RawHive

RawHive è un BOF di Cobalt Strike per estrarre selezionati alvei del registro di Windows direttamente da un volume NTFS grezzo. Salta le normali API dei file, esamina i metadati NTFS per trovare i record di file di destinazione e copia i byte direttamente dal disco.

Attualmente cerca:

• C:\Windows\System32\config\SAM
• C:\Windows\System32\config\SYSTEM
• C:\Windows\System32\config\SECURITY
• C:\Windows\NTDS\ntds.dit, se l'host è un controller di dominio

Per impostazione predefinita legge da C:, ma puoi puntarlo a un'altra lettera di unità locale.

Come funziona

1. Apre il volume locale selezionato, ad esempio \\.\C:.
2. Legge il settore di avvio NTFS e trova $MFT.
3. Attraversa gli indici delle directory per Windows, System32, config e i file di destinazione.
4. Torna a una scansione MFT limitata se la ricerca nell'indice non trova qualcosa.
5. Legge i dati del file di destinazione dai dati residenti o dalle runlist dei cluster.
6. Scrive i byte recuperati nella directory di output come file .tmp.

Requisiti

• Beacon a 64 bit in esecuzione come amministratore locale o SYSTEM.
• x86_64-w64-mingw32-gcc e make per la compilazione.

Compilazione

make

Questo compila:

dist/rawhive.x64.o

rawhive.cna carica l'oggetto da dist/, quindi ricompila dopo aver modificato rawhive.c.

Utilizzo

rawhive C:\Windows\Temp

Legge C: esplicitamente:

rawhive C C:\Windows\Temp

Legge D: e scrive l'output in C:\Temp:

rawhive d C:\Temp

Il volume può essere scritto come C, c o C:. La directory di output deve già esistere.

Output

<host>_<timestamp>_sam.tmp
<host>_<timestamp>_system.tmp
<host>_<timestamp>_security.tmp
<host>_<timestamp>_ntds.tmp

ntds.tmp viene scritto solo se C:\Windows\NTDS\ntds.dit esiste sul volume selezionato e RawHive può leggerlo.

Note

• La scansione MFT di fallback è limitata a 500.000 record.
• Le runlist sono limitate a 128 extent. Se un file è troppo frammentato, fallisce invece di fingere che un file parziale sia completo.
• Il parser rifiuta strutture NTFS malformate o non supportate invece di continuare con offset non sicuri.
• Un file viene indicato come estratto solo quando viene scritta l'intera dimensione prevista dei dati.

Risoluzione dei problemi

outdir does not exist

La directory che hai indicato non esiste sul target, oppure non è una directory.

open \\.\C: failed

Il Beacon probabilmente non ha privilegi sufficienti, oppure l'accesso al volume grezzo è bloccato.

not NTFS

Il volume selezionato non sembra essere NTFS.

$mft runlist malformed o unsupported NTFS geometry

Il layout del volume non è supportato o è danneggiato.

output path too long

Usa un percorso di directory di output più breve.

Prova di concetto