type
Post
status
Published
date
Jan 11, 2023
slug
summary
tags
攻防
业务安全
category
技术分享
icon
password
Property
Jan 11, 2023 07:25 AM
VMDK（VMwareVirtual Machine Disk Format） 是 虚 拟 机 VMware 创 建 的 虚 拟 硬 盘 格 式，文件存在于VMware 文件系统中，被称为VMFS（虚拟机文件系统）。一个 VMDK 文件代表 VMFS 在虚拟机上的一个物理硬盘驱动。所有用户数据和有关虚拟服务器的配置信息都存储在VMDK文件中。
Tips:对于域控来说无法通过KonBoot免密（请往下看）登入，因此可使用挂载VMDK磁盘方式
VMDK文件挂载方式可分为两种，原理一致，过程不一样而已。
- 目标机（开启则克隆出新vmdk，关闭则直接使用其vmdk）的vmdk文件挂载到新创建的虚拟机当中
- 目标机（开启则克隆出新vmdk，关闭则直接使用其vmdk）的vmdk文件挂载到可控虚拟机当中
第一种
首先克隆目标虚拟机，克隆出来的机器需要处于关闭状态（开机状态机器的 vmdk 是锁定的，直接挂载会失败）
接下来，我们可以通过已知密码的虚拟机或新建一台可控虚拟机（记得挂镜像）挂载克隆虚拟机的vmdk，右键编辑设置 - 现有硬盘，添加目标主机的vmdk路径
第二种
同样的方式，在已有虚拟机上添加现有硬盘，添加目标主机的vmdk路径
看到界面利用win+r执行diskmgmt.msc，联机挂载克隆虚拟机的vmdk磁盘
此时就可以看到练级挂载的磁盘了。接着就可以将以下三个文件下载到本地进行hash抓取
C:\Windows\NTDS\NTDS.dit C:\Windows\System32\config\SYSTEM C:\Windows\System32\config\SAM
然后可利用secretsdump.py，执行如下命令 dump hash
#dump 本地 hash python3 secretsdump.py -sam SAM -system SYSTEM local #dump 域控机器 hash python3 secretsdump.py -ntds ntds.dit -system SYSTEM local
也可上传 secretsdump.exe 工具上去在线抓取
- Author:w1nk1
- URL:https://notion-w1nk1.vercel.app//article/aa95847e-969f-45d1-9239-44341fd73450
- Copyright:All articles in this blog, except for special statements, adopt BY-NC-SA agreement. Please indicate the source!
Relate Posts
