Parola kovanlarının ve AD veritabanının kopyalanması
Parola özetleri, yönetici hakları olan bir saldırganın kopyalayabileceği dosyalarda durur: her makinedeki SAM ve SECURITY registry kovanları ve bir domain controller'daki NTDS.dit. Kopya, belirgin bir saldırı programı çalışmasın diye yerleşik araçlarla alınır: reg save, volume shadow copy ile esentutl, ntdsutil ve shadow copy'yi oluşturmak için vssadmin. Kayıtlarda birkaç makinede altı böyle komut var. Aynı makinelerdeki başka kayıtlar olay loglamasını kapatıyor; bu challenge onları istemiyor. Altı kopyalama komutunu bulun.
İpucu 1
reg.exe birçok nedenle çalışır; kovan kopyası HKLM\SAM, HKLM\SECURITY ya da HKLM\SYSTEM'in bir dosyaya reg save ile alınmasıdır.
İpucu 2
Buradaki diğer araçlar esentutl, ntdsutil ve vssadmin. vssadmin create shadow, esentutl'un sonra okuyacağı shadow copy'yi oluşturur.
Kural bu tarayıcıda çalışır; geri döndüğünüzde bulmanız için burada saklanır.
Olaylar
2.262 olay. Arama yalnızca tabloyu süzer, sonucu etkilemez.