0x01 前言 通常情况下,即使拥有管理员权限,也无法读取域控制器中的C:\Windows\NTDS\ntds.dit文件.那么什么是ntds.dit呢? ntds.dit文件是一个数据库,用于存储Active Directory数据,包括有关用户对象,组和组成员身份的信息.它包括域中所有用户的密码哈希.通过提取这些哈希值,可以使用诸如Mimikatz之类的工具执行哈希传递攻击,或使用诸如Hashcat之类的工具来破解这些密码.这些密码的提取和破解可以脱机执行,因此将无法检测到.一旦攻击者提取了

一.简介 通常情况下,即使拥有管理员权限,也无法读取域控制器中的C:\Windows\NTDS\ntds.dit文件.使用windows本地卷影拷贝服务,就可以获得该文件的副本. 在活动目录中,所有的数据都保存在ntds.dit中.ntds.dit是一个二进制文件,存储位置为域控制器的%SystemRoot%\ntds\ntds.dit.ntds.dit中包含用户名.散列值.组.GPP.OU等与活动目录相关的信息.它和SAM文件一样,是被操作系统锁定的.在一般情况下系统运维人员会利用卷影拷贝服务

0x00 前言 在之前的文章<导出当前域内所有用户hash的技术整理>曾介绍过通过Volume Shadow Copy实现对ntds.dit文件的复制, 可用来导出域内所有用户hash.本文将尝试做系统总结,总结多种不同的方法. 0x01 简介 本文将要介绍以下内容: 多种实现方法 比较优缺点 0x02 通过Volume Shadow Copy获得域控服务器NTDS.dit文件 测试系统: Server 2008 R2 x64 Server 2012 R2 x64 Volume Shadow

第一,在局域网内,如何管理计算机上的资源,需要一个管理策略. 微软提供了两种:工作组和域.两者区别就是,工作组是自治的,组内的计算机个个都作为独立.对等的自治实体而存在.恩,这也是以太网的设计初衷. 但是,当我们需要额外的管理模型,其实作为一个组织,更可能的是,需要一个公共的中央控制主机,这就是域模型.域模型中,会提供一个域控制器,域控制器上存储了这个域内的所有账户信息,也就是一个账户数据库Active Directory.这也就导致,资源.账户.机器的概念开始分离. 第二,在域管理中,正常的思

设置Active Directory域控制器 正如我们在网络与系统配置专题文章中所提到的那样,我们已将两部服务器设置为对应于内部域“intdomain.com”的Active Directory域控制器.我们借助专用计算机设置了第一个域控制器,并为实现系统冗余而在管理服务器上设置了第二个域控制器. 由于域控制器必须具备既可从Web服务器和命令处理服务器(针对消息队列).又可从两个已实现群集化的数据库服务器接受访问调用的能力,因此,就必须与后端网络.管理网络或以上两者同时建立连接. 在接下来的章节

  什么是Impacket Impacket是用于处理网络协议的Python类的集合.Impacket专注于提供对数据包的简单编程访问,以及协议实现本身的某些协议(例如SMB1-3和MSRPC).数据包可以从头开始构建,也可以从原始数据中解析,而面向对象的API使处理协议的深层次结构变得简单.该库提供了一组工具,作为在此库找到可以执行的操作的示例. 有关某些工具的说明,请访问:https://www.secureauth.com/labs/open-source-tools/impacket I

在Win7 x64位下无压力测试通过. 0 / INTRO========= Quarks PwDump 是一个Win32环境下的系统授权信息导出工具,目前除此之外没有任何一款工具可以导出如此全面的信息,支持这么多的OS版本,且相当稳定. 它目前可以导出 :- Local accounts NT/LM hashes + history 本机NT/LM哈希+历史登录记录– Domain accounts NT/LM hashes + history 域中的NT/LM哈希+历史登录记录– Cache

活动目录数据库包括数据库文件NTDS.dit和日志文件.考虑到最佳性能,在生产环境推荐将日志文件和数据库文件在单独的硬盘驱动器中或RAID中,同时要根据网络的规模,保证磁盘上有充足的剩余空间.由于活动目录数据库是一个自我维护的系统,一般来说不需要日常维护(除备份外).然而有时出现下列情况,可能对其进行管理: 磁盘空间低.当前硬件失败.在全局编辑大量删除或移除后需要恢复物理空间. 活动目录数据库的管理包括移动.压缩(碎片整理)等. 本实验以Windows Server 2008 R2之一活动目录部

Active Directory网域 3.1Windows网络的管理方式 3.1.1工作组模式 工作组由一组用网络连接在一起的计算机组成,他们将计算机内的资源共享给用户访问.工作组网络也被称为“对等式”的网络,因为工作组中每台计算机的地位都是平等的,他们的资源与管理分散在各台计算机上. 工作组结构的网络具有以下特点:在工作组中,每台计算机都把自己的资源信息.用户账户信息与安全信息存放在各自的SAM数据库中.工作组中不一定需要服务器级的计算机.如果企业内的计算机数量不多的话,可以创建工作组来管理网

CVE-2020-1472 Zerologon 漏洞简介 CVE-2020-1472是继MS17010之后一个比较好用的内网提权漏洞,影响Windows Server 2008R 2至Windows Server 2019的多个版本系统,只要攻击者能访问到目标域控井且知道域控计算机名即可利用该漏洞.该漏洞不要求当前计算机在域内,也不要求当前计算机操作系统为windows,该漏洞的稳定利用方式为重置目标域控的密码, 然后利用城控凭证进行Dc sync获取域管权限后修复域控密码,之所以不直接使用坏控

在Windows Server系统中,一些服务必需要构建在域的环境中,这不仅是为了统一验证和资源共享,同时也是为了网络安全.为构建虚拟化测试,我们需要先搭建域环境.之前先来大概了解一下域. 在使用工作组时,计算机是相对独立的,工作组仅是网络中计算机分类的一种方式,在不在一个工作组中,对网络资源的访问影响并不大.工作组好比允许自由进出的免费停车场,加入工作组,好比你可以停在A区,也可以停在B区,如果停在A区,就与A区的其他汽车形成一个松散的组合. 在使用Windows域(Domain)时则不同,域

问题 Step 1   Start the server in Directory Services Restore Mode   Windows Server 2003/2008 Directory Service opens its files in exclusive mode. This means that the files cannot be managed while the server is operating as a domain controller. To perfo

国内网站讲了许多方法,很多也讲得不清楚.我把我尝试成功的经验跟大家分享. 方法是按照tim的文章操作,链接如下: http://pauldotcom.com/2011/11/safely-dumping-hashes-from-liv.html 一 实验环境:windows server2003,域环境 搭建方法很简单,百度搜搜. 新建一个域用户xiaocai,密码设为 123abcABC 二 win2003下提取文件 1.将vssown.vbs拷到域服务器上,比如拷到域服务器的桌面. 2.以管

转自网络资源:http://www.great-one.co.uk/archives/289 版本:win08 : 该方法支持hyper-v 虚拟机 启动报错: A Windows 2008 R2 Domain controller started coming up with with the following error, coincidentally at the same time one of the drives failed in the raid array STOP: c00

Windows Server 2016 的计算机上的 Windows Defender 防病毒自动注册你在某些排除项,由你指定的服务器角色定义. 这些排除项不会显示在Windows 安全中心应用中所示的标准排除项列表. 自定义排除项优先于自动排除项.(*提示:自定义和重复的排除与自动排除不冲突.*) Windows Defender 防病毒使用部署映像服务和管理 (DISM) 工具来确定你的计算机上已安装的角色. 从自动排除项中选择退出 在 Windows Server 2016 中,定义更新生

1.注册表提取 提取文件,Windows Server 2003或者Win XP 及以前需要提升到system权限,以后只要Administrator权限即可. reg save hklm\sam sam.hive reg save hklm\system system.hive reg save hklm\security secruity.hive 本地获取 #如果要提取明文,请修改注册表 reg add HKLM\SYSTEM\CurrentControlSet\Control\Secur

1,验证AD DS域服务:AD DS & AD WS 2,验证“默认容器”及“Domain Controller” 3,验证“Default-First-Site-Name" 4,验证AD数据库: ntds.dit -- AD数据库文件 edb.log -- 默认事务日志,大小为10MB edb.log写满时,被重命名为edbxxxx.log edb.chk -- 跟踪尚未写入AD数据库文件的日志,不正常关机后可知从事务日志文件内的哪个数据开始: edbtmp.log -- 暂存日志 e

基础知识 NTLN和Net-NTLM 1.NTLM(V1/V2)的hash是存放在安全账户管理(SAM)数据库以及域控的NTDS.dit数据库中,获取该Hash值可以直接进行PtH攻击,我博客中前文也有介绍过. 2.Net-NTLM(V1/V2)的hash值是基于用户的NT的hash值经过一定的算法产生的. #NTLM-Hash aad3b435b51404eeaad3b435b51404ee:e19ccf75ee54e06b06a5907af13cef42 前面是LMhash后面是NT的Has

Hash(Key) 获取 工具: Mimikatz 用法: .\mimikatz.exe privilege::debug #查看权限 sekurlsa::logonpasswords #获取hash和明文密码(如果可以的话) sekurlsa::ekeys #获取kerberos加密凭证 Hash(Key)传递 Mimikatz sekurlsa::pth /user:xxxxxxx /domain:xxxxxxx /ntlm:xxxxxxxxxxxx #hash传递 sekurlsa::pt

今天测试某款监控软件时遇到一个比较棘手的问题,这款软件需要在被监控端安装客户端程序.成功在第一个节点安装好客户端后问题出现了,在其他节点安装时报错无法安装.软件报的错误信息无从下手且系统日志也看不出什么问题,令我百思不得其解. 中午吃过饭后我一直在考虑问题所在,测试环境使用了虚拟机.在监控机上安装服务器端后在被监控机上安装客户端,这些客户端虚拟机都使用之前装好的系统克隆的.突然我回想起以前遇到过类似的问题,一个虚拟机克隆出几份,将其中一台升级成DC后其他加入域的时候提示“指定域的名称或安全标识S