Репост из: ByTe [ ]f Digital Life
Дампим SAM/SYSTEM через 7-Zip
Знакомая ситуация: вы на машине юзера, нужно достать хеши, но reg save или copy блокируются EDR, файлы заблокированы самой Windows, а антивирус палит известные утилиты.
Но на рабочих станциях часто установлен 7-Zip! И у него есть крутая недокументированная фича - прямое чтение диска (raw disk access).
А можно использовать и для DFIR извлекать MFT и т.д.
Чем проще и банальнее тем лучше : )
Знакомая ситуация: вы на машине юзера, нужно достать хеши, но reg save или copy блокируются EDR, файлы заблокированы самой Windows, а антивирус палит известные утилиты.
Но на рабочих станциях часто установлен 7-Zip! И у него есть крутая недокументированная фича - прямое чтение диска (raw disk access).
А можно использовать и для DFIR извлекать MFT и т.д.
Чем проще и банальнее тем лучше : )