允许远程执行命令而无需完整的远程桌面连接。	用于快速执行命令，特别是在没有图形界面的环境中，如远程脚本执行、批量命令执行等。
无图形用户界面操作	不需要图形界面，可以在文本界面下执行命令。	适用于远程管理任务，其中不需要图形用户界面，如批处理、日志分析等。
远程控制	允许通过命令行远程执行命令，且不需要在目标机器上安装额外软件。	用于远程控制和管理Windows系统，快速完成管理任务而不需要额外工具。
网络连接和身份验证	支持通过标准的网络连接和身份验证方式（如 Kerberos、NTLM 或凭据）进行安全认证。	在有网络安全需求的环境中，提供身份验证和加密功能，确保安全的远程连接。
命令输出返回	执行命令后，可以将命令的输出结果返回到本地命令行窗口。	用于查看命令执行结果，获取远程系统的反馈，适用于远程诊断和故障排除。
多平台支持	支持在 Windows 计算机之间进行远程命令执行。	适用于 Windows 服务器之间的远程管理，快速运行命令进行系统配置、文件操作等。
命令参数传递	允许在执行远程命令时通过命令行传递参数。	用于执行定制化命令，传递特定参数给远程命令，使得命令执行更加灵活。
简单远程会话管理	提供简洁的远程会话管理，不需要繁琐的设置，适合快速执行临时命令。	快速完成管理任务，如重启服务、清理临时文件等。
批量远程命令执行	支持在多个远程计算机上批量执行相同的命令。	在大规模环境下执行相同命令（如更新、配置、更改设置等）时非常有用。
系统管理与自动化	通过 WinRS 执行批处理文件或 PowerShell 脚本，实现系统管理任务的自动化。	用于自动化系统任务，如日志清理、批量系统配置等。
集成到脚本中使用	支持将 WinRS 命令集成到其他脚本中，以便在自动化任务中使用。	在自动化脚本中集成远程命令执行，例如定时执行的远程任务、批量操作等。

 

WinRS 是一个轻量级的远程命令行工具，设计上简化了远程管理任务，它适用于执行单一命令、批处理任务和自动化脚本，而不需要完整的图形界面。与 WinRM 相比，WinRS 的功能更加专注于命令行操作，适合快速、简便地进行远程命令执行和管理。

---

WinRM（Windows Remote Management）和WinRS（Windows Remote Shell）的区别对比

Windows Remote Management（WinRM）和Windows Remote Shell（WinRS）是 Windows 操作系统中用于远程管理和执行命令的技术。虽然它们都用于远程操作，但它们的使用场景和功能有所不同。下面是这两者的对比：

特性	WinRM（Windows Remote Management）	WinRS（Windows Remote Shell）
定义	WinRM 是 Microsoft 提供的基于 Web 的远程管理协议，用于在 Windows 计算机之间进行远程管理和通讯。	WinRS 是基于 WinRM 的命令行工具，用于通过远程会话执行命令。
协议	基于 WS-Management 协议，支持标准化的 Web 服务通信。	依赖于 WinRM 协议，通过命令行与远程主机交互。
功能	允许远程执行 PowerShell 脚本、管理操作系统、执行远程命令、配置系统服务、查询系统信息等。	仅提供在远程计算机上执行命令的功能，类似于 cmd.exe 的远程执行。
使用方式	作为远程管理的后台服务，通常与 PowerShell 配合使用。	通过命令行界面（CLI）启动，基于 WinRM 执行命令。
适用对象	适用于需要进行全面远程管理的场景，包括自动化管理、配置管理等。	适用于简单的远程命令执行，类似于 SSH 的功能。
安全性	支持 Kerberos、证书和用户名/密码等多种身份验证方式，安全性较高。	依赖于 WinRM 的安全设置，支持 Kerberos、证书等身份验证方式。
跨平台支持	可以通过安装 Windows Management Framework (WMF) 在非 Windows 系统上进行操作（如 Linux）。	主要用于 Windows 环境，跨平台支持较差。
配置	需要配置和启用 WinRM 服务，并在防火墙上开放相关端口（默认 5985 HTTP，5986 HTTPS）。	WinRS 需要依赖于 WinRM 配置，通常作为 WinRM 功能的一部分。
命令行工具	不直接提供命令行工具，通常通过 PowerShell 使用，如 Enter-PSSession 或 Invoke-Command。	提供 winrs 命令行工具，执行远程命令。
可用性	适用于大型、复杂的管理任务，特别是自动化和脚本化任务。	适用于单次的、快速的远程命令执行，不适合大规模自动化。
支持的操作系统	适用于 Windows 7 及更高版本，支持 Windows Server。	适用于 Windows 2003 及更高版本。
远程交互方式	支持交互式会话，可以远程访问 PowerShell、CMD 等环境。	基于命令行，不支持图形化界面或复杂的交互操作。
依赖性	依赖于 .NET Framework 和 WMI 服务。	依赖于 WinRM 配置和服务，通常作为 WinRM 的客户端工具。

 

• WinRM 是一个较为全面的远程管理协议，适合用于 Windows 系统的远程管理、自动化脚本执行、系统配置等复杂任务。
• WinRS 则是一个简化工具，主要用于通过 WinRM 执行远程命令，功能较为简单，通常用于单一命令的远程执行。

如果你需要进行更复杂的远程管理操作，建议使用 WinRM 配合 PowerShell 等工具。而如果只是执行某些简单的远程命令，使用 WinRS 可能会更方便。

---

 WinRM 和 WinRS 是两种不同的远程管理工具，它们在功能、应用场景和通信协议方面存在区别。WinRM 提供了更强大和灵活的远程管理功能，适用于复杂的管理和配置任务；而 WinRS 则更适用于简单的命令行远程执行。

	WinRM	WinRS
功能	WinRM 是一种用于远程管理和配置 Windows 系统的协议和服务。它提供了基于 SOAP 协议的远程管理功能，可以通过网络连接来执行命令和脚本、访问远程资源以及获取系统信息等，WinRM 主要用于远程 PowerShell 执行和管理	WinRS 是一种轻量级的命令行远程管理工具，它允许在远程计算机上执行命令行命令，类似于在本地计算机上使用命令提示符。
应用场景	WinRM 主要用于管理和配置远程 Windows 系统，特别是在大规模和复杂的环境中。它可用于远程管理服务器、集群、云环境等。WinRM 提供了更强大和灵活的远程管理功能，可以执行复杂的 PowerShell 命令和脚本，进行配置管理、监控和故障排除等操作。	WinRS 更适用于简单的命令行任务，例如执行简单的命令、查看文件或目录等。
通信协议	WinRM 使用基于 SOAP（Simple Object Access Protocol）的远程通信协议，通过 HTTP 或 HTTPS 连接进行通信。这使得 WinRM 可以在不同的网络环境中进行安全的远程管理。	WinRS 使用基于 RPC（Remote Procedure Call）的远程通信协议，通过 SMB（Server Message Block）协议进行通信。
安全性	WinRM 在通信过程中支持加密和身份验证，可以使用 HTTPS 和 SSL/TLS 协议进行通信，同时还支持基于 Kerberos 和 NTLM 的身份验证。这些功能可以保护远程管理过程中的数据安全和身份认证。	WinRS 则不支持加密和身份验证，因此在使用时需要谨慎考虑网络安全问题。
PowerShell 支持	WinRM 与 PowerShell 强相关联，可通过 WinRM 远程调用 PowerShell 脚本和命令，实现强大的系统管理和配置功能。	WinRS 不支持 PowerShell，只能使用命令行方式执行简单的命令和脚本
支持平台	WinRM 只能在 Windows 系统上运行	WinRS 可以在 Linux、Unix 和 Windows 等多种操作系统中运行
配置复杂度	WinRM 的配置相对复杂，需要进行一些设置和配置才能实现远程管理功能。需要确保远程计算机上已启用 WinRM 服务、配置 WinRM 端口和防火墙等，同时还需要设置身份验证和授权策略。	WinRS 的配置相对简单，只需要在远程计算机上启用远程 Shell 即可
性能	WinRM 的性能相对较慢，因为它基于 SOAP 协议，在网络传输和数据解析方面存在一定的延迟	WinRS 的性能相对较快，因为它基于 RPC 协议，通信效率更高
可扩展性	WinRM 可以通过编写自定义插件和脚本来扩展其功能，例如添加自定义 PowerShell 模块和命令	WinRS 的功能相对简单，无法进行类似的扩展