RawHive

RawHive — это BOF для Cobalt Strike, предназначенный для извлечения выбранных кустов реестра Windows напрямую из необработанного тома NTFS. Он обходит обычные файловые API, проходит по метаданным NTFS, находит целевые записи файлов и копирует байты прямо с диска.

В настоящее время он ищет:

• C:\Windows\System32\config\SAM
• C:\Windows\System32\config\SYSTEM
• C:\Windows\System32\config\SECURITY
• C:\Windows\NTDS\ntds.dit, если хост является контроллером домена

По умолчанию он читает с C:, но вы можете указать другую локальную букву диска.

Как это работает

1. Открывает выбранный локальный том, например \\.\C:.
2. Читает загрузочный сектор NTFS и находит $MFT.
3. Проходит по индексным каталогам для Windows, System32, config и целевых файлов.
4. Если поиск по индексу не находит что-то, выполняет ограниченное сканирование MFT.
5. Читает данные целевого файла из резидентных данных или списков кластеров.
6. Записывает восстановленные байты в выходной каталог как файлы .tmp.

Требования

• 64-разрядный Beacon, запущенный от имени локального администратора или SYSTEM.
• x86_64-w64-mingw32-gcc и make для сборки.

Сборка

make

Это собирает:

dist/rawhive.x64.o

rawhive.cna загружает объектный файл из dist/, поэтому пересобирайте после изменения rawhive.c.

Использование

rawhive C:\Windows\Temp

Явно указать диск C::

rawhive C C:\Windows\Temp

Прочитать диск D: и записать вывод в C:\Temp:

rawhive d C:\Temp

Том можно указать как C, c или C:. Выходной каталог должен уже существовать.

Вывод

<host>_<timestamp>_sam.tmp
<host>_<timestamp>_system.tmp
<host>_<timestamp>_security.tmp
<host>_<timestamp>_ntds.tmp

ntds.tmp записывается только если на выбранном томе существует C:\Windows\NTDS\ntds.dit и RawHive может его прочитать.

Примечания

• Запасное сканирование MFT ограничено 500 000 записей.
• Списки кластеров ограничены 128 экстентами. Если файл слишком фрагментирован, операция завершается ошибкой, а не выдает частичный файл.
• Парсер отклоняет некорректные или неподдерживаемые структуры NTFS вместо того, чтобы продолжать с небезопасными смещениями.
• Файл считается извлеченным только после записи полного ожидаемого размера данных.

Устранение неполадок

outdir does not exist

Переданный каталог отсутствует на целевой системе или не является каталогом.

open \\.\C: failed

У Beacon, вероятно, недостаточно привилегий, или доступ к необработанному тому заблокирован.

not NTFS

Выбранный том, по-видимому, не является NTFS.

$mft runlist malformed или unsupported NTFS geometry

Структура тома не поддерживается или повреждена.

output path too long

Используйте более короткий путь к выходному каталогу.

Proof of concept