由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，雷神众测以及文章作者不为此承担任何责任。 雷神众测拥有对此文章的修改和解释权。如欲转载或传播此文章，必须保证此文章的完整性，包括版权声明等全部内容。未经雷神众测允许，不得任意修改或者增减此文章内容，不得以任何方式将其用于商业目的。
嗨，大家好！这次我想分享一些与“Windows Active Directory（AD）”环境相关的内容。我将使用Web shell向大家演示“如何转储Windows Active Directory用户数据库”。可能有这样一种情况在渗透测试期间，渗透测试人员连接到了Windows Active Directory forest其中一台计算机并获得了“Domain Admin”用户凭据和Web shell访问权限。渗透测试人员试图进一步的获得Reverse shell，但由于某些原因阻止了该行为（假设网络防火墙不允许）但测试者的最终目标可能并不是获取shell，而是转储AD用户数据库，即用户和ADL环境的NTLM密码哈希值。
在域环境里，域内用户hash存储在域控制器(ntds.dit)中的数据库文件中，ntds.dit文件是无法直接被复制的。在这种情况下，我们一般可以利用卷影复制服务(VSS)来实现ntds.dit的拷贝，然后下载进行离线分析和破解用户哈希。
Kerberos是一种由MIT提出的一种计算机网络授权协议，旨在通过使用加密技术为客户端/服务端应用程序提供强大的认证服务。域内访问其他应用应遵循服务Kerberos协议。完整的域内应用访问流程如图所示，首先由客户端向域控发起认证请求，域控验证用户是否属于合法域用户，若合法则由域控响应主机请求分发TGT认证票据(黄金票据可伪造TGT)，拿到证书后主机可以继续请求访问域内的应用服务，若权限符合域控会返回允许主机访问域内某应用服务的TGS票据，主机拿着TGS票据访问对应的应用服务，该应用服务器验证TGS通过后主机即可顺利访问应用服务
强制域控制器计算机帐户向受威胁者控制的主机进行身份验证可能会导致域受损。涉及强制身份验证的最值得注意的技术是使用加密文件系统远程协议 ( MS-EFSR )的PetitPotam攻击。然而，这不是唯一可以用于域升级的协议。意识到可能被滥用的替代协议可能会给红队运营商带来优势，因为蓝队可能没有实施策略来防止各种协议的域升级。
什么是卷影拷贝？ 从Windows XP SP2和Windows Server 2013开始，微软就向Windows操作系统中引入了一项名叫卷影拷贝的服务（Volume Shadow Copy Service-VSS）。这种服务允许Windows系统以自动或手动的方式对文件或磁盘卷宗的当前状态进行备份（或快照），需要注意的是，在这个过程中，即使文件处于打开状态下该服务仍然可以直接进行文件备份。 当这些备份文件被创建之后，它们会被保存在一个特殊的容器中，即卷影拷贝（Volume Shadow Copy）。
在渗透测试期间，可以利用域管权限对域内用户hash进行导出和破解。这些域内用户hash存储在域控制器（NTDS.DIT）中的数据库文件中，并带有一些其他信息，如组成员身份和用户。
在企业环境中，对磁盘空间的需求是惊人的。数据备份、文件服务器、软件镜像、虚拟磁盘等都需要占据大量的空间。对此，微软在Windows Server 2012中引入了重复数据删除技术。 重复数据删除技术通过将文件分割成小的 (32-128 KB) 且可变大小的区块、确定重复的区块，然后保持每个区块一个副本，区块的冗余副本由对单个副本的引用所取代。这样，文件不再作为独立的数据流进行存储，而是替换为指向存储在通用存储位置的数据块的存根。因此，我们可以在更小的空间中存储更多的数据。此外，该项技术还会对区块进行压缩以便进一步优化空间。 根据微软官方的介绍，该项技术有四大好处： 一、容量优化：“重复数据删除”使得 Windows Server 2012 能够在更少的物理空间中存储更多的数据，并获得比以前版本的 Windows 操作系统明显更高的存储效率。以前版本的 Windows 操作系统使用单实例存储 (SIS) 或 NTFS 文件系统压缩。“重复数据删除”使用可变分块大小和压缩，常规文件服务器的优化率为 2:1，而虚拟数据的优化率最高可达 20:1。 二、伸缩性和性能： Windows Server 2012 中的“重复数据删除”具有高度的可伸缩性，能够有效利用资源，并且不会产生干扰。它可以同时对多个大容量主数据运行，而不会影响服务器上的其他工作负载。通过控制 CPU 和内存资源的消耗，保持对服务器工作负载的较低影响。此外，用户可以灵活设置何时应该运行“重复数据删除”、指定用于消除重复的资源并为“重复数据删除”创建有关文件选择的策略。 三、可靠性和数据完整性：在对数据应用“重复数据删除”时，保持数据的完整性。Windows Server 2012 利用校验和值、一致性和身份验证来确保数据的完整性。此外，Windows Server 2012 中的“重复数据删除”会为所有元数据和最常引用的数据保持冗余，以确保这些数据可以在发生损坏时进行恢复。 四、与 BranchCache 相结合提高带宽效率：通过与 BranchCache 进行集成，同样的优化技术还可应用于通过 WAN 传输到分支机构的数据。这会缩短文件下载时间和降低带宽占用。 作为系统管理员，有那么好的技术，自然是要来尝试一下。 首先要为系统添加Data Deduplication角色
在微软Active Directory（活动目录）中，所有的数据都被保存在ntds.dit中， NTDS.DIT是一个二进制文件，
一般想知道哪一台是域控知道自己内网的DNS就可以了，一般域控安装都有安装DNS有些不止一台，其次是通过扫描获取开放端口为389机器或者使用NLTEST命令查看。最后就是各种网络查看查看域控是哪台主机
Know it Then Hack it，网上dump域用户hash的方式五花八门，少有站在防御者视角对不同的dump方式进行梳理剖析和取证定位的文章，掌握不同dump方式的底层原理才能在EDR对抗时不慌不乱、在应急响应中抓住重点，选择最适合的手段快速达到自己的目的。本文大纲如下：
本文我们将演示如何获取域控制器上的Ntds.dit文件并提取其中的域账户和密码哈希。
在通常情况下，即使拥有管理员权限，也无法读取域控制器中的ndts.dit文件，但是我们又非常想获得这个文件的内容，这个时候就需要使用windows本地卷影拷贝服务VSS。在活动目录中，所有的数据都保存在ntds.dit文件中，ntds.dit是一个二进制文件，包含用户名、散列值、组、GPP、OU等与活动目录相关的信息，它和SAM文件一样，被windows系统锁死。卷影拷贝服务VSS，本质上属于快照技术的一种，主要用于备份和恢复，即使文件当前处于锁死状态。
企业内部自建的Lync Server 2013统一通信平台，在Skype for Business Server 2015发布后，通过就地升级方式已经完成升级，原来后端数据库高可用架构保持不变，仍采用镜像和见证的自动故障转移方式。当要改变后端数据库服务器高可用架构方式，采用AlwaysOn可用性组，如何顺利部署实施呢？且看下文详细的实战部署，阅读后可以顺利改造现有后端高可用架构。
在通常的情况下,即使我们拥有域管理员的权限也是无法读取域控制器的C:\Windows\NTDS\ntds.dit文件,是因为活动目录始终访问着这个文件,所以禁止读取.使用windows的本地卷影拷贝就可以获得文件的副本
深信服桌面云是采用云计算的思想，将用户的桌面操作系统以服务的形式通过网络进行交付，可以让用户在不同设备轻易的访问，维护相对简单、业务数据相对集中。
这是 WMI 攻击手法研究系列文章第四篇，将更多地关注信息收集和枚举。WMI 提供了大量的类，可以从中列举出很多东西。因此，让我们来深入了解，不要再浪费时间了。
分布式文件服务器-FastDFS 什么是FastDFS FastDFS是一个开源的轻量级分布式文件系统，它对文件进行管理，功能包括：文件存储、文件同步、文件访问（文件上传、文件下载）等，解决了大容量存储和负载均衡的问题。特别适合以文件为载体的在线服务，如相册网站、视频网站等等。 FastDFS为互联网量身定制，充分考虑了冗余备份、负载均衡、线性扩容等机制，并注重高可用、高性能等指标，使用FastDFS很容易搭建一套高性能的文件服务器集群提供文件上传、下载等服务。 FastDFS服务端有两个角色：跟踪器（tr
在做负载均衡时有多台Web服务器提供访问服务，通过负载均衡器调度分发。但如果将网站文件都分别部署在所有Web服务器上，则需要对所有Web服务器都进行文件维护，同时需要考虑文件同步问题，这将带来极大的工作量。
注：本文中讨论到的一部分技术可能只有在Windows Vista Business/Ultimate下才包含。本文直接以Ultimate版本讨论。
在拿到域管理员权限之后，都会提取所有域用户的密码哈希进行离线破解和分析。这些密码哈希存储在域控制器（NTDS.DIT）中的数据库文件中，并包含一些附加信息，如组成员和用户。
Ntds.dit是主要的AD数据库，包括有关域用户，组和组成员身份的信息。它还包括域中所有用户的密码哈希值。为了进一步保护密码哈希值，使用存储在SYSTEM注册表配置单元中的密钥对这些哈希值进行加密。
很多传统企业在设计身份验证和文件服务时，都会使用微软的活动目录和windows server自带的文件共享来实现以上的需求， 公有云的出现给这个场景在灾备和异地访问提供了一个全新的方案场景。
勒索软件千差万别，从几乎没有检测逃避手段的简单病毒到具有复杂反分析、反沙盒技巧的高级威胁，攻击者利用这些勒索软件进行牟利。幸运的是，勒索软件家族都有许多共同点，这有助于进行检测与分类。
上一篇文章《一次FastDFS并发问题的排查经历》介绍了一次生产排查并发问题的经历，可能有些人对FastDFS不是特别的了解，因此计划写几篇文章完整的介绍一下这个软件。 为什么要使用分布式文件系统呢？ 嗯，这个问题问的好，使用了它对我们有哪些好处？带着这个问题我们来往下看： 单机时代 初创时期由于时间紧迫，在各种资源有限的情况下，通常就直接在项目目录下建立静态文件夹，用于用户存放项目中的文件资源。如果按不同类型再细分，可以在项目目录下再建立不同的子目录来区分。例如： resources\static\fil
通常情况下，即使拥有管理员权限，也无法读取域控制器中的C:\Windows\NTDS\ntds.dit文件。那么什么是ntds.dit呢？
文件是现代组织的主要资产。混合云文件服务通过结合云计算和内部部署的文件系统的优势，将在全球范围内越来越多地用于管理和共享文件。
大家好，这里是 渗透攻击红队 的第 35 篇文章，本公众号会记录一些我学习红队攻击的复现笔记（由浅到深），不出意外每天一更
本文由团队成员编写，首发于先知社区：https://xz.aliyun.com/t/9624
文件共享是指主动地在网络上共享自己的计算机文件。一般文件共享使用P2P模式，文件本身存在用户本人的个人电脑上。大多数参加文件共享的人也同时下载其他用户提供的共享文件。有时这两个行动是连在一起的。在很早期的Windows中(Windows2000以下)，文件共享服务是利用TCP的139端口实现的，服务名是SMB。后来，微软又把SMB改名为CIFS，并且使用的是TCP的445端口
随着文件数据的越来越多，通过tomcat或nginx虚拟化的静态资源文件在单一的一个服务器节点内是存不下的，如果用多个节点来存储也可以，但是不利于管理和维护，所以我们需要一个系统来管理多台计算机节点上的文件数据，这就是分布式文件系统。
近日，Microsoft SQL （MS-SQL） 服务器遭到攻击，因其安全性较差，入侵者进入服务器后直接安装了 Trigona 勒索软件，并加密了所有文件。 入侵者是利用了那些极易被猜到的帐户凭据为突破点，暴力攻击了MS-SQL 服务器，并安装了名为CLR Shell的恶意软件，这次攻击是被韩国网络安全公司AhnLab的安全研究人员发现的。 这种恶意软件专门用于收集系统信息，还可以直接更改那些被入侵的帐户配置。此外，该软件还可以利用Windows辅助登录服务中的漏洞将特权升级到LocalSystem，不过
为了令勒索攻击实施有效，勒索软件进行的一个常见行动是卷影备份（即影子副本），从而使受害者无法恢复任何已加密的文件。
树莓派是一个有用且价格低廉的家庭服务器，可用于很多事情。我的树莓派最常用来做打印服务器，可以在我的家庭网络中共享激光打印机，或作为个人文件服务器保存项目副本和其他数据。
FortiGuard 实验室在2020年 5 月底左右获得了 EKANS 样本进行分析。
基于应用程序的、基于文件的和基于块的迁移都有各自的优点和适用场景。选择正确的解决方案首先要了解它们之间的差异。
提高IO能力： 磁盘并行读写 提高耐用性： 磁盘冗余来实现 级别：多块磁盘组织在一起的工作方式有所不同 RA
上周，MalwareHunterTeam的研究人员首先发现了Snake勒索软件，并在恶意软件分析师Vitali Kremez的支持下对其进行了分析。
文件服务器(file servers)是一种器件，它的功能就是向服务器提供文件。 它加强了存储器的功能，简化了网络数据的管理。 它一则改善了系统的性能，提高了数据的可用性，二则减少了管理的复杂程度，降低了运营费用。
一、什么是快照？ 快照可保存虚拟机在特定时刻的状态和数据。 • 状态包括虚拟机的电源状态（例如，打开电源、关闭电源、挂起）。 • 数据包括组成虚拟机的所有文件。这包括磁盘、内存和其他设备（例如虚拟网络接口卡）。 虚拟机提供了多个用于创建和管理快照及快照链的操作。通过这些操作，我们可以创建快照、还原到链中的任意快照以及移除快照。
前段时间Gitee图床突然"暴雷"，导致许多写作者笔记、博客、网站等图片全部无法访问，一时间哀怨四起，大家也纷纷意识到图片备份的重要性，博主也在上面许多作者的行列中，花费了一天时间恢复博客、以及个人网站的图片，同时迁移到腾讯OSS上，也开始着手搭建个人的文件系统平台。
最近，Sophos 发现一个未知攻击者利用 11 年前 Adobe ColdFusion 9 的一个古老漏洞来对 ColdFusion 服务器进行攻击，部署 Cring 勒索软件并进行横向平移。
关于对高可用的分级在这里我们不做详细的讨论，这里只讨论常用高可用方案的优缺点以及高可用方案的选型。
新兴跨平台BianLian勒索软件的运营商本月增加了他们的命令和控制（C2）基础设施，这一发展暗示着该组织的运营节奏正在提速。
如今，越来越多的企业正在将数据迁移到云中，以利用无需采购或维护大量硬件相关的成本、可扩展性和效率的优势。事实上，云计算数据存储当然可以帮助组织实现卓越的投资回报率。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
腾讯会议
实时音视频
