T1003.003

NTDS

Copiar la base de datos de Active Directory (ntds.dit) para sacar los hashes de todo el dominio.

Cómo aparece en Hack The Box

En un DC con SeBackupPrivilege, diskshadow crea una instantánea y robocopy /b copia ntds.dit; con la colmena SYSTEM, secretsdump la abre offline.

Técnicas de nuestro catálogo que corresponden a esta (el número son sus máquinas):

Ordenadas de más fácil a más difícil. El enlace ▶ te lleva al minuto del vídeo de IppSec donde se usa.

Ocultar las que ya he hecho

easy windows

hard windows

hard windows

Volcado de credenciales en Windows: SAM, LSA, LSASS, DPAPI y NTDS.dit 4 min de lectura Dónde guarda Windows las credenciales y cómo sacarlas: SAM y SYSTEM, secretos LSA, LSASS con lsassy o pypykatz, DPAPI y NTDS.dit con SeBackup.

Sacados de nuestras chuletas y fichas de herramientas. Escribe tus datos y se rellenan en todos los comandos.

Hashes del dominio desde una copia de ntds.dit

impacket-secretsdump -ntds ntds.dit -system SYSTEM LOCAL