NTDS.dit Extraction

Définition

L'extraction de NTDS.dit désigne l'opération consistant à récupérer et exploiter la base de données Extensible Storage Engine (ESE) qui stocke l'intégralité des objets Active Directory d'un domaine sur chaque contrôleur de domaine, y compris les hashes NTLM et clés Kerberos de tous les comptes utilisateurs, ordinateurs et de service. Le fichier NTDS.dit, généralement situé dans %SystemRoot%\NTDS, ne peut pas être copié directement pendant que le service Active Directory Domain Services est en cours d'exécution, car il est verrouillé en écriture continue ; les attaquants contournent cette limitation via des techniques de copie de volume shadow (VSS), par exemple avec vssadmin ou l'outil ntdsutil (commande « ntdsutil snapshot »), ou via des outils comme secretsdump.py de la suite Impacket exploitant directement le protocole de réplication distant sans jamais nécessiter d'accès local au fichier. Une fois extrait, le fichier est traité conjointement avec la ruche de registre SYSTEM, nécessaire pour déchiffrer la clé de chiffrement Boot Key protégeant les hashes stockés, permettant l'obtention de l'ensemble des hashes NTLM du domaine hors ligne, exploitables ensuite pour des attaques Pass-the-Hash ou du cassage par force brute. Cette technique constitue l'objectif ultime de nombreux scénarios de compromission Active Directory, la protection du fichier NTDS.dit et sa sauvegarde chiffrée figurant parmi les priorités absolues de durcissement.