一.简介 通常情况下,即使拥有管理员权限,也无法读取域控制器中的C:\Windows\NTDS\ntds.dit文件.使用windows本地卷影拷贝服务,就可以获得该文件的副本. 在活动目录中,所有的数据都保存在ntds.dit中.ntds.dit是一个二进制文件,存储位置为域控制器的%SystemRoot%\ntds\ntds.dit.ntds.dit中包含用户名.散列值.组.GPP.OU等与活动目录相关的信息.它和SAM文件一样,是被操作系统锁定的.在一般情况下系统运维人员会利用卷影拷贝服务…

0x01 前言 通常情况下,即使拥有管理员权限,也无法读取域控制器中的C:\Windows\NTDS\ntds.dit文件.那么什么是ntds.dit呢? ntds.dit文件是一个数据库,用于存储Active Directory数据,包括有关用户对象,组和组成员身份的信息.它包括域中所有用户的密码哈希.通过提取这些哈希值,可以使用诸如Mimikatz之类的工具执行哈希传递攻击,或使用诸如Hashcat之类的工具来破解这些密码.这些密码的提取和破解可以脱机执行,因此将无法检测到.一旦攻击者提取了…

对备份供应商而言,卷影复制服务 (VSS) 使用集中式 API 简化了 Microsoft 服务器解决方案的备份.Microsoft SharePoint Foundation 包括一个参考 VSS 编写器(后文称为"SPF-VSS 编写器"),这一编写器与 Windows VSS 备份框架集成,能使备份应用程序备份和还原 SharePoint Foundation 数据.它支持整个场(包括搜索索引)的灾难性重写场景.恢复时,它能连接数据库并同步网站映射. 系统设计 下图显示系统中的主…

现有环境中有一台Windows Server做过定期备份计划,时间太久未做清理操作,收到磁盘报警邮件后需要及时释放该空间,具体操作步骤如下: 当前备份计划信息如下: 清理步骤如下: 1.以管理身份运行CMD或者Powershell: 2.在命令行模式下输入:diskshadow 进入diskshadow 模式 DiskShadow.exe是一种公开卷影复制服务(VSS)提供的功能的工具.默认情况下,DiskShadow使用类似于DiskRAID或DiskPart的交互式命令解释器.DiskSha…

DiskShadow基本命令: 1.进入DiskShadow命令行: C:\>diskshadow 2.列出所有的卷影副本: DISKSHADOW> list shadows all 3.删除指定ID的卷影副本: DISKSHADOW> delete shadows ID {e9816388-12cb-4a49-9964-c1d24000ca72} 4.删除指定位置最早的一个卷影副本: DISKSHADOW> delete shadows oldest F:\WindowsImag…

0x00 前言 在之前的文章<导出当前域内所有用户hash的技术整理>曾介绍过通过Volume Shadow Copy实现对ntds.dit文件的复制, 可用来导出域内所有用户hash.本文将尝试做系统总结,总结多种不同的方法. 0x01 简介 本文将要介绍以下内容: 多种实现方法 比较优缺点 0x02 通过Volume Shadow Copy获得域控服务器NTDS.dit文件 测试系统: Server 2008 R2 x64 Server 2012 R2 x64 Volume Shadow…

  目录 权限设置 文件夹的NTFS权限 文件的NTFS权限 NTFS权限的应用规则 文件压缩 文件加密 磁盘配额 卷影副本 权限设置的应用 遇到的一个权限问题的小bug 权限问题的实际应用 权限设置 NTFS文章:FAT32和NTFS 在Windows中,NTFS文件系统可以设置文件和目录的权限.存储在 NTFS 分区上的文件和文件夹对用户的访问有安全控制,可以控制用户访问的级别. 当一个用户试图访问一个文件或者文件夹的时候,NTFS 文件系统会检查用户使用的帐户或者账户所属的组是否在此文件或…

在服务中是:Volume Shadow Copy和Microsoft Software Shadow Copy Provider这两项.把它开启.…

本文转自先知社区,原文链接:https://xz.aliyun.com/t/2527#toc-10 原文地址:https://pentestlab.blog/2018/07/04/dumping-domain-password-hashes <h1>在渗透测试的过程中,当我们已经是域管权限时,就可以实现提取所有域内用户的密码哈希以进行离线破解和分析,这是非常常见的一个操作.这些哈希值存储在域控制器(NTDS.DIT​​)中的数据库文件中,并带有一些其他信息,如组中成员身份和用户.</h1…

ntds.dit ntds.dit是主要的AD数据库,存放在C:\Windows\NTDS\NTDS.dit,包括有关域用户,组和组成员身份的信息.它还包括域中所有用户的密码哈希值.为了进一步保护密码哈希值,使用存储在SYSTEM注册表配置单元中的密钥对这些哈希值进行加密 获取方式分为两种: 1.在线获取 2.离线获取 注意: 在域环境中,建议不要直接在线获取hash,特别是域环境比较大的时候,在线获取hash等待时候较长,工具占用资源太多,容易造成域控服务器崩溃. 在线获取 适用于域用户较少的…

书接上回,windows中抓取hash小结(上) 指路链接 https://www.cnblogs.com/lcxblogs/p/13957899.html 继续 0x03 从ntds.dit中抓取 ntds.dit是域控中保存域用户的hash等信息的一个二进制数据文件,用system进行加密,可以算是AD域的心脏,路径见上篇前言 ntds.dit在系统使用的时候是锁定不能复制下载的,所以只能用某种方式进行"提取",比如Volume Shadow Copy(卷影拷贝\快照) 常规思路都…

本文转自:http://bbs.cfanclub.net/thread-391985-1-1.html Win7的服务,手动的一般不用管他,有些自动启动的,但对于有些用户来说是完全没用的,可以考虑禁用.Adaptive Brightness监视氛围光传感器,以检测氛围光的变化并调节显示器的亮度.如果此服务停止或被禁用,显示器亮度将不根据照明条件进行调节.该服务的默认运行方式是手动,如果你没有使用触摸屏一类的智能调节屏幕亮度的设备,该功能就可以放心禁用.Application Experience…

Adaptive Brightness监视氛围光传感器,以检测氛围光的变化并调节显示器的亮度.如果此服务停止或被禁用,显示器亮度将不根据照明条件进行调节.该服务的默认运行方式是手动,如果你没有使用触摸屏一类的智能调节屏幕亮度的设备,该功能就可以放心禁用.—————— Application Experience在应用程序启动时为应用程序处理应用程序兼容性缓存请求.该服务的默认运行方式是自动,建议手动. —————— Application Information使用辅助管理权限便于交互式应用程序…

国内网站讲了许多方法,很多也讲得不清楚.我把我尝试成功的经验跟大家分享. 方法是按照tim的文章操作,链接如下: http://pauldotcom.com/2011/11/safely-dumping-hashes-from-liv.html 一 实验环境:windows server2003,域环境 搭建方法很简单,百度搜搜. 新建一个域用户xiaocai,密码设为 123abcABC 二 win2003下提取文件 1.将vssown.vbs拷到域服务器上,比如拷到域服务器的桌面. 2.以管…

windows 7已经发布有段时间了,相信很多网友都已经换上了传说中非常完美的win7系统.win7不仅继承而且还超越了vista的美观界面,性能优化方面也下足了功力.还拥有强大的win xp兼容性,这使得很多XP用户都愿意将系统升级为windows 7,它在资源利用方面优化也是可圈可点,不像VISTA,让人感觉“缓慢”和“急躁”.本文就来给大家详解下win7的进程和服务,大家可以根据自己的需求关闭服务以提高win7系统运行速度. 不建议关闭或禁用的服务  AppID Service  确定应用…

VSS卷影拷贝服务其实不是一项新技术了,在2003年前后发布的Windows 2003和Windows XP SP1都提供了对VSS的支持.最近几年微软的一线产品对VSS支持的越来越多,包括Exchange,SQL,AD,DPM等等.在Windows 2008中甚至系统的自带的备份工具也换成了VSS版本的.查一查VSS的资料,发现名词不少,snapshot.writer.requestor等等.这几天翻阅了一些资料,仔细阅读了几遍,终于拨云见日,理清了头绪. VSS解决的问题 任何一个新东西和新…

  前文提到Windows系统启动的原理,其中加载各项系统服务是影响系统启动时间的重要因素,之前软媒在Win7之家(http://www.win7china.com/)和Vista之家(http://www.vista123.com/)上都写过类似的服务优化攻略,今天重新整理一下,列入这个开机加速全攻略里面,保持这次开机提速技术上的完整性. 1.了解 Windows 7 服务的基础知识 与Windows XP和Windows 2003才七十多个服务相比,到Windows 7时代,系统已经增加到一…

原文链接地址:http://blog.csdn.net/civilman/article/details/51423972 Adaptive brightness 监视周围的光线状况来调节屏幕明暗,如果该服务被禁用,屏幕亮度将不会自动适应周围光线状况.该服务的默认运行方式是手动,如果你没有使用触摸屏一类的智能调节屏幕亮度的设备,该功能就可以放心禁用. 目标路径:\Windows\system32\svchost.exe -k LocalServiceAndNoImpersonation Appl…

微软发布win8系统之后受到很多电脑爱好者的关注,都想去尝试体验win8操作系统,对电脑系统优化和系统性能提高一直是我们所追求的.而很多用户都会选择第三方软件对系统进行相关优化,其实我们可以手动对电脑服务项和系统高级设置优化,那么也能给win8更好的优化效果,也能让电脑变得更加流畅.下面是系统花园整理的win8系统提高性能技巧. 详情请访问:雨林木风win7旗舰版;http://www.xitonghuayuan.net/ylmf/ 一.服务项优化: 本篇仅列出了可以禁用的服务,未列出的请勿改动…

0x01前言 Nishang是一个PowerShell攻击框架,它是PowerShell攻击脚本和有效载荷的一个集合.Nishang被广泛应用于渗透测试的各个阶段,本文主要介绍如何使用Nishang的各种姿势获取一个shell. 项目地址 :https://github.com/samratashok/nishang 0x02 Powershell交互式Shell 一.基于TCP协议的Powershell交互式Shell Invoke-PowerShellTcp是PowerShell交互式正向连…

1.注册表提取 提取文件,Windows Server 2003或者Win XP 及以前需要提升到system权限,以后只要Administrator权限即可. reg save hklm\sam sam.hive reg save hklm\system system.hive reg save hklm\security secruity.hive 本地获取 #如果要提取明文,请修改注册表 reg add HKLM\SYSTEM\CurrentControlSet\Control\Secur…

根据上一节的内容,我们知道md这个内核模块可以用来做软RAID的管理.同时RAID实现了两个功能:1.提高了磁盘的读写能力:2.对于数据进行了冗余备份: 但是,如果是管理员手动误删的数据,则一样无法找回.同时,如果磁盘不够用了,这时候添加磁盘则是一件比较麻烦的事情:为了解决这两个问题,Linux系统内核提供了dm模块(device mapper)实现LVM功能: LVM--逻辑卷管理 LVM逻辑卷管理,主要功能即为:可以灵活的管理磁盘的大小,单某个逻辑卷不够用,可以将磁盘加大,同时,如果某个逻辑…

一.概述 LVM(Logical Volume Manager)是基于内核的一种逻辑卷管理器,LVM适合于管理大存储设备,并允许用户动态调整文件系统的大小.此外LVM快照功能可以帮助我们快速备份数据. (1)物理卷(PV):物理卷是最底层概念,是LVM的逻辑存储块,物理卷与磁盘分区是逻辑对应的关系.多个LVM物理卷可以合并或者拆分,从而实现容量的扩容和缩减. (2)卷组(VG):卷组是LVM逻辑概念上的磁盘设备,通过将单个或多个物理卷组合后生成卷组. (3)物理长度(PE):物理长度是将物理卷组…

Active Directory中获取域管理员权限的攻击方法         译:by  backlion 0x00 前言 攻击者可以通过多种方式在Active Directory中获得域管理员权限, 这篇文章是为了描述当前使用的一些当前热门的内容, 这里描述的技术“假设违规”,攻击者已经在内部系统上获得权限,并获得域用户认证凭据(又称后渗透利用). 对于大多数企业而言,不幸的事实是,攻击者通常不会花更长时间从普通域用户转到域管理员.受害者的问题是:"这是怎么发生的?".攻击者经常以鱼…

1.vsssown.vbs拷贝域数据库: 1.1上传vssown.vbs文件 上传cscript.exe和vssown.vbs到域服务器上 1.2创建快照 reg query HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters //得到ntds的默认路径:c:\ Windows\NTDS\ntds.dit cd 桌面 cscript //nologo vssown.vbs /start //启用 cscript…

0x00目标: 导出当前域内所有用户的hash 0x01测试环境: 域控:server2008 r2 杀毒软件:已安装* 域控权限:可使用net use远程登陆,不使用3389 0x02测试方法: (1)mimikatz: hash数量:只能抓取登陆过的用户hash,无法抓取所有用户 免杀:需要免杀 (2)pwdump: hash数量:无法抓取所有用户 免杀:需要免杀 (3)vssown.vbs + libesedb + NtdsXtract hash数量:所有用户 免杀:不需要 优点: 获得信…

本文根据嘶吼学习总结出文中几种方式Vshadow包含在window SDK中,由微软签名. Vshadow包括执行脚本和调用支持卷影快照管理的命令的功能,这些功能可能会被滥用于特权级的防御规避,权限持久性和文件提取. 命令执行 vshadow执行命令使用-exec参数该参数可以执行二进制文件(exe)或(.bat / .cmd),-exec不支持命令参数,因此有效执行需要在这些限制的某些中进行包装. vshadow.exe -nw -exec=<\path\to\exe> <system…

  什么是Impacket Impacket是用于处理网络协议的Python类的集合.Impacket专注于提供对数据包的简单编程访问,以及协议实现本身的某些协议(例如SMB1-3和MSRPC).数据包可以从头开始构建,也可以从原始数据中解析,而面向对象的API使处理协议的深层次结构变得简单.该库提供了一组工具,作为在此库找到可以执行的操作的示例. 有关某些工具的说明,请访问:https://www.secureauth.com/labs/open-source-tools/impacket I…

TechNet 库 Windows Server Windows Server 2008 R2 und Windows Server 2008 Windows Server 命令.参考和工具 Command-Line Reference A-Z List Adprep Append Arp Assoc At Atmadm Attrib Auditpol Autochk Autoconv Autofmt Bcdboot Bcdedit Bdehdcfg Bitsadmin Bootcfg Brea…

0x00 简介 Mimikatz 是一款功能强大的轻量级调试神器,通过它你可以提升进程权限注入进程读取进程内存,当然他最大的亮点就是他可以直接从 lsass.exe 进程中获取当前登录系统用户名的密码, lsass是微软Windows系统的安全机制它主要用于本地安全和登陆策略,通常我们在登陆系统时输入密码之后,密码便会储存在 lsass内存中,经过其 wdigest 和 tspkg 两个模块调用后,对其使用可逆的算法进行加密并存储在内存之中, 而 mimikatz 正是通过对lsass逆算获取到…