Windows register (kennis opdoen)

[Rick13]

Vraagje. Om kennis op te doen.
Je kan het Windows register back-uppen via regedit>bestand>exporteren.
Maar je kan ook een nieuwe restore point maken via system restore (maakt ook een back-up van het Windows register, niet van persoonlijke documenten e.t.c.
Maakt het uit welke je gebruikt van de twee als je met het register gaat klooien?
En zo ja, waarom.
Ik gebruik nu altijd de export functie.

Tweede vraag; Is de sam file ((Security Account Manager) de interessante onderdeel voor een hacker binnen het register?

 

[Black Tiger]

Je kunt ook Registry Backup gebruiken, is op Bleeping Computer te krijgen.

Register exporteren maakt alleen een backup van het register.
Systeem herstelpunt maakt meer dan alleen een backup van het register, dus groter.

Als je een goede register backup hebt, dan kun je rustig gaan klooien. Alleen niet het register stuk maken want je moet er wel nog in kunnen om het te kunnen herstellen.
Dus ik weet niet hoeveel je er in wilt gaan proberen, maar het is dan toch handig wel een fatsoenlijke backup te hebben van tevoren.

Dus dat is ook het waarom. Systeemherstel punt is groter en duurt langer om terug te zetten. Maar als je het register stuk maakt zodat je het niet meer kunt openen dan kan een herstelpunt wel weer de oplossing zijn.
Dat kapot maken "beneath repair" van het register zodat je er niet meer in kunt gebeurt hoogst zelden omdat je ook wel een beetje weet wat je doet.

De SAM is zeer zeker interessant want die kunnen ze dan weer decrypten. Maar er zijn nog andere opties.
Leuk leesvoer:

Three ways hackers can escalate their privileges in Windows

Our red team have walked through three ways hackers escalate their Windows privileges, with detailed steps and screenshots.

outpost24.com

 

[Najsnarf]

Behalve een systeem back-up af en toe je ssd klonen kan ook geen kwaad. Heeft mij een aantal keren uit de brand geholpen.

 

[abbs]

Hoi Rick,

Zelf zou ik nooit in het register van mijn "hoofd pc" klooien, maak een VM.
Daarin zou je helemaal los kunnen gaan, gebruik dan de snapshote functie
waardoor je na een herstart van de VM weer terug bent naar voor de veranderingen.

 

[Rick13]

Hoi Abbs,

Helemaal mee eens hoor, was ook mijn gedachte al
Vind het te veel risico om dit op mijn hoofd pc te doen. Je kan Windows dan letterlijk slopen.
Je kan dan nog met de restore functie de restore point terugzetten (als je mazzel hebt)
Ja, de snapshote functie is vrij handig (dan kan je altijd terug naar een werkende OS)
Ook een mooi moment om is met Hyper-V te spelen.

 

[Rick13]

@Black Tiger Leuk artikel, van de week is op mijn gemakje doorlezen.