netzwerkdude
Goto Top

Passwort Hashes aus AD extrahieren

Morgen,

ich würde gerne einige Attribute von AD Objekten auf einen externen LDAP Server übertragen, dazu müsste ich diese Attribute erstmal exportieren, darunter das Passworthash für die Authentifizierung.
LDIFDE kann scheinbar direkt keine pwhashes exportieren.

Es gibt Tools die das können:
https://security.stackexchange.com/questions/100271/extract-password-has ...
bzw. direkt:
https://www.dsinternals.com/en/retrieving-active-directory-passwords-rem ...
Nun ist das ein recht großes PS modul das .dlls nachlädt usw.

Kann man mit dem Recht
https://docs.microsoft.com/de-de/windows/win32/adschema/r-ds-replication ...
und "Boardmitteln" des AD die Hashes extrahieren? bzw. gibts das als schlankeres PS-Modul, das nur diese eine aufgabe macht?

MFG
N-Dude

Content-Key: 563734

Url: https://administrator.de/contentid/563734

Printed on: February 6, 2023 at 16:02 o'clock

Mitglied: 143728
143728 Apr 08, 2020 updated at 10:22:00 (UTC)
Goto Top
Nun, die Daten sind ja in der ntds.dit im ESENT Format abgelegt, du brauchst also schon einiges an Routinen um die Daten überhaupt schon aus der Datenbank zu parsen.
Kannst dich ja mal dazu belesen, dann siehst du das das nicht mal eben mit ein paar Funktiönchen erledigt ist, da das Format diverse Verschachtelungen beinhaltet
https://en.wikipedia.org/wiki/Extensible_Storage_Engine
Nun ist das ein recht großes PS modul das .dlls nachlädt usw.
Groß? Das ist noch klein face-smile. Ich sehe hier das Problem ehrlich gesagt nicht die dsinternals nachzuladen face-wink.
Member: NetzwerkDude
NetzwerkDude Apr 08, 2020 at 12:00:18 (UTC)
Goto Top
Problem: Policy das man kein Zeug auf dem DC Installieren soll
Mitglied: 143728
143728 Apr 08, 2020 updated at 12:04:46 (UTC)
Goto Top
Dann zieh dir halt den .NET Code aus den DLLs. Ist ja eigentlich nur ein "Kopieren" kein Installieren face-wink.
Member: NetzwerkDude
NetzwerkDude Apr 08, 2020 updated at 12:17:14 (UTC)
Goto Top
Dann müsste man den ja lesen und gar verstehen, kann das nicht leisten face-smile

Danke für den Input auf jeden Fall ich lasse den Post ungelöst vielleicht gibts noch Ideen
Mitglied: 143728
143728 Apr 08, 2020 updated at 12:41:53 (UTC)
Goto Top
Na dann reicht dir vielleicht das hier schon mal als Ansatz
https://www.harmj0y.net/blog/activedirectory/remote-hash-extraction-on-d ...
Member: NetzwerkDude
NetzwerkDude Apr 08, 2020 at 13:00:48 (UTC)
Goto Top
Cool, das sieht interessant aus und das hatte mein Google noch nicht geliefert, danke!
Member: Alchimedes
Alchimedes Apr 08, 2020 at 14:00:15 (UTC)
Goto Top
Hallo N-Dude,

ich nutze dafuer mimikatz.


Beste Gruesse
Member: NetzwerkDude
NetzwerkDude Apr 08, 2020 at 14:26:27 (UTC)
Goto Top
Mimikatz ist selbes Thema, wäre ein externes Tool ausgeführt auf dem DC.
Außerdem werden die Leute hier beim Thema Mimikatz nervös - dem hängt wohl ein schlecter Ruf an.

Beides kann ich nicht ändern, Policy.
Member: Alchimedes
Alchimedes Apr 08, 2020 updated at 14:56:48 (UTC)
Goto Top
Hallo,

wäre ein externes Tool ausgeführt auf dem DC.

musst Du nicht unbedingt auf dem DC ausführen.
Mimikatz ist das Tool für password hashes ntlm , ldap etc.

Und ja es ist ein "Hacking Tool" mit dem man hervorragend die Sicherheit der
Domäne überprüfen kann. (Golden Ticket etc.)

Ein schlechten Ruf hast es nur bei denen die kein blassen Schimmer haben.
Genauso wie einige Windowsadmins meinen das Wireshark zum Hacken benutzt wird.

Da ihr sicher Kerberos benutzt schau Dir mal klist an.

klist


Gruss
Member: NetzwerkDude
NetzwerkDude Apr 08, 2020 at 15:12:55 (UTC)
Goto Top
Also ich hab Mimikatz nur für die lokal zwischengespeicherten hashes verwendet - aber nicht für noch nie angemeldete User.
Wie würde das denn Prinzipiell Remote funktionieren um z.B. alle Hashes aller User in einer Gruppe zu bekommen?
Member: Alchimedes
Alchimedes Apr 08, 2020 at 16:33:59 (UTC)
Goto Top
aber nicht für noch nie angemeldete User.

Solange sich ein User noch nie anmeldet hat, solange wird auch kein Hash erzeugt.
Member: NetzwerkDude
NetzwerkDude Apr 08, 2020 at 19:10:07 (UTC)
Goto Top
Dann ist das leider nicht Zielführend für das Vorhaben