MSRPC

Définition

MSRPC (Microsoft Remote Procedure Call) est l'implémentation propriétaire par Microsoft du protocole RPC, servant de fondation technique à un très large éventail de services et de fonctionnalités d'administration distante au sein de l'écosystème Windows et Active Directory, incluant notamment MS-RPRN pour le service Spouleur d'impression, MS-EFSRPC pour les opérations EFS, MS-DFSNM pour la gestion DFS, et MS-DRSR pour la réplication d'annuaire. MSRPC repose sur un mécanisme de découverte de service dynamique via l'Endpoint Mapper, exposé par défaut sur le port TCP 135, qui redirige ensuite le client vers le port dynamique effectivement utilisé par le service RPC demandé, une architecture qui complique la simple restriction par port dans les configurations de pare-feu. Cette richesse fonctionnelle explique pourquoi de nombreuses techniques de coercion d'authentification documentées ces dernières années — Printerbug, PetitPotam, DFSCoerce — partagent une même mécanique sous-jacente : l'exploitation d'une méthode RPC légitime acceptant un paramètre de chemin réseau contrôlable par l'appelant, provoquant une authentification non désirée de la machine cible. La restriction de l'exposition RPC aux seuls services strictement nécessaires, ainsi que la limitation des interfaces accessibles anonymement, constituent des axes de durcissement recommandés face à cette surface d'attaque transversale à de nombreux protocoles Windows.