从域控制器中提取Active Directory数据库(NTDS.DIT)

目录

讲在前面：

本地安全机构子系统服务（LSASS）

场景思考

注意

ntds.dit介绍：https://blog.youkuaiyun.com/qq_41874930/article/details/108141331

部分方法如下：

使用NTDSUtil的Create IFM在DC上本地捕获ntds.dit文件

使用VSS卷影副本远程拉ntds.dit

使用PowerSploit的Invoke-NinjaCopy远程拉ntds.dit（需要在目标DC上启用PowerShell远程处理）

注意：

使用Mimikatz在本地转储Active Directory凭据（在DC上）

使用Invoke-Mimikatz在本地转储Active Directory凭据（在DC上）

使用Invoke-Mimikatz远程转储Active Directory凭据

使用Mimikatz的DCSync远程转储Active Directory凭据

Impacket的secretsdump.py-读取NTDS.dit内Hash

---

讲在前面：

从Active Directory中转储凭据的主要技术包括实时与DC上的LSASS交互，获取AD数据文件的副本（ntds.dit）或欺骗域控制器向攻击者复制密码数据（欺骗域控制器我是域控制器）
此处介绍的方法需要提升权限后才可进行，因为它们涉及连接到域控制器以转储凭据。

本地安全机构子系统服务（LSASS）

是Microsoft Windows操作系统中的一个进程，负责在系统上实施安全策略。它验证登录到Windows计算机或服务器的用户，处理密码更改并创建访问令牌。它还写入Windows安全日志。强制终止lsass.exe将导致系统失去对任何帐户（包括NT AUTHORITY）的访问权限，从而提示重新启动计算机

场景思考

用户登录后，将生成各种凭据并将其存储在内存中的本地安全授权子系统服务LSASS进程中。这旨在促进单点登录（SSO），确保每次请求资源访问时都不会提示用户。凭据数据可能包括Kerberos票证，NTLM密码哈希，LM密码哈希（如果密码小于15个字符，取决于Windows OS版本和补丁程序级别），甚至是明文密码（以支持WDigest和SSP身份验证等）。尽管可以阻止Windows计算机在本地计算机SAM数据库（和AD数据库）中创建LM哈希，但这并不能阻止系统在内存中生成LM哈希。默认情况下，除非明确启用，否则Windows Server 2008和Windows Vista将不再为用户生成LM哈希。从Windows 8.1和Windows Server 2012 R2开始，LM哈希和“明文”密码不再存储在内存中。kb2871997中也将此功能“反向移植”到了Windows的早期版本（Windows 7/8 / 2008R2 / 2012），所以需要防止将“明文”密码放置在LSASS中。

注意

对于攻击者而言，很少希望直接在目标系统上运行代码，目前的攻击手法都可以实现不在DC上执行代码就达到获取AD所有账户密码的功能。包括针对远程系统远程运行Mimikatz以转储凭据，通过PowerShell Remoting远程使用Invoke-Mimikatz和DCSync等

ntds.dit文件位置: C:\Windows\NTDS\NTDS.dit
system文件位置:C:\Windows\System32\config\SYSTEM
sam文件位置:C:\Windows\System32\config\SAM

ntds.dit介绍：https://blog.youkuaiyun.com/qq_41874930/article/details/108141331

部分方法如下：

环境：

• DC:Windows2016
• DC:Windows2008
• 客户机：Win7

注：此处因其介绍的如下方法本身都需要提权后才可进行操作，故笔者部分操作直接在域控上进行操作，望见谅。