RawHive

RawHive RawHive is a Cobalt Strike BOF for pulling selected Windows registry hives directly from a raw NTFS volume. It skips the normal file APIs, walks NTFS metadata to find the target file records, and copies the bytes straight from disk. It currently looks for: C:\Windows\System32\config\SAM...

mailorder

Mail Order Nalpeiron 授权服务（NLSSRV32.exe）会在某些软件安装过程中被一同安装，用于处理特权的软件授权操作。它与客户端组件（filechck.dll）配合使用，通过邮件槽（mailslot）进行通信（因此得名）。 通过自定义序列化方式向该服务发起调用，其中许多调用涉及对机器所挂载磁盘卷的直接访问。我认为这些调用用于对服务本身及客户端二进制文件进行完整性检查。其中许多调用类型并未限制管理员权限，因此可被用于读取（甚至可能写入）本地驱动器的原始数据。 我不清楚该服务有多普遍。最显著的例子是 Nitro PDF MailOrder.exe c 4096 +...