[域控安全] Ntds.dit 文件介绍

最新推荐文章于 2025-03-23 06:00:00 发布
最新推荐文章于 2025-03-23 06:00:00 发布
阅读量196 收藏 4
点赞数 7
分类专栏： 网络安全 — 内网安全攻防 文章标签： 安全 网络 内网安全 网络安全 windows
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/m0_73360524/article/details/146318987
版权

🌟想系统化学习内网渗透？看看这个：[内网安全] 内网渗透 - 学习手册-CSDN博客

0x01：Ntds.dit 文件介绍

Ntds.dit 为域控上 AD 的数据库文件，该文件中包含了域用户、域用户组、用户 Hash 等信息。该文件只有登录到域控的用户（如域管用户、DC 本地管理员用户）可以访问。所以只要在域渗透中能够获取到 Ntds.dit 就可以获取到所有域用户的用户名和对应的 Hash，它与 Windows 的 SAM 文件类似，默认都被系统锁死了，无法直接查看。

Ntds.dit 包括三个主要表：数据表、链接表、SD 表。

0x02：Ntds.dit 文件位置

Ntds.dit 文件位于域控的下面这个目录下：


                

        

        

    

  


        

            

                

                

                了解本专栏
                
                
                  
                订阅专栏 解锁全文
                 
                
                    
                    超级会员免费看
                
            

            
            
            
        


    



                



	

		

			

				
					
域控安全和跨域攻击-5.1-ntds.dit文件的介绍

				
			

			

				

					qq_38122566的博客
				

				

					03-18
					
					140
					
				

			

		

		

			
				
ntds.dit为ad的数据库，内容有域用户、域组、用户hash等信息，域控上的ntds.dit只有可以登录到域控的用户(如域管用户、DC本地管理员用户)可以访问。ntds.dit包括三个主要表:数据表、链接表、sd表。所以只要在域渗透中能够获取到ntds,dit就可以获取到所有域用户的用户名和对应的hash，它和SAM文件一样，被windows系统锁死。

			
		

	



                

            
              



	

		

			

				
					
[域控安全] 离线读取 Ntds.dit 文件中的 Hash 值

					
最新发布

				
			

			

				

					Blue17 の 小窝
				

				

					03-24
					
					903
					
				

			

		

		

			
				
0x01：导出域控的 Ntds.dit 文件 & System.hive 文件🌟在上个章节中我们介绍了怎么从域控中提取出 Ntds.dit 文件，那么本章我们将介绍如何离线读取 Ntds.dit 文件中的 Hash 值。离线读取 Ntds.dit 文件一般需要两步：将远端域控中的 Ntds.dit & System.hive 文件下载到攻击者本地。利用工具在攻击者本地进行读取。0x01：导出域控的 Ntds.dit 文件 & System.hive 文件0x0101：导出 Ntds.dit 文件。

			
		

	



              


  
              

                


	

		

			

				
					
ntds.dit文件的获取与解密

					
热门推荐

				
			

			

				

					Shanfenglan's blog
				

				

					08-21
					
					28万+
					
				

			

		

		

			
				
它们在哪儿？
ntds.dit文件是域环境中域控上会有的一个文件，这个文件存储着域内所有用户的凭据信息(hash)。非域环境也就是在工作组环境中，有一个sam文件存储着当前主机用户的密码信息,想要破解sam文件与ntds.dit文件都需要拥有一个system文件。

ntds.dit文件位置: C:\Windows\NTDS\NTDS.dit
system文件位置:C:\Windows\System32\config\SYSTEM
sam文件位置:C:\Windows\System32\config\SAM

			
		

	





	

		

			

				
					
域凭据获取——利用NTDS.DIT获取windows域哈希

				
			

			

				

					qq_55202378的博客
				

				

					08-05
					
					1140
					
				

			

		

		

			
				
NTDS.DIT文件是域控制器的数据库文件，该文件作为AD的数据库，存储了AD的所有数据，包括域内的用户对象、组和组成员身份等信息，以及域内所有用户的凭据信息。该文件位于域控制器下的根目录下。NTDS.DIT文件与Windows主机中的SAM文件类似，不同点在于SAM文件中只存放本机的用户哈希，而NTDS.DIT文件中存放了所有域用户的哈希凭据。在windows中NTDS.DIT文件同样被Windows系统锁定，正常操作无法复制该文件，权限低于system的用户将无法读取。

			
		

	



		

			
		



	

		

			

				
					
内网渗透--提取域控NTDS

				
			

			

				

					qq_62169455的博客
				

				

					09-24
					
					1191
					
				

			

		

		

			
				
NTDS.DIT：为DC的数据库，内容有域用户、域组、用户hash等信息，域控上的ntds.dit只有可以登录到域控上的用户（如域管用户、DC本地管理员用户）可以访问，为了进一步保护密码哈希值，使用存储在SYSTEM注册表配置单元中的密钥对这些哈希值进行加密。位置：C:\Windows\NTDS该文件和SAM文件类似，是不能直接读取的，也不能复制。

			
		

	





	

		

			

				
					
域之ntds.dit

				
			

			

				

					SecINAdmin的博客
				

				

					11-26
					
					1468
					
				

			

		

		

			
				
ntds.dit
​	ntds.dit为ad的数据库（C:\Windows\NTDS），内容有域用户、域组、用户hash等信息，域控上的ntds.dit只有可以登录到域控的用户（如域管用户、DC本地管理员用户）可以访问。ntds.dit包括三个主要表：数据表、链接表、sd表。所以只要在域渗透中能够获取到ntds.dit就可以获取到所有域用户的用户名和对应的hash，ntds.dit是加密的，需要获取system来解密。查看dit数据库可使用https://github.com/yosqueoy/ditsna

			
		

	





	

		

			

				
					
[内网渗透]—卷影拷贝提取ntds.dit

				
			

			

				

					Sentiment的博客
				

				

					12-08
					
					1223
					
				

			

		

		

			
				
ntds.dit文件是一个数据库，用于存储Active Directory数据，包括有关用户对象，组和组成员身份的信息。它包括域中所有用户的密码哈希。通过提取这些哈希值，可以使用诸如Mimikatz之类的工具执行哈希传递攻击，或使用诸如Hashcat之类的工具来破解这些密码。这些密码的提取和破解可以脱机执行，因此将无法检测到。一旦攻击者提取了这些散列，它们便可以充当域上的任何用户，包括域管理员。在活动目录中，所有的数据都保存在ntds.dit中。

			
		

	





	

		

			

				
					
5.2-多种方式提取和移动ntds.dit文件

				
			

			

				

					qq_38122566的博客
				

				

					03-19
					
					573
					
				

			

		

		

			
				
ntdsutils.exe 是一个为活动目录提供管理机制的命令行工具，使用 ntdsutils.exe 可以维护和管理活动目录数据库、控制单个主机操作、创建应用程序目录分区等，该工具默认安装在域控服务器上，可以在域控制器上直接操作，支持windowsserver 2003、2008、2012。提取过程分为3步:第一步:创建快照可以看到快照的uid是{26924c26-3631-41ab-8d15-4cdc2e752c48}第二步:加载快照。

			
		

	





	

		

			

				
					
[域控安全] Ntds.dit 文件的提取 & 移动

				
			

			

				

					Blue17 の 小窝
				

				

					03-23
					
					1105
					
				

			

		

		

			
				
如上，命令运行成功后会根据你提供的路径创建一个文件夹存放结果，AD 目录中存放的就是 Ntds.dit 文件，Registry 文件夹中存放的就是 SYSTEM 和 SECURITY 两个文件，这两个文件在我们后面破解的时候有大用。在上一章节中我们介绍了 Ntds.dit 文件的作用，我们发现该文件与之前介绍的 SAM 文件有异曲同工之妙，那么本章我们将介绍如何提取与移动 Ntds.dit 文件，为我们后面从该文件中提取 Hash 做铺垫。

			
		

	





	

		

			

				
					
AD攻防-域用户HashDump追踪之道

				
			

			

				

					喜欢Python编程的程序员柚柚呀
				

				

					08-24
					
					1248
					
				

			

		

		

			
				
it，网上dump域用户hash的方式五花八门，少有站在防御者视角对不同的dump方式进行梳理剖析和取证定位的文章，掌握不同dump方式的底层原理才能在EDR对抗时不慌不乱、在应急响应中抓住重点，选择最适合的手段快速达到自己的目的。本文大纲如下：![AAA-

			
		

	





	

		

			

				
					
域控安全 ----＞ Ntds.dit文件抓取

				
			

			

				

					Innocence_0的博客
				

				

					07-06
					
					425
					
				

			

		

		

			
				
从时代发展的角度看，网络安全的知识是学不完的，而且以后要学的会更多，同学们要摆正心态，既然选择入门网络安全，就不能仅仅只是入门程度而已，能力越强机会才越多。因为入门学习阶段知识点比较杂，所以我讲得比较笼统，大家如果有不懂的地方可以找我咨询，我保证知无不言言无不尽，需要相关资料也可以找我要，我的网盘里一大堆资料都在吃灰呢。干货主要有：①1000+CTF历届题库（主流和经典的应该都有了）②CTF技术文档（最全中文版）③项目源码（四五十个有趣且经典的练手项目及源码）

			
		

	





	

		

			

				
					
域控安全之域渗透

				
			

			

				

					m0_59598029的博客
				

				

					02-25
					
					825
					
				

			

		

		

			
				
在通常情况下、即使拥有管理员权限,也无法读取域控制器中的C:\Windwos\NTDS\ntds.dit文件(活动目录始终访问这个文件，所以文件被禁止读取)。使用Windows本地卷影拷贝服务可以获得文件的副本。在活动目录中,所有的数据都保存在ntds.dit文件中。ntds.dit是一个二进制文件,存储位置为域控制器的。ntds.dit中包含(但不限于)用户名、散列值、组、GPP、OU等与活动目录相关的信息。它和SAM文件一样，是被Windows操作系统锁定的。

			
		

	





	

		

			

				
					
域渗透之获得域控服务器的NTDS.dit文件

				
			

			

				

					cj_Hydra's Blog
				

				

					02-15
					
					2197
					
				

			

		

		

			
				
前言：
ntds.dit是主要的AD数据库，存放在c:\windows\NTDS\NTDS.dit，包括有关域用户，组和成员身份的信息，它还包括域中所有用户的密码哈希值，为了进一步保护哈希值，使用存储在SYSTEM注册表配置单元中的密钥对这些哈希值进行加密。
因为这两个文件属于系统特殊文件，不能直接复制粘贴，所以需要用特殊的方式来复制粘贴。
当我们拿到域控的权限后，我们可以跑域内所有的hash值，...

			
		

	





	

		

			

				
					
域渗透之影卷拷贝获取域内全部hash

				
			

			

				

					weixin_66717977的博客
				

				

					03-13
					
					1267
					
				

			

		

		

			
				
网络安全 |  内网渗透 |  域渗透 |  影卷拷贝

			
		

	





	

		

			

				
					
2021-02-28

				
			

			

				

					m0_47432460的博客
				

				

					02-28
					
					394
					
				

			

		

		

			
				
内网渗透技术汇总
信息收集
网上各种前期信息收集的文章各种net view之类的太多了，一般想知道哪一台是域控知道自己内网的DNS就可以了,一般域控安装都有安装DNS有些不止一台,其次是通过扫描获取开放端口为389机器或者使用nltest命令查看。最后就是各种net view查看域控是哪台主机。

nltest /DCLIST:pentest.com
这里利用PowerTools中的PowerView信息收集其实很多功能都是net命令这里只是以PowerShell方式实现

Powershell.exe

			
		

	





	

		

			

				
					
【内网学习笔记】26、ntds.dit 的提取与散列值导出

				
			

			

				

					TeamsSix 的 CSDN 空间
				

				

					09-09
					
					1477
					
				

			

		

		

			
				
0、前言
在活动目录中，所有数据都保存在 ntds.dit 文件中，ntds.dit 是一个二进制文件，存储位置为域控的 %SystemRoot%\ntds.dit
ntds.dit 中包含（但不限于）用户名、散列值、组、GPP、OU 等与活动目录相关的信息，因此如果我们拿到 ntds.dit 就能获取到域内所有用户的 hash
在通常情况下，即使拥有管理员权限，也无法读取域控中的 ntds.dit 文件（因为活动目录始终访问这个文件，所以文件被禁止读取），它和 SAM 文件一样，是被 Windows 操作

			
		

	





	

		

			

				
					
从域控制器中提取Active Directory数据库(NTDS.DIT)

				
			

			

				

					Ping_Pig的博客
				

				

					10-23
					
					3105
					
				

			

		

		

			
				
目录

讲在前面：

本地安全机构子系统服务（LSASS）

场景思考

注意

ntds.dit介绍：https://blog.csdn.net/qq_41874930/article/details/108141331

部分方法如下：

使用NTDSUtil的Create IFM在DC上本地捕获ntds.dit文件

使用VSS卷影副本远程拉ntds.dit

使用PowerSploit的Invoke-NinjaCopy远程拉ntds.dit（需要在目标DC上启用PowerShell远程处理）

注意

			
		

	





	

		

			

				
					
8、域渗透——获得域控服务器的NTDS.dit文件

				
			

			

				

					Fly_鹏程万里
				

				

					06-11
					
					2983
					
				

			

		

		

			
				
0x00 前言在之前的文章《导出当前域内所有用户hash的技术整理》曾介绍过通过Volume Shadow Copy实现对ntds.dit文件的复制，可用来导出域内所有用户hash。本文将尝试做系统总结，总结多种不同的方法。0x01 简介本文将要介绍以下内容：多种实现方法比较优缺点0x02 通过Volume Shadow Copy获得域控服务器NTDS.dit文件测试系统：Server 2008 ...

			
		

	





	

		

			

				
					

				
			

			

				

					
				

			

		

		

			
				

			
		

	



              




          




        



    





    



      

      

        
      

      





	

		评论	
	

	
	




  

    

      添加红包
      
    

    

      

        
        

          
          
        

        
请填写红包祝福语或标题

      

      

        
        

          
          个
        

        
红包个数最小为10个

      

      

        
        

          
          元
        

        
红包金额最低5元

      

      

        
        

          当前余额3.43元
          前往充值 >
        

      

      

        

          需支付：10.00元
        

        
        
      

    

  





  

    
    
  

  

    
    
  








  

    

      

        

          

            
            
成就一亿技术人!

          

          

        

        

          

          

            领取后你会自动成为博主和红包主的粉丝
            规则
          

        

      

      

        

          

            
              
            
            

              
hope_wisdom
 发出的红包
            

          

        

        

          

          

          

        

      

    

    

  





	
打赏作者

	

		

		
			
		
		

		

			
Blue17 :: Hack3rX

			
你的鼓励将是我创作的最大动力

		

	

	

			

	

	

    ¥1
    ¥2
    ¥4
    ¥6
    ¥10
    ¥20
	

	

		

			

				

					扫码支付：¥1
				

				

					

					
					获取中
					

				

				

					
					
					扫码支付
				

			

		

		

			
您的余额不足，请更换扫码支付或充值

			
打赏作者

		

	



      
      

      
实付元

      
使用余额支付

      

        

          

            
            点击重新获取
          

        

        
扫码支付

      

      

        
          
            
          
          
        
      

      

        
        钱包余额
          0
          

            
            

              

                
抵扣说明：

                
 1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
 2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

              

            

          

      

      余额充值