netero1010/rdphijack-bofArchivo de objeto Beacon (BOF) de Cobalt Strike que utiliza la API WinStationConnect para realizar secuestro de sesión RDP local/remota.
Archivo de objeto Beacon (BOF) de Cobalt Strike que utiliza la API WinStationConnect para realizar el secuestro de sesiones RDP locales/remotas. Con un token de acceso o ticket de Kerberos válido (por ejemplo, un golden ticket) del propietario de la sesión, podrá secuestrar la sesión de forma remota sin tener que desplegar ningún beacon/herramienta en el servidor de destino.
Para enumerar sesiones local/remotamente, puede usar Quser-BOF.
Usage: bof-rdphijack [your console session id] [target session id to hijack] [password|server] [argument]
Command Description
-------- -----------
password Specifies the password of the user who owns the session to which you want to connect.
server Specifies the remote server that you want to perform RDP hijacking.
Sample usage
--------
Redirect session 2 to session 1 (require SYSTEM privilege):
bof-rdphijack 1 2
Redirect session 2 to session 1 with password of the user who owns the session 2 (require high integrity beacon):
bof-rdphijack 1 2 password P@ssw0rd123
Redirect session 2 to session 1 for a remote server (require token/ticket of the user who owns the session 2):
bof-rdphijack 1 2 server SQL01.lab.internal
make
tscon.exe