T1003.003: NTDS

摘要

攻击者可能尝试访问或创建 Active Directory 域数据库的副本，以窃取凭据信息，并获取有关域成员（例如设备、用户和访问权限）的其他信息。默认情况下，NTDS 文件（NTDS.dit）位于域控制器的 <code>%SystemRoot%\NTDS\Ntds.dit</code> 中。(Citation: Wikipedia Active Directory) 除了在活动的域控制器上查找 NTDS 文件外，攻击者还可能搜索包含相同或类似信息的备份。(Citation: Metcalf 2015) 以下工具和技术可用于枚举 NTDS 文件以及整个 Active Directory 哈希的内容。 * 卷影复制 * secretsdump.py * 使用 Windows 内置工具 ntdsutil.exe * Invoke-NinjaCopy