NTDS.dit密码快速提取工具

2015-04-29 28,399

NTDSDump相关

受不了NTDSXTract的龟速,于是用quarkspwdump改了个能读取system.hiv的离线版提取工具,顺便修复了个坑爹的BUG。

ntds.dit其实就是个esent数据库,微软本身就有一系列的文档化api能够操作这个数据库,其链接是:https://msdn.microsoft.com/en-us/library/windows/desktop/gg294074.aspx

既然是windows api,那么效率自然不用提了:本地测试300M的ntds.dit,内含近万条HASH。

用512M内存的ubuntu虚拟机跑了将近一个小时,而在相同配置的2003虚拟机上此工具仅用了5秒钟就处理完毕,相差可谓天上地下。windows的东西么,还是交给windows自己的好。

附件内NTDSDump.exe是导出工具,其命令行如下:

ntdsdump.exe <-f ntds.dit> <-k HEX-SYS-KEY | -s system.hiv> [-o out.txt] [-h] [-t JOHN|LC]
-f    ntds.dit路径
-k   可选的十六进制格式的SYSKEY
-s    可选的system.hiv路径
-h   导出历史密码记录
-t    导出格式,LC或JOHN
-o   导出到指定文件中

 

SYSKEY实际上就是HKLM\SYSTEM\CurrentControlSet\Control\Lsa下面几个子项的类型信息,可以用RegQueryInfoKey查询出来。

附件里面提供了两个导出工具,getsyskey_c.exe由vc6编译,其源码为getsyskey.cpp,用vc6直接打开编译即可。

getsyskey_cs.exe由.net2.0编译,源码为getsyskey.cs,用csc直接编译即可。

已知错误:

        JetAttachDatabase() failed
原因:数据库需要修复,执行esentutl /p /o ntds.dit进行修复。

附一张真实数据的测试图:
ntds

 

下载地址:

 下载点这里 ntdsdump

 

另:改完之后又看了看quarkspwdump的github,发现有人提交了个pull request:https://github.com/quarkslab/quarkspwdump/pull/3

其添加了一个加载system.hiv的功能,调用了RegLoadKey。而这个API必须要过UAC才行,所以用起来还是挺别扭的,不如这个直接读取文件进行处理来得痛快。

安全脉搏姿势

在2008+域控上使用 ntdsutil snapshot mount导出ntds.dit, SAM以及System ,

ntdsutil
snapshot
activate instance ntds
create
mount {GUID}
copy c:\MOUNT_POINT\WINDOWS\NTDS\NTDS.dit c:\NTDS_saved.dit
unmount {GUID}
quit
quit

然后就是各种copy了

在域控上使用 QuarksPwDump.exe 导出绝大部分明文:

QuarksPwDump.exe --dump-hash-domain --output SecPulseHash.txt --ntds-file c:\ntds.dit

下载回本地再用QuarksPwDump似乎就不行,主要因为本地无法指定SYSTEM文件导致获取不到key

附Quarks PWDump使用参数:

quarks-pwdump.exe <options>
	Options : 
	-dhl  --dump-hash-local
	-dhdc --dump-hash-domain-cached
	-dhd  --dump-hash-domain (NTDS_FILE must be specified)
	-db   --dump-bitlocker (NTDS_FILE must be specified)
	-nt   --ntds-file FILE
	-hist --with-history (optional)
	-t    --output-type JOHN/LC (optional, if no=>JOHN)
	-o    --output FILE (optional, if no=>stdout)
	Example: quarks-pwdump.exe --dump-hash-domain --with-history

 

当然也可以把ntds.dit, SAM以及System下载回来(很多大内网 ntds就好几G,下载回来不太科学)用某工具解密 不过感觉有点庞大,现在我们可以使用NTDSDump.exe

NTDSDump.exe -f ntds.dit -s SYSTEM -o SecPulseHash.txt

 

【原文:NTDS.dit密码提取工具 作者:zcgonvh 安全脉搏SP胖编整理发布】

本文作者:SP胖编

本文为安全脉搏专栏作者发布,转载请注明:https://www.secpulse.com/archives/6301.html

Tags:
评论  (10)
快来写下你的想法吧!
  • Pis 2015-04-29 23:26:08

    6666666

  • 123 2016-01-08 13:32:39

    [+] Processing hashes deciphering…ERROR: nothing to decipher
    [+] Close Database…OK

  • 1 2016-01-08 19:12:51

    not enough memory

  • 123 2016-03-29 16:51:34

    program too big to fit in memory

  • 123 2016-03-29 16:53:12

    program too big to fit in memory ,64位操作系统 不能运行,32位的虚拟机4G和8G的内存都试过了 不行啊~

  • win2008 2016-06-20 15:01:47

    win7 64位没法使用这个工具?

  • porscheJN 2016-09-23 12:33:47

    小白一个,我家域空被syskey锁了,用工具提出来的syskey 怎么还原成明文,还请大神告知

  • sunly.liu 2016-09-23 13:28:23

    我的AD被人用syskey恶意锁住了,用工具提出来的syskey 怎么还原成明文,还请大神告知。

SP胖编

文章数:59 积分: 0

神器 神器 神器

安全问答社区

安全问答社区

脉搏官方公众号

脉搏公众号