一个用于 Veeam Backup and Replication 和 Veeam One 的凭据提取 BOF，由 @MWRCyberSec 的 Stephen Munro 和 Logan Kroeger 编写。该 BOF 需要在 Veeam One 或 Veeam Backup and Replication 服务器的 Admin beacon 中执行，并支持 Cobalt Strike 和 Outflank C2。
tldr;
The BOF uses sqlcmd.exe/psql.exe to extract encrypted credential blobs from the database, grabs the salt from regisry and uses DPAPI to decrypt and print them.
我不是熟练的 C 开发者，因此，如果你担心 beacon 会崩溃，我强烈建议生成第二个 beacon 来运行此 BOF 作为预防措施。我已针对 Veeam One 和 Veeam Backup and Replication（PSQL 和 MSSQL）进行了测试，全部都能正常工作。
本项目的作者和贡献者不对任何非法使用该工具的行为负责。该工具仅供教育和授权安全测试使用。用户有责任确保合法使用。
Dump credentials from Veeam. Supports PSQL and MSSQL!
Use: veeam-dumper [db type] [optional args]
db type (Required): mssql, psql, auto
--dbname (Optional): if blank will try pull from registry.
--exepath (Optional): Path to sqlcmd.exe/psql.exe. If not specified will search $PATH and common locations depending on the DB type
--debug (Optional): Enables debug output
--veeamone (Optional): Run VeeamOne mode
Examples:
veeam-dumper auto
veeam-dumper psql --dbname VeeamBackup2016 --exepath "C:\Program Files\pssql.exe" --debug
veeam-dumper mssql --debug --veeamone
该 BOF 可以完成以下操作：
i686-w64-mingw32-gcc -c cs_veeam_dumper.c -o cs_veeam_dumper.x86.o
x86_64-w64-mingw32-gcc -c cs_veeam_dumper.c -o cs_veeam_dumper.x64.o