RawHive

RawHive は、生の NTFS ボリュームから選択した Windows レジストリ ハイブを直接取得するための Cobalt Strike BOF です。通常のファイル API をスキップし、NTFS メタデータを走査して対象のファイル レコードを見つけ、ディスクから直接バイトをコピーします。

現在、以下を対象としています:

• C:\Windows\System32\config\SAM
• C:\Windows\System32\config\SYSTEM
• C:\Windows\System32\config\SECURITY
• C:\Windows\NTDS\ntds.dit（ホストがドメインコントローラーの場合）

デフォルトでは C: から読み取りますが、別のローカルドライブ文字を指定することもできます。

動作の仕組み

1. 選択したローカルボリューム（例: \\.\C:）を開きます。
2. NTFS ブートセクタを読み取り、$MFT を見つけます。
3. Windows、System32、config、および対象ファイルのディレクトリインデックスを走査します。
4. インデックス検索で見つからない場合は、範囲を制限した MFT スキャンにフォールバックします。
5. 常駐データまたはクラスタランリストから対象ファイルのデータを読み取ります。
6. 回復したバイトを出力ディレクトリに .tmp ファイルとして書き込みます。

要件

• ローカル管理者または SYSTEM として実行されている 64 ビット Beacon。
• ビルドには x86_64-w64-mingw32-gcc と make が必要です。

ビルド

make

これにより以下がビルドされます:

dist/rawhive.x64.o

rawhive.cna は dist/ からオブジェクトを読み込むため、rawhive.c を変更した後は再ビルドしてください。

使い方

rawhive C:\Windows\Temp

C: を明示的に読み取る場合:

rawhive C C:\Windows\Temp

D: を読み取り、出力を C:\Temp に書き込む場合:

rawhive d C:\Temp

ボリュームは C、c、C: のいずれかの形式で指定できます。出力ディレクトリは既に存在している必要があります。

出力

<host>_<timestamp>_sam.tmp
<host>_<timestamp>_system.tmp
<host>_<timestamp>_security.tmp
<host>_<timestamp>_ntds.tmp

ntds.tmp は、選択したボリュームに C:\Windows\NTDS\ntds.dit が存在し、RawHive がそれを読み取れる場合にのみ書き込まれます。

注意事項

• フォールバック MFT スキャンは 500,000 レコードに制限されています。
• ランリストは 128 エクステントに制限されています。ファイルの断片化が進みすぎている場合は、部分的なファイルを完全なものとして扱わずに失敗します。
• パーサーは、安全でないオフセットで続行する代わりに、形式が不正またはサポートされていない NTFS 構造を拒否します。
• ファイルは、期待されるデータサイズ全体が書き込まれた場合にのみ抽出済みとして報告されます。

トラブルシューティング

outdir does not exist

指定したディレクトリがターゲット上に存在しないか、ディレクトリではありません。

open \\.\C: failed

Beacon に十分な権限がないか、raw ボリュームアクセスがブロックされている可能性があります。

not NTFS

選択したボリュームが NTFS ではないようです。

$mft runlist malformed または unsupported NTFS geometry

ボリュームレイアウトがサポートされていないか、損傷しています。

output path too long

より短い出力ディレクトリパスを使用してください。

概念実証