wulaoban 发布的文章

导出域控的ntds.dit文件


NTDS.dit
在活动目录中,所有的数据都保存在域控的 ntds.dit 文件中。ntds.dit是一个二进制文件,文件路径为域控的 %SystemRoot%ntdsntds.dit 。NTDS.dit 包含不限于用户名、散列值、组、GPP、OU等活动目录的信息。它和SAM文件一样,默认是被Windows系统锁定的。在一般情况下,系统运维人员会利用卷影拷贝服务(Volume Shadow Copy Service,VSS)实现这些操作。VSS本质上是属于快照技术的一种,主要用于备份和恢复,即使目标文件被处于锁定状态。



利用DCOM执行系统命令


DCOM
DCOM(分布式组件对象模型)是微软的一系列概念和程序接口。通过DCOM,客户端程序对象能够向网络中的另一台计算机上的服务器程序对象发送请求。DCOM是基于组件对象模型(COM)的。COM提供了一套允许在同一台计算机上的客户端和服务器之间进行通信的接口。



WMIC使用浅析


WMIC
WMIC是Windows Management Instrumentation Command-line的简称,它是一款命令行管理工具,提供了从命令行接口到批命令脚本执行系统管理的支持,可以说是Windows平台下最有用的命令行工具。使用WMIC,我们不但可以管理本地计算机,还可以管理统一局域网内的所有远程计算机(需要必要的权限),而被管理的计算机不必事先安装WMIC。自Windows98开始,Windows操作系统都支持WMIC,WMIC是一系列工具集组成的。



psexec工具使用浅析(admin$)


Psexec
psexec 是 windows 下非常好的一款远程命令行工具。psexec的使用不需要对方主机开机3389端口,只需要对方开启admin$共享(该共享默认开启)。但是,假如目标主机开启了防火墙,psexec也是不能使用的,会提示找不到网络路径。由于psexec是windows提供的工具,所以杀毒软件会将其添加到白名单中。



AccessToken窃取与利用


令牌(Token)
令牌(token)是系统的临时秘钥,相当于账号和密码,用来决定是否允许这次请求和判断这次请求是属于哪一个用户的。它允许你在不提供密码或其他凭证的前提下,访问网络和系统资源,这些令牌将持续存在于系统中,除非系统重新启动。令牌最大的特点就是随机性,不可预测,黑客或软件无法猜测出令牌。