RawHive

RawHive 是一个 Cobalt Strike BOF（Beacon Object File），用于在具备管理员或 SYSTEM 权限的 Windows 目标上，绕过常规文件 API，直接从原始 NTFS 卷中解析元数据并提取关键注册表配置单元（SAM、SYSTEM、SECURITY）及域控数据库（ntds.dit）。其核心能力包括：直接打开物理卷句柄、解析 NTFS 引导扇区与 $MFT、遍历目录索引或回退至受限 MFT 扫描、按 runlist 精确读取非驻留数据，并严格校验文件完整性。适用于红队评估、离线凭证提取、内存/文件系统取证等需规避文件系统监控与防病毒钩子的高权限后渗透场景。