RawHive

RawHive RawHive 是一个 Cobalt Strike BOF，用于直接从原始 NTFS 卷中拉取选定的 Windows 注册表配置单元。它绕过常规文件 API，遍历 NTFS 元数据以找到目标文件记录，然后直接从磁盘复制字节。 目前会查找： C:\Windows\System32\config\SAM C:\Windows\System32\config\SYSTEM C:\Windows\System32\config\SECURITY C:\Windows\NTDS\ntds.dit（如果主机是域控制器） 默认从 C: 读取，但你可以指定其他本地驱动器盘符。 工作原理 ...