Skip to content
KitploitKITPLOIT
ИнструментыЭксплойтыБлог
Log in
Отправить
ИнструментыЭксплойтыБлог
Отправить

Инструменты для хакинга, пентеста и кибербезопасности — ваш арсенал защиты!

Kitploit — это каталог инструментов для хакинга, кибербезопасности и пентестинга. Находите последние обновления проектов для поиска уязвимостей, анализа систем, автоматизации тестирования и усиления вашей безопасности.

··Ленты·Контакты·Конфиденциальность·© 2026 Kitploit

Каталог инструментов

Категории

Все категории
Loading categories
veeam-velociraptor — Пакет артефактов Velociraptor уровня proof-of-concept для демонстрации удалённого конвейера криминалистического анализа Veeam. | Kitploit
Инструменты/GitHubGitHub/synacktiv/veeam-velociraptor
Дисковая криминалистикаФорензикаЦифровая криминалистикаРеагирование на Инциденты
GitHubsynacktiv/veeam-velociraptor

veeam-velociraptor

Пакет артефактов Velociraptor уровня proof-of-concept для демонстрации удалённого конвейера криминалистического анализа Veeam.

Репозиторий
1212 лет назадЕщё не проверено

Популярное

Смотреть все →

Откройте для себя самые используемые инструменты нашего сообщества.

Изучить все инструменты

Просмотрите нашу коллекцию инструментов

Смотреть все инструменты →
Поделиться

Артефакты Velociraptor для Veeam Backup & Replication — PoC

Этот репозиторий содержит набор артефактов Velociraptor, служащих доказательством концепции (proof-of-concept) для удалённого конвейера криминалистического анализа Veeam Backup & Replication:

  • artifacts/ содержит определения артефактов
  • tools/ содержит архив qemu-img.zip, который можно использовать с Windows.QEMU.ImgConvert

Более подробную информацию можно найти в соответствующей записи блога: https://www.synacktiv.com/publications/using-veeam-metadata-for-efficient-extraction-of-backup-artefacts-23

Как использовать

  1. Импортируйте Artifact Exchange на сервер Velociraptor, запустив серверный артефакт Server.Import.ArtifactExchange с параметрами по умолчанию. Это сделает доступными две зависимости:

    • Windows.Veeam.RestorePoints.MetadataFiles и
    • Windows.Veeam.RestorePoints.BackupFiles.

  2. Импортируйте следующий пакет, запустив артефакт Server.Import.ArtifactExchange со следующим значением параметра ExchangeURL:

    • https://github.com/synacktiv/veeam-velociraptor/releases/download/v0.1/veeam_velociraptor_v0.1.zip

  3. Измените Exchange.Windows.Veeam.ProcessDiskImage, чтобы выбрать, какие артефакты запускать для каждого извлечённого образа диска. VQL-запросы должны соответствовать следующему формату:

    SELECT HostName, VMName, CreationTimeUTC, BackupFilePath, 'FULL_ARTIFACT_NAME' AS ArtifactName, *
  FROM Artifact.FULL_ARTIFACT_NAME( ARTIFACT_PARAMETERS )

  4. Запустите Exchange.Windows.Veeam.RestorePoints.MetadataFiles или Exchange.Windows.Veeam.RestorePoints.BackupFiles (намного медленнее!), чтобы вывести список доступных точек восстановления (Restore Points).

  5. Используя предложение WHERE в Notebook, фильтруйте результаты, пока не найдёте предложение WHERE, которое возвращает только те точки восстановления, которые вы хотите обработать на следующих шагах.

  6. Запустите Exchange.Windows.Veeam.ProcessBackups, указав в параметре Filter фильтр, который хотите применить (без ключевого слова WHERE). Будьте осторожны с путём, выбранным для TemporaryFolderPath — эта папка будет содержать сотни гигабайт (если не терабайты) извлечённых данных резервных копий во время обработки образов. Рекомендуется использовать выделенный диск для хранения этих данных.

Отказ от ответственности

Содержимое этого репозитория не готово к производственному использованию и должно рассматриваться только как доказательство концепции для конкретного рабочего процесса Velociraptor. По этой причине следующие артефакты не были отправлены в Velociraptor Artifact Exchange.

Артефакты в этом репозитории записывают гигабайты (потенциально терабайты) данных (извлечённых из резервных копий Veeam) в папку, указанную в параметре TemporaryFolderPath артефакта Exchange.Windows.Veeam.ProcessBackups. По завершении обработки ранее записанные файлы будут удалены с минимальной проверкой.

Поскольку эти артефакты были протестированы на очень ограниченном наборе данных, мы рекомендуем использовать их только в тестовой среде. Synacktiv не несёт ответственности за любой ущерб, возникший при использовании этих артефактов.

Скачать инструмент