NTDS.dit 导出域全部账号 hash 原理与多种获取方式

🔒免责声明：本文仅供网络安全学习、授权渗透测试、红蓝对抗、企业安全应急响应使用，所有命令、操作仅允许在拥有书面授权的靶场、测试环境执行，严禁对未授权的域环境进行任何凭证导出操作，非法获取计算机系统凭证属于违法行为。

前言

在域渗透攻防体系当中，拿到域控制器权限之后，攻击者最核心目标就是导出NTDS.dit，这个文件存储了整个域内全部账号信息：域用户、域组、计算机账号、NTLM 哈希、Kerberos 密钥、krbtgt 密钥等全部域秘密数据。只要成功拿到 NTDS.dit，攻击者就可以离线拿到域内全部账号 NTLM Hash，后续开展哈希传递、制作黄金票据、暴力破解哈希，直接接管整个 AD 域环境，这也是 MITRE‑ATT&CK 框架下 T1003.003 凭证转储技术。

很多初学者只知道 “拿到 ntds.dit 就能拿到全部域 hash”，但是并不理解底层原理：为什么这个文件正常情况下不能直接复制？为什么导出 ntds.dit 的同时还必须拿到 SYSTEM 注册表 hive？卷影拷贝 VSS、ntdsutil IFM 备份、secretsdump、DCSync、SeBackupPrivilege 权限滥用，这些方式之间到底有什么区别，每种方法的权限要求、痕迹、适用场景、踩坑点是什么，很多教程讲的比较零散。

本篇万字文章完整拆解 NTDS.dit 底层原理，文件加密机制，然后分门别类梳理全部主流获取 NTDS.dit 以及域 hash 的实战方式，包含命令实操、痕迹取证、离线解析 hash、常见踩坑排错，最后给出企业侧检测告警、加固防御方案。适合内网渗透学习者、红蓝对抗工程师、应急响应工程师阅读。

一、NTDS.dit 基础原理深度理解

1.1 什么是 NTDS.dit

NTDS 全称：NT Directory Service，NTDS.dit 是活动目录 AD 的数据库文件，基于微软 ESE（Extensible Storage Engine，Jet Blue）数据库引擎，每一台域控制器本地都存在这份数据库文件，路径固定：

C:\Windows\NTDS\ntds.dit

同目录下还有 edb 日志文件，用于 AD 数据库事务回滚。

NTDS.dit 内部保存的核心数据：

1. 全部域用户对象：用户名、UID、SID、账号状态（启用 / 禁用、过期）
2. 全部域计算机账号、组、OU、GPO 相关元数据
3. 用户密码经过多层加密后的 NTLM Hash、LM Hash
4. 各个账号的 Kerberos 密钥（AES128、AES256）
5. krbtgt 账号密码哈希与 Kerberos 密钥（制作黄金票据最重要凭证）
6. AD 架构、对象 ACL 权限信息

关键点：NTDS.dit 内部存储的并不是明文密码，也不是原始 NTLM 哈希，而是经过多层加密保护后的密文，只拿到 ntds.dit 文件，没有 SYSTEM 注册表里面的 BootKey，无法解密出可用的 NTLM Hash。

1.2 为什么 AD 运行的时候，不能直接复制 NTDS.dit

当域控制器 AD DS 服务运行状态下，ntds.dit 会被 AD 服务进程lsass.exe独占锁定。
普通管理员直接执行 copy 复制文件：

copy C:\Windows\NTDS\ntds.dit C:\temp\ntds.dit

直接报错：另一个程序正在使用此文件，进程无法访问。

这是数据库文件的文件锁机制，防止数据库在写入过程中被拷贝，得到损坏不一致的数据库副本。想要拷贝这份被锁定的文件，必须借助 Windows 自带机制：卷影拷贝 VSS 服务，或者官方 ntdsutil IFM 备份机制，创建文件快照，从快照当中拷贝文件，绕开文件独占锁限制。

只有停止 AD DS 服务（域控进入目录恢复模式 DSRM），文件锁才会释放，生产域控不会随意停机，所以渗透实战几乎不会用停机拷贝的方式。

1.3 NTDS.dit 内部加密机制：BootKey 与 PEK 密钥

这是非常关键的原理，很多新手踩坑：拿到 ntds.dit，解析工具报错解密失败。
NTDS.dit 内部密码哈希多层加密逻辑：

1. SYSTEM 注册表 hive（HKLM\SYSTEM）当中保存BootKey（系统密钥）；
2. 使用 BootKey 解密 NTDS.dit 内部的 PEK（Password Encryption Key，密码加密密钥）；
3. 使用 PEK 再解密数据库表内保存的各个用户密码密文，最终得到原始 NTLM Hash、Kerberos AES 密钥。

所以导出域 hash，必须两份材料缺一不可：

1. ntds.dit 数据库文件
2. SYSTEM 注册表 hive 文件，提取 BootKey

只拿到 ntds.dit，没有 SYSTEM，无法解密任何密码哈希。这是核心原理。

注意：BootKey 同一域内，所有域控制器的 BootKey 是相同的。

1.4 获取 NTDS 相关凭证需要什么权限

不同获取手段，权限要求不一样，先梳理权限基线：

1. 域控本地管理员 / NT AUTHORITY\SYSTEM 权限：绝大多数拷贝 ntds.dit 文件方式都需要该权限；
2. Backup Operators 备份操作员组：拥有 SeBackupPrivilege 备份权限，不需要管理员，可以读取文件；
3. DCSync 攻击特殊权限：不需要读取 ntds.dit 磁盘文件，只需要域对象复制权限，普通账号如果被授予DS‑Replication‑Get‑Changes权限，就可以执行 DCSync 导出全部 hash，该攻击不需要登录域控主机；
4. 普通域用户：默认完全没有读取 ntds.dit 以及复制 AD 数据的权限。

重要区分：一部分技术是拿到 ntds.dit 磁盘文件（本地域控执行）；另一部分技术（DCSync）不需要落地读取磁盘文件，通过 AD 复制协议网络获取域全部 hash，二者效果一致，技术路径完全不同。

二、获取 NTDS.dit 磁盘文件的各类实战方式

本章节全部手段都需要获得域控制器本机高权限会话（RDP、WinRM、WMI、Meterpreter 会话等），在域控机器上面执行操作，目的是绕过文件锁，拷贝出 ntds.dit，同时导出 SYSTEM 注册表 hive。

方式一：ntdsutil IFM 官方备份方式（微软原生工具，痕迹相对干净）

ntdsutil 是微软域控自带官方 AD 数据库管理工具，其中 IFM（Install From Media）功能，原本作用是生成介质备份，用于部署额外域控制器。该命令会自动生成一份 AD 完整备份副本，副本文件没有文件锁，可以直接复制带走，不需要操作 VSS 卷影拷贝服务，属于系统原生合法功能，红队经常滥用该功能导出 ntds.dit 文件。

执行命令（域控管理员权限 cmd）

ntdsutil "activate instance ntds" "ifm" "create full C:\temp\ntds_backup" q q

命令拆解：

1. activate instance ntds：激活 ntds 数据库实例
2. ifm：进入 IFM 备份模式
3. create full C:\temp\ntds_backup：输出备份目录
4. q q 连续两次 quit 退出 ntdsutil 交互界面

执行完成之后，目标目录 C:\temp\ntds_backup 生成文件夹结构：

• \Active Directory\ntds.dit备份出来的数据库文件
• \registry\SYSTEM自动导出 SYSTEM hive，直接拿到解密需要的 SYSTEM 文件，不需要手动 reg save 导出注册表。

优势：原生系统工具，不会触发部分杀毒对 VSS 滥用的告警，同时一次性输出 ntds.dit + SYSTEM，一步到位。
缺点：会在磁盘生成较大备份文件，ntds.dit 体积可能几个 GB，磁盘 IO 高；会留下 IFM 备份相关系统事件日志。

拿到文件之后，攻击者将ntds.dit和SYSTEM文件下载到攻击机本地，离线解析哈希。

方式二：VSS 卷影拷贝手动创建快照，拷贝 ntds.dit

Volume Shadow Copy Service (VSS) 卷影复制服务，Windows 用于系统还原、备份的组件。VSS 可以对磁盘创建时间点快照，快照内全部文件不受运行时独占锁影响，就算源文件被 lsass 锁定，快照里面副本可以自由复制。攻击者创建快照之后，从快照路径拷贝 ntds.dit 文件，同时导出 SYSTEM 注册表。

方法 2.1 vssadmin 系统自带命令创建快照

管理员 cmd 执行：

#创建C盘卷影快照 vssadmin create shadow /for=C:

执行成功返回快照路径示例：\\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy1\

然后从快照路径拷贝 ntds.dit 到普通目录：

copy \\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy1\Windows\NTDS\ntds.dit C:\temp\ntds.dit

同时导出 SYSTEM 注册表 hive：

reg save HKLM\SYSTEM C:\temp\system.hive

拷贝完成之后，可选删除卷影快照，消除痕迹：

vssadmin delete shadows /shadow=HarddiskVolumeShadowCopy1

坑点：vssadmin 需要管理员权限；VSS 服务必须处于运行状态；部分域控 VSS 磁盘配额不足，快照创建失败。

方法 2.2 wmic 调用创建卷影快照

wmic shadowcopy call create Volume='C:\'

取证痕迹：系统日志会记录 VSS 快照创建事件，事件 ID：VSS 服务相关事件，SIEM 监控检测 “vssadmin create shadow” 命令行是高危告警点。

方式三：Impacket secretsdump.py 使用‑use‑vss 参数远程调用 VSS

impacket 的 secretsdump 是红队最经典工具，当拿到域管理员账号密码 / 哈希，可以远程对域控执行，远程触发目标域控 VSS 卷影拷贝，自动导出 ntds.dit 与注册表，直接输出全部域 hash，不需要获取交互式 shell。

kali 攻击机执行：

#明文账号密码 secretsdump.py test.local/administrator:Admin@123@192.168.1.10 -use‑vss #使用NTLM哈希远程执行 secretsdump.py test.local/administrator@192.168.1.10 -hashes aad3b435b51404eeaad3b435b51404ee:xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx -use‑vss

工作流程：

1. 远程开启目标 RemoteRegistry 服务；
2. RPC 调用触发目标 VSS 服务创建 C 盘快照；
3. 从卷影副本读取 ntds.dit、SAM、SYSTEM、SECURITY；
4. 文件内容通过 RPC 传输回攻击机器，内存解析，直接打印全部域用户 hash。

注意：-use‑vss 模式，会在域控本机创建 VSS 快照，属于在目标主机落地操作，会留下 VSS 日志痕迹；需要目标机器 RemoteRegistry 服务可以启动。很多生产环境禁用 RemoteRegistry，该方式直接报错失败。

方式四：SeBackupPrivilege 权限滥用，Backup Operators 组导出 ntds.dit

Windows 存在 SeBackupPrivilege 备份权限，拥有该权限的账号，不管文件 ACL 拒绝读取，都可以绕过访问控制读取磁盘全部文件。Backup Operators 备份操作员组的用户默认拥有该权限，不需要本地管理员权限，这是非常经典提权、dump 凭证方式。

攻击流程：

1. 账号属于 Backup Operators 组，登录域控；
2. 开启 SeBackupPrivilege；
3. 使用支持备份标志的工具读取被锁定 ntds.dit 文件；
4. 导出 SYSTEM 注册表 hive。

常用工具：

• DiskShadow.exe（Windows 自带工具，编写脚本读取锁定文件）
• 自定义 C# 工具，Win32 API 调用 BackupRead。

diskshadow 脚本示例，保存为 backup.txt

set context persistent nowriters add volume c: alias mydrive create expose %mydrive% Z: exit

执行diskshadow /s backup.txt，把快照挂载为 Z 盘，复制 Z 盘下面 ntds.dit。

风险场景：很多运维把业务账号加入 Backup Operators 组做备份运维，攻击者拿到该账号，直接 dump 全域 hash，不需要管理员。防御侧需要监控谁被添加进入 Backup Operators 组。

方式五：Meterpreter 会话下 dump_ntds 模块

当获取到域控 Meterpreter 会话（sys 权限），可以直接使用内置dump_ntds模块，底层封装 VSS 操作。

meterpreter > run post/windows/gather/dump_ntds

自动创建 VSS 快照，导出 ntds.dit、system 文件，下载到攻击机本地。

缺点：meterpreter 流量特征明显，EDR 很容易拦截。

方式六：停止 AD DS 服务（DSRM 模式，实战极少使用）

域控制器停止 AD DS 服务，ntds.dit 文件锁释放，可以直接复制。

net stop ntds

此时 AD 服务停止，域控停止对外提供域认证服务，业务完全中断。复制完成后net start ntds启动服务。

生产环境绝对不会允许停机，渗透实战几乎不用该方式，仅实验室测试。

三、不需要获取 ntds.dit 磁盘文件：DCSync 攻击

DCSync 是非常重要技术，很多人混淆 DCSync 和导出 NTDS.dit。DCSync 不需要读取磁盘 ntds.dit 文件，不需要域控交互式登录会话，通过 AD 复制协议，网络请求域控制器，直接获取全部域账号哈希、krbtgt 密钥。

3.1 DCSync 原理

域控制器之间互相同步数据依靠 AD 复制协议，需要三个扩展权限：

1. DS‑Replication‑Get‑Changes
2. DS‑Replication‑Get‑Changes‑All
3. DS‑Replication‑Get‑Changes‑In‑Filtered‑Set

域管理员、企业管理员、域控制器组账号默认拥有这三项权限。攻击者只要账号拥有域对象上面这三项复制权限，就可以伪装成一台伪造的域控制器，向真实 DC 发起复制请求，AD 把域内全部密码秘密通过 RPC 复制协议返回给攻击者，全程不会操作本地 ntds.dit 磁盘文件，不会产生 VSS 快照。

红队非常偏爱 DCSync，痕迹和真实域复制流量高度相似，传统检测很难区分合法同步和攻击行为。甚至普通低权限账号，如果被恶意授予这三个复制权限，就可以执行 DCSync，这是经典持久化后门。

3.2 mimikatz 执行 DCSync

拿到域管理员权限，mimikatz 执行，不需要登录域控，普通域内机器即可运行：

mimikatz.exe privilege::debug lsadump::dcsync /domain:test.local /all /csv

输出全部用户 NTLM、AES 密钥，krbtgt 哈希。

只导出 krbtgt 密钥：

lsadump::dcsync /domain:test.local /user:krbtgt

3.3 impacket‑secretsdump DCSync 模式（‑just‑dc）

kali，只利用复制协议，不调用 VSS，不会在 DC 机器产生快照：

secretsdump.py test.local/administrator:Admin@123@192.168.1.10 ‑just‑dc #哈希传递 secretsdump.py test.local/administrator@192.168.1.10 ‑hashes LM:NT ‑just‑dc‑ntlm

区分参数：
‑use‑vss：远程在 DC 操作 VSS，读取磁盘 ntds.dit 文件；
‑just‑dc：DCSync 复制协议，纯网络，不碰磁盘文件。二者原理完全不同。

3.4 DCSync 攻击取证痕迹

DCSync 攻击会产生目录服务日志，事件 ID4662，属性操作包含复制对象 GUID。安全设备需要监控 4662 事件，监控非域控制器计算机账号发起大量 AD 复制请求，作为 DCSync 告警。

重要误区：DCSync 不等于导出 ntds.dit。DCSync 不需要磁盘文件；导出 ntds.dit 是读取磁盘数据库。最终拿到的 hash 结果是等价的。

四、拿到 ntds.dit + SYSTEM 之后，离线解析 Hash 实战

攻击者把 ntds.dit 与 SYSTEM hive 下载到本地攻击机器之后，本地离线解密，不需要再接触域环境。下面介绍主流解析工具。

4.1 impacket‑secretsdump 离线本地解析（kali）

secretsdump.py ‑ntds ntds.dit ‑system SYSTEM.hive LOCAL

工具自动从 SYSTEM 提取 BootKey，解密 PEK，遍历 ntds.dit 数据库，输出所有域账号：用户名:sid:lm:ntlm:aes128:aes256。输出格式可以直接用于 hashcat 爆破，用于 PtH 哈希传递。

4.2 NTDSDumpEx Windows 平台解析工具

Windows 环境工具 NTDSDumpEx.exe，将 ntds.dit、system.hive 和程序放在同一目录：

NTDSDumpEx.exe ‑d ntds.dit ‑s system.hive ‑o hash_out.txt

输出文件保存全部账号哈希清单腾讯云。

4.3 DSInternals PowerShell 模块解析

PowerShell DSInternals 模块，适合 Windows 分析机器：

Import‑Module DSInternals $bootkey = Get‑BootKey ‑SystemHive .\SYSTEM Get‑ADDBackup ‑NtdsFile .\ntds.dit ‑BootKey $bootkey | Select‑Object SamAccountName, NTHash

4.4 拿到哈希之后的后续攻击链路

1. 使用 hashcat 离线爆破 NTLM 哈希，破解明文密码；

hashcat ‑m 1000 domain_hash.txt wordlist.txt

2. Pass‑the‑Hash 哈希传递横向移动；
3. 使用 krbtgt 哈希，Mimikatz/Rubeus 制作黄金票据，域持久化；
4. 利用 AES 密钥进行 Over‑pass‑the‑hash（票据传递）。

安全事件发生之后，如果确认 ntds.dit 被窃取，代表全部域账号哈希已经泄露，只修改域管理员密码不够，风险严重情况下需要全域账号重置密码，轮换 krbtgt 账号密码两次。

五、各类获取 NTDS / 域 Hash 技术对比总结

实战红队优先顺序：DCSync（痕迹更隐蔽） > ntdsutil IFM > VSS 快照方式。

六、实战中高频踩坑问题排错

坑 1：只拿到 ntds.dit，没有 SYSTEM hive，解析失败

报错提示无法解密 PEK 密钥。必须同时导出 SYSTEM 注册表，没有 BootKey 无法解密数据库内密码密文。IFM 备份会自动输出 SYSTEM 文件；VSS 拷贝场景，需要手动执行reg save HKLM\SYSTEM导出。

坑 2：secretsdump.py ‑use‑vss 报错 RemoteRegistry 无法启动

很多企业域控禁用 RemoteRegistry 服务。‑use‑vss依赖远程注册表，此时该方法不可用，可以改用 DCSync 模式‑just‑dc。

坑 3：VSS 快照创建失败，报错配额不足

磁盘 VSS 卷影拷贝配额设置过小，无法分配快照空间。管理员执行 vssadmin resize shadowstorage 扩大配额。

坑 4：IFM 备份磁盘空间不足

ntds.dit 可能几个 GB，C 盘剩余空间不够，IFM 命令执行中途失败，一定要选择剩余空间充足目录。

坑 5：DCSync 执行返回 0 个用户，没有导出任何 hash

当前账号没有 AD 对象的三项复制权限。普通域用户默认没有，需要域管理员或者被授予复制权限的账号。

坑 6：拷贝出来 ntds.dit 文件损坏

拷贝快照文件过程中快照被自动清理，复制中断，得到损坏 dit 文件，重新创建快照再次拷贝。

坑 7：Backup Operators 组成员，但是 SeBackupPrivilege 没有启用

该权限默认登录会话不会自动启用，需要工具显式开启备份权限，否则依旧拒绝访问 ntds.dit。

七、应急响应：如何检测 NTDS.dit 导出行为

企业蓝队、应急工程师如何发现攻击者正在窃取 ntds.dit 全域凭证，梳理告警事件与检测点。

7.1 监控命令行日志（Sysmon）

监控高危命令行，出现则告警：

1. vssadmin create shadow创建卷影快照
2. ntdsutil "activate instance ntds" "ifm"IFM 备份操作
3. diskshadow /s执行 diskshadow 脚本
4. reg save HKLM\SYSTEM 导出 SYSTEM 注册表 hive

7.2 Windows 事件日志关键事件 ID

1. VSS 服务事件 ID：VSS 快照创建事件，短时间出现大量快照创建，高危；
2. 4662 对象访问事件：目录服务对象操作，属性为复制相关 GUID，疑似 DCSync 攻击；
3. 事件 ID 5137：IFM 备份相关 AD 数据库备份事件；
4. Sysmon 事件：进程访问C:\Windows\NTDS\ntds.dit文件（事件 ID 11 文件创建访问）。

注意：必须开启 AD 目录服务审计策略，否则 4662 事件不会生成，大量企业域控没有开启该审计，DCSync 攻击无日志留存。

7.3 SIEM 告警规则建议

1. 非运维工作时间段，域控出现 VSS 快照创建；
2. 非域控制器主机 IP，向域控发起大量 AD 复制操作（DCSync 特征）；
3. Backup Operators 组成员账号登录域控主机；
4. 域对象 ACL 新增授予 DS‑Replication‑Get‑Changes 权限给普通账号（DCSync 后门）。

7.4 入侵已经发生，确认 ntds.dit 泄露之后处置步骤

1. 隔离被攻陷域控制器，完整留存全部安全日志、注册表快照；
2. 如果确认 ntds.dit 已经被攻击者窃取：域内全部关键账号强制重置密码，krbtgt 账号连续修改两次密码；
3. 排查是否存在 DCSync 后门：检查有没有普通账号被赋予 AD 复制权限；
4. 排查 Backup Operators 组，清除非合法账号；
5. 排查 AdminSDHolder、异常 SPN、组策略后门等其他持久化；
6. 部署防护，开启 LSA 保护 RunAsPPL，条件允许部署 Credential Guard。

非常重要：仅仅修改域管理员密码不足以解决 ntds.dit 泄露事件，所有账号哈希全部泄露，攻击者可以使用旧哈希继续横向。

八、企业域控加固防御方案

加固 1：开启 AD 目录服务审计策略

组策略开启目录服务对象访问审计，记录 4662 事件，能够检测 DCSync 攻击行为。计算机配置‑安全设置‑本地策略‑审计策略‑审计目录服务访问。

加固 2：严格管控 Backup Operators 备份操作员组

非业务绝对需要，不要向 Backup Operators 添加任何用户。定期巡检该组成员，该组 SeBackupPrivilege 权限风险极高。

加固 3：限制 AD 对象复制权限，不要给普通账号授予 DS‑Replication‑Get‑Changes 权限

绝大多数业务场景，只有域控制器账号才需要复制权限。定期审计域根对象 ACL，排查是否普通用户被添加复制权限，防止 DCSync 后门。

加固 4：LSA 保护 RunAsPPL

组策略部署 LSA 保护，lsass.exe 受受保护进程模式运行，防护进程 dump 内存凭证，增加攻击者获取 SYSTEM 权限的难度。注册表：HKLM\SYSTEM\CurrentControlSet\Control\Lsa RunAsPPL=1Microsoft。

加固 5：Tpm2.0 硬件开启 Credential‑Guard（凭证防护）

基于虚拟化安全隔离 LSA 秘密，阻止部分凭证导出，需要硬件 TPM2.0，Windows Server2016 以上支持。

加固 6：域控制器主机收紧访问权限

域控机器仅允许堡垒机、运维管理员登录，普通业务账号禁止登录域控制器，WinRM、RDP 来源 IP 严格限制，减少攻击者拿到域控本地会话机会。

加固 7：监控卷影拷贝 VSS 异常行为

SIEM 监控 vssadmin、diskshadow、ntdsutil 命令执行行为，配置告警。

加固 8：部署 LAPS 本地管理员密码方案

域控以及服务器本地管理员密码随机，每台机器密码独立，防止一台沦陷全盘爆炸。

加固 9：不要关闭 RemoteRegistry 之后就万事大吉

虽然 secretsdump‑use‑vss 依赖 RemoteRegistry，但是 ntdsutil IFM、vssadmin 不需要 RemoteRegistry 服务，依旧可以导出 ntds.dit。关闭 RemoteRegistry 只能防御其中一种攻击手段，不能根治 NTDS.dit 窃取风险。真正核心防御点：阻止攻击者拿到域控制器本地管理员 / SYSTEM 权限。

九、学习误区总结

误区 1：拿到 ntds.dit 就可以直接读取明文密码

错误！ntds.dit 存储加密后的哈希，没有明文密码，需要 BootKey 解密得到 NTLM 哈希，哈希还需要 hashcat 暴力爆破才有可能得到明文。

误区 2：DCSync 攻击需要登录域控制器主机

错误。DCSync 完全可以在普通工作站执行，只需要账号拥有域复制权限，不需要访问域控主机桌面会话。

误区 3：‑use‑vss 和‑just‑dc 是同一个功能

错误。‑use‑vss 远程调用 DC 本机 VSS，读取磁盘 ntds.dit 文件；‑just‑dc 是 DCSync 复制协议，二者原理痕迹完全不一样。

误区 4：Backup Operators 只是普通备份账号，没有高危风险

错误，SeBackupPrivilege 权限可以绕过文件 ACL 读取 ntds.dit，dump 全域 hash，属于高危权限。

误区 5：入侵之后修改域管理员密码，ntds.dit 泄露风险就解决

错误，如果攻击者已经把旧 ntds.dit 下载到本地，本地保存全部旧哈希，就算服务器改密码，攻击者本地依旧持有全部旧账号哈希，需要全域关键账号重置。

总结

NTDS.dit 是整个 Active Directory 域最重要的数据库，保存域全部账号密码哈希、krbtgt 密钥等全部域秘密。因为 AD 运行时独占文件锁，攻击者不能直接复制文件，衍生出多种攻击技术：ntdsutil IFM 备份、VSS 卷影快照拷贝、SeBackupPrivilege 备份权限滥用、secretsdump 远程 VSS；而 DCSync 攻击不走磁盘文件，滥用 AD 复制协议，网络直接拉取域全部凭证，痕迹更加隐蔽。

核心关键点回顾：

1. NTDS.dit 内部密码哈希多层加密，解析必须配套 SYSTEM 注册表获取 BootKey；二者缺一不可；
2. 分为两大类攻击路径：①拿到域控本地权限拷贝磁盘 ntds.dit 文件；②DCSync 复制协议，不需要磁盘文件；
3. 不同技术权限、痕迹、依赖条件各不相同，红队会根据目标环境选择最优方案；
4. 蓝队防御不能单点防御，一方面要监控 VSS、ntdsutil、diskshadow 等高风险命令，开启 AD 目录审计检测 DCSync；另一方面做好权限管控，严控 Backup Operators 组、AD 复制权限；开启 LSA 保护、Credential‑Guard 提升获取凭证的攻击门槛；
5. 一旦发生 NTDS.dit 泄露安全事件，风险极高，不能仅修改管理员密码，需要评估是否批量重置域账号密码，轮换 krbtgt 密钥，同时排查域内各类持久化后门。

掌握 NTDS.dit 原理与各类获取手段，是域渗透与 AD 应急响应的核心知识点，不管做渗透测试还是安全运维都必须吃透。

最后

关于网络安全技术储备

网络安全是当今信息时代中非常重要的一环。无论是找工作还是感兴趣（黑客），都是未来职业选择中上上之选，为了保护自己的网络安全，学习网络安全知识是必不可少的。

如果你是准备学习网络安全（黑客）或者正在学习，下面这些你应该能用得上：

①网络安全学习路线
②20份渗透测试电子书
③安全攻防357页笔记
④50份安全攻防面试指南
⑤安全红队渗透工具包
⑥网络安全必备书籍
⑦100个漏洞实战案例
⑧安全大厂内部视频资源
⑨历年CTF夺旗赛题解析

一、网络安全（黑客）学习路线

网络安全（黑客）学习路线，形成网络安全领域所有的知识点汇总，它的用处就在于，你可以按照上面的知识点去找对应的学习资源，保证自己学得较为全面。

二、网络安全教程视频

我们在看视频学习的时候，不能光动眼动脑不动手，比较科学的学习方法是在理解之后运用它们，这时候练手项目就很适合了。

三、网络安全CTF实战案例

光学理论是没用的，要学会跟着一起敲，要动手实操，才能将自己的所学运用到实际当中去，这里带来的是CTF&SRC资料&HW资料，毕竟实战是检验真理的唯一标准嘛~

四、网络安全面试题

最后，我们所有的作为都是为就业服务的，所以关键的临门一脚就是咱们的面试题内容，所以面试题板块是咱们不可或缺的部分，这里我给大家准备的就是我在面试期间准备的资料。

网安其实不难，难的是坚持和相信自己，我的经验是既然已经选定网安你就要相信它，相信它能成为你日后进阶的高效渠道，这样自己才会更有信念去学习，才能在碰到困难的时候坚持下去。

机会属于有准备的人，这是一个实力的时代。人和人之间的差距不在于智商，而在于如何利用业余时间，只要你想学习，什么时候开始都不晚，不要担心这担心那，你只需努力，剩下的交给时间！

这份完整版的网络安全学习资料已经上传CSDN，朋友们如果需要可以微信扫描下方CSDN官方认证二维码免费领取【保证100%免费】