netero1010/rdphijack-bofWinStationConnect API를 사용하여 로컬/원격 RDP 세션 하이재킹을 수행하는 Cobalt Strike Beacon Object File (BOF).
WinStationConnect API를 사용하여 로컬/원격 RDP 세션 하이재킹을 수행하는 Cobalt Strike Beacon Object File (BOF)입니다. 세션 소유자의 유효한 액세스 토큰/커버로스 티켓(예: 골든 티켓)을 사용하면 대상 서버에 비콘이나 도구를 설치하지 않고도 원격으로 세션을 하이재킹할 수 있습니다.
로컬/원격으로 세션을 열거하려면 Quser-BOF를 사용할 수 있습니다.
Usage: bof-rdphijack [your console session id] [target session id to hijack] [password|server] [argument]
Command Description
-------- -----------
password Specifies the password of the user who owns the session to which you want to connect.
server Specifies the remote server that you want to perform RDP hijacking.
Sample usage
--------
Redirect session 2 to session 1 (require SYSTEM privilege):
bof-rdphijack 1 2
Redirect session 2 to session 1 with password of the user who owns the session 2 (require high integrity beacon):
bof-rdphijack 1 2 password P@ssw0rd123
Redirect session 2 to session 1 for a remote server (require token/ticket of the user who owns the session 2):
bof-rdphijack 1 2 server SQL01.lab.internal
make
tscon.exe