netzwerkdude
Goto Top

Passwort Hashes aus AD extrahieren

Morgen,

ich würde gerne einige Attribute von AD Objekten auf einen externen LDAP Server übertragen, dazu müsste ich diese Attribute erstmal exportieren, darunter das Passworthash für die Authentifizierung.
LDIFDE kann scheinbar direkt keine pwhashes exportieren.

Es gibt Tools die das können:
https://security.stackexchange.com/questions/100271/extract-password-has ...
bzw. direkt:
https://www.dsinternals.com/en/retrieving-active-directory-passwords-rem ...
Nun ist das ein recht großes PS modul das .dlls nachlädt usw.

Kann man mit dem Recht
https://docs.microsoft.com/de-de/windows/win32/adschema/r-ds-replication ...
und "Boardmitteln" des AD die Hashes extrahieren? bzw. gibts das als schlankeres PS-Modul, das nur diese eine aufgabe macht?

MFG
N-Dude

Content-ID: 563734

Url: https://administrator.de/forum/passwort-hashes-aus-ad-extrahieren-563734.html

Ausgedruckt am: 25.12.2024 um 02:12 Uhr

143728
143728 08.04.2020 aktualisiert um 12:22:00 Uhr
Goto Top
Nun, die Daten sind ja in der ntds.dit im ESENT Format abgelegt, du brauchst also schon einiges an Routinen um die Daten überhaupt schon aus der Datenbank zu parsen.
Kannst dich ja mal dazu belesen, dann siehst du das das nicht mal eben mit ein paar Funktiönchen erledigt ist, da das Format diverse Verschachtelungen beinhaltet
https://en.wikipedia.org/wiki/Extensible_Storage_Engine
Nun ist das ein recht großes PS modul das .dlls nachlädt usw.
Groß? Das ist noch klein face-smile. Ich sehe hier das Problem ehrlich gesagt nicht die dsinternals nachzuladen face-wink.
NetzwerkDude
NetzwerkDude 08.04.2020 um 14:00:18 Uhr
Goto Top
Problem: Policy das man kein Zeug auf dem DC Installieren soll
143728
143728 08.04.2020 aktualisiert um 14:04:46 Uhr
Goto Top
Dann zieh dir halt den .NET Code aus den DLLs. Ist ja eigentlich nur ein "Kopieren" kein Installieren face-wink.
NetzwerkDude
NetzwerkDude 08.04.2020 aktualisiert um 14:17:14 Uhr
Goto Top
Dann müsste man den ja lesen und gar verstehen, kann das nicht leisten face-smile

Danke für den Input auf jeden Fall ich lasse den Post ungelöst vielleicht gibts noch Ideen
143728
143728 08.04.2020 aktualisiert um 14:41:53 Uhr
Goto Top
Na dann reicht dir vielleicht das hier schon mal als Ansatz
https://www.harmj0y.net/blog/activedirectory/remote-hash-extraction-on-d ...
NetzwerkDude
NetzwerkDude 08.04.2020 um 15:00:48 Uhr
Goto Top
Cool, das sieht interessant aus und das hatte mein Google noch nicht geliefert, danke!
Alchimedes
Alchimedes 08.04.2020 um 16:00:15 Uhr
Goto Top
Hallo N-Dude,

ich nutze dafuer mimikatz.


Beste Gruesse
NetzwerkDude
NetzwerkDude 08.04.2020 um 16:26:27 Uhr
Goto Top
Mimikatz ist selbes Thema, wäre ein externes Tool ausgeführt auf dem DC.
Außerdem werden die Leute hier beim Thema Mimikatz nervös - dem hängt wohl ein schlecter Ruf an.

Beides kann ich nicht ändern, Policy.
Alchimedes
Alchimedes 08.04.2020 aktualisiert um 16:56:48 Uhr
Goto Top
Hallo,

wäre ein externes Tool ausgeführt auf dem DC.

musst Du nicht unbedingt auf dem DC ausführen.
Mimikatz ist das Tool für password hashes ntlm , ldap etc.

Und ja es ist ein "Hacking Tool" mit dem man hervorragend die Sicherheit der
Domäne überprüfen kann. (Golden Ticket etc.)

Ein schlechten Ruf hast es nur bei denen die kein blassen Schimmer haben.
Genauso wie einige Windowsadmins meinen das Wireshark zum Hacken benutzt wird.

Da ihr sicher Kerberos benutzt schau Dir mal klist an.

klist


Gruss
NetzwerkDude
NetzwerkDude 08.04.2020 um 17:12:55 Uhr
Goto Top
Also ich hab Mimikatz nur für die lokal zwischengespeicherten hashes verwendet - aber nicht für noch nie angemeldete User.
Wie würde das denn Prinzipiell Remote funktionieren um z.B. alle Hashes aller User in einer Gruppe zu bekommen?
Alchimedes
Alchimedes 08.04.2020 um 18:33:59 Uhr
Goto Top
aber nicht für noch nie angemeldete User.

Solange sich ein User noch nie anmeldet hat, solange wird auch kein Hash erzeugt.
NetzwerkDude
NetzwerkDude 08.04.2020 um 21:10:07 Uhr
Goto Top
Dann ist das leider nicht Zielführend für das Vorhaben