RawHive

RawHive RawHive は、生の NTFS ボリュームから選択した Windows レジストリ ハイブを直接取得するための Cobalt Strike BOF です。通常のファイル API をスキップし、NTFS メタデータを走査して対象のファイル レコードを見つけ、ディスクから直接バイトをコピーします。 現在、以下を対象としています: C:\Windows\System32\config\SAM C:\Windows\System32\config\SYSTEM C:\Windows\System32\config\SECURITY...