本文讲的是<b>从ntds.dit中提取hash和域信息</b>，在渗透测试进入内网之后，首要目标就是得到域控权限，将域中所有用户的hash值全部跑出来，下载到本地。很多工具比如meterpreter中的smart_hashdump和Impacket中的secretsdump.py都可以做到。
但是有些情况下我只能拷贝出来NTDS.dit文件，然后离线将这些密码提取出来。今天正好碰到了这一情况，接下来我将详细的介绍一下如何将密码导出，当然假设我已经成功将这两个文件下载到本地：
使用Impacket
Imapacket的作者在twitter上告诉我secretsdump.py有一个本地选项，可以很简单的做到将密码提取出来。Impacket实在是太方便了，如果你已经有这两个文件，可以通过执行以下命令就可以得到hash值。
稍等一会，它就会将域中所有用户的NTLM hash值呈现出来：
这是最简单一种方法，如果你想尝试着使用ntdsxtract导出表，你可以继续阅读～
安装esedbexport
从NTDS.dit中导出用户表的第一步就是使用libesedb中的esedbexport，你可以在下面网页中下载到最新版本：
https://github.com/libyal/libesedb/releases
我使用的版本是：”libesedb-experimental-20170121”
下载并且解压：
安装依赖：
进行安装：
如果一切顺利地话，你会在/usr/local/bin/esedbexport得到这个工具。
提取表
现在工具已经安装完成，使用这个工具可以从ntds.dit中提取出表，在执行过程中会新建一个名称为ntds.dit.export文件夹存放提取出来的表，命令为：
这一步骤进行的时间有点长，在我的机器上进行了20-30分钟，在执行完毕之后，你会看到成功的分离出了表：
两个重要的表为：datatable以及link_table，他们都会被存放在./ntds.dit.export/文件夹中.
使用ntdsxtract提取域中信息
一旦表被提取出来，很多python工具可以将这些表中的信息进一步提取，比如ntdsxtract就可以完美进行。
安装命令：
执行完毕之后，ntdsxtract就会在你的系统上进行安装。
提取用户信息以及密码hash值
ntdsxtract工具中dsusers.py可以被用来从分离出来的表中提取用户信息以及NT/LM密码hash值。前提是具有如下三个文件：
这个工具的使用规则为：
–pwdformat选项是选择以什么格式进行提取，有john(John format),ocl(oclHashcat),ophc(OphCrack)三个选项。
这个工具还会将所获得信息输出出来，这也方便了我们可以将信息写入到其他文件当中。
以oclHashcat格式提取所有NT和LM的hash，并将它们保存在”output”目录中的”ntout”和”lmout”中：
执行结束之后，NT的hash值已经以oclHashcat格式提取出来了：
进一步查看我们提取出来的文件，我们还可以看到其他信息，比如SID,密码修改时间，以及最后登录时间等等：
通过hashcat进行简单hash破解：
进一步提取域中计算机信息
Ntdsxtract中还具有一个工具可以从分离出来的表中提取域中计算机信息。这对于离线分析目标信息是非常有用的。
在使用过程中，需要对它提供datatable,输出目录以及输出文件，格式为csv：
执行完毕之后他会在all_computers.csv中写入所有域中计算机信息。如下：
总结
使用secretsdump.py或者其他方法可以很快的提取域中用户以及其他密码哈希等等信息。不过如果你想通过离线对NTDS.dit以及SYSTEM hive文件进行提取的话，希望这篇文章可以给你提供帮助。
原文发布时间为：2017年7月9日
本文作者：xnianq
本文来自云栖社区合作伙伴嘶吼，了解相关信息可以关注嘶吼网站。
<a href="http://www.4hou.com/penetration/6164.html" target="_blank">原文链接</a>