BlueSAM

BlueSAM 是一个针对 Windows 系统的 Cobalt Strike Beacon 对象文件（BOF），利用 BlueHammer 漏洞原理，通过操控 Windows Defender 更新机制与卷影复制服务（VSS）行为，在无文件落地前提下离线提取本地 SAM 数据库副本。项目基于 C 语言开发，依赖 Beacon 内存执行能力，支持在受控目标主机上直接解析注册表 hive 文件以获取哈希凭证。其核心特点是无需管理员权限即可尝试访问 SAM（依赖特定 Defender/VSS 配置），适用于红队渗透测试中的凭证收集与横向移动阶段，尤其适合受限环境下的隐蔽凭证提取场景。