NTDS.dit hash提取工具
为保证不修改quarkspwdump版权信息，没有quarkspwdump修改其他功能的使用,其他原有的功能都可以正常使用,只添加了几个自己添加的参数。
NTDS.dit是个什么鬼呢？
在域内，HASH是存在NTDS.DIT中的， NTDS.DIT是一个二进制文件，就等同于本地计算机的SAM文件，它的存放位置是%SystemRoot%\ntds\NTDS.DIT。这里面包含的不只是Username和HASH，还有OU、Group等等。
和SAM文件一样，这个文件肯定也是被系统锁定的，Windows Server
NTDS.dit怎么样来的呢？
这个网上文章介绍的很详细 自己动手丰衣足食
0.为什么不用NTDSXTract呢?
答：提取速度太慢 实在不敢恭维
1.为什么不用quarkspwdump呢?
答:quarkspwdump不支持system.hiv离线 只能把quarkspwdump上传到服务器之后在服务器使用,不喜欢在服务器操作，还有一个问题是内存太小还会出现not enough memory
2.quarkspwdump有人改了支持system.hiv 为何不用呢？
答:很多时候导出system.hiv之后，system.hiv文件相当大,下载非常不方便，其实system.hiv就是key 可以用RegQueryInfoKey查询出来。 ,
3.有人改了quarkspwdump支持既支持system.hiv又支持的key的啊
作者博客:http://z-cg.com/post/ntds_dit_pwd_dumper.html
答:但是程序是32位的,读取万条hash会显示not enough memory!
那么到底解决了什么问题呢？
0.添加支持获取system.hiv的key值功能(需要去服务器运行获取)
1.添加了支持离线system.hiv文件
2.添加了支持离线system.hiv的key值
3.解决了not enough memory的问题
使用方法:
常用的参数:
-k:获取system.hive的key
-o:输出文件(保存文件到本地)
-sf:指定system.hive文件路径
-sk:指定system.hive文件key值
-hist:历史记录
system.hive文件获取:reg save hklm\system system.hive
0.QuarksPwDump.exe -k (需要注意uac的问题 在服务器运行)
1.QuarksPwDump.exe -dhd -nt NTDS_saved.dit -sf system.hive -o hash.txt
2.QuarksPwDump.exe -dhd -nt NTDS_saved.dit -sk 33A97A6A092FCB44B0598AAxxxxxxxx -o hash.txt
3.QuarksPwDump.exe -dhd -nt NTDS_saved.dit -sk 33A97A6A092FCB44B0598Axxxxxxxxx -hist -o hash.txt
带历史记录的
下载地址：
点我下载 密码：CHI6
顺便吐槽下 南方真蛋疼 每逢过节就下雨 。
本文出自 “Sanr” 博客，请务必保留此出处http://0x007.blog.51cto.com/6330498/1664131
原文地址：http://0x007.blog.51cto.com/6330498/1664131
