?

Oct 27 2015

NTDS.dit密碼快速提取工具

首頁 » 神器下載 » NTDS.dit密碼快速提取工具   

NTDSDump相關

受不了NTDSXTract的龜速,于是用quarkspwdump改了個能讀取system.hiv的離線版提取工具,順便修復了個坑爹的BUG。

ntds.dit其實就是個esent數據庫,微軟本身就有一系列的文檔化api能夠操作這個數據庫,其鏈接是:https://msdn.microsoft.com/en-us/library/windows/desktop/gg294074.aspx

既然是windows api,那么效率自然不用提了:本地測試300M的ntds.dit,內含近萬條HASH。

用512M內存的ubuntu虛擬機跑了將近一個小時,而在相同配置的2003虛擬機上此工具僅用了5秒鐘就處理完畢,相差可謂天上地下。windows的東西么,還是交給windows自己的好。

附件內NTDSDump.exe是導出工具,其命令行如下:

ntdsdump.exe <-f ntds.dit> <-k HEX-SYS-KEY | -s system.hiv> [-o out.txt] [-h] [-t JOHN|LC]
-f    ntds.dit路徑
-k   可選的十六進制格式的SYSKEY
-s    可選的system.hiv路徑
-h   導出歷史密碼記錄
-t    導出格式,LC或JOHN
-o   導出到指定文件中

 

SYSKEY實際上就是HKLM\SYSTEM\CurrentControlSet\Control\Lsa下面幾個子項的類型信息,可以用RegQueryInfoKey查詢出來。

附件里面提供了兩個導出工具,getsyskey_c.exe由vc6編譯,其源碼為getsyskey.cpp,用vc6直接打開編譯即可。

getsyskey_cs.exe由.net2.0編譯,源碼為getsyskey.cs,用csc直接編譯即可。

已知錯誤:

        JetAttachDatabase() failed
原因:數據庫需要修復,執行esentutl /p /o ntds.dit進行修復。

附一張真實數據的測試圖:
ntds

 

下載地址:

 下載點這里 ntdsdump

另:改完之后又看了看quarkspwdump的github,發現有人提交了個pull request:https://github.com/quarkslab/quarkspwdump/pull/3

其添加了一個加載system.hiv的功能,調用了RegLoadKey。而這個API必須要過UAC才行,所以用起來還是挺別扭的,不如這個直接讀取文件進行處理來得痛快。

安全脈搏姿勢

在2008+域控上使用 ntdsutil snapshot mount導出ntds.dit, SAM以及System ,

ntdsutil
snapshot
activate instance ntds
create
mount {GUID}
copy c:\MOUNT_POINT\WINDOWS\NTDS\NTDS.dit c:\NTDS_saved.dit
unmount {GUID}
quit
quit

然后就是各種copy了

在域控上使用 QuarksPwDump.exe 導出絕大部分明文:

QuarksPwDump.exe --dump-hash-domain --output SecPulseHash.txt --ntds-file c:\ntds.dit

下載回本地再用QuarksPwDump似乎就不行,主要因為本地無法指定SYSTEM文件導致獲取不到key

附Quarks PWDump使用參數:

quarks-pwdump.exe <options>
	Options : 
	-dhl  --dump-hash-local
	-dhdc --dump-hash-domain-cached
	-dhd  --dump-hash-domain (NTDS_FILE must be specified)
	-db   --dump-bitlocker (NTDS_FILE must be specified)
	-nt   --ntds-file FILE
	-hist --with-history (optional)
	-t    --output-type JOHN/LC (optional, if no=>JOHN)
	-o    --output FILE (optional, if no=>stdout)
	Example: quarks-pwdump.exe --dump-hash-domain --with-history

 

當然也可以把ntds.dit, SAM以及System下載回來(很多大內網 ntds就好幾G,下載回來不太科學)用某工具解密 不過感覺有點龐大,現在我們可以使用NTDSDump.exe

NTDSDump.exe -f ntds.dit -s SYSTEM -o SecPulseHash.txt
正文部分到此結束

文章標簽:這篇文章木有標簽

版權聲明:若無特殊注明,本文皆為( mOon )原創,轉載請保留文章出處。

也許喜歡: «webshell檢測-日志分析 | 基于psexec的域滲透測試工具—Smbexec v2.0»

這篇文章還沒有收到評論,趕緊來搶沙發吧~

?
?
河北11选5开奖