--- title: "Çevrimdışı Domain Dökümü: Shadow Copy ve NTDS.dit" description: "DCSync, hash'leri çekmenin çevrimiçi yoludur — ama replikasyon hakkı ister. Çevrimdışı yol ise DC'den neredeyse hiçbir şey istemez: C: sürücüsünün shadow copy'sini al, NTDS.dit veritabanını ve SYSTEM hive'ını dışarı kopyala, ardından her kimlik bilgisini kendi makinede, Domain Controller'ın iş birliği olmadan dök." date: 2026-11-06 author: Sevban Dönmez (@jankesec) canonical: https://jankesec.com/tr/yazilar/shadow-copies-ntds/ --- ## Bir Domain Controller'ı boşaltmanın iki yolu Domain Admin olduktan sonra domain'deki her hash'i almanın iki temel yolu vardır. **DCSync**, DC'den replikasyon yapmasını ister — çevrimiçi bir yöntemdir ve replikasyon hakkı gerektirir. **NTDS.dit** ise hiçbir şey istemez: C: sürücüsünün anlık görüntüsünü alır, veritabanı dosyasının kendisini dışarı çıkarır ve kendi makinede dökersin. Çevrimdışı yol önemlidir çünkü yalnızca *DC üzerinde local admin* olmanla çalışır — `DS-Replication-Get-Changes` yok, DCSync yok, KDC etkileşimi yok. Veritabanı, `C:\Windows\NTDS\ntds.dit` altında duran bir dosyadan ibarettir; ancak dosya kilitli olduğu için doğrudan okunamaz. **Volume Shadow Copy (VSS)**, tam da böyle kilitli bir dosyayı okumanın yerleşik yoludur: dosyanın o anki tutarlı bir kopyasını sunar. Bu tutarlılık önemlidir, çünkü canlı bir veritabanını kopyalarken yarım kalan yazmalar bozuk bir dosya üretebilir; anlık görüntü ise tek bir zamana sabitlenmiş bütünlüklü bir kopya verir. ## Tek satır: nxc tüm dansı yapar `nxc --ntds vss`, shadow copy oluşturmayı, dosya kopyalamayı ve dökümü tek komutta otomatikleştirir. Sonuç, DCSync'ten aldığımız aynı 19 hash'tir; fark, bunların replikasyon protokolü yerine doğrudan veritabanı dosyası üzerinden elde edilmesidir: ```bash $ nxc smb 192.168.56.10 -u Administrator -H c66d72021a2d4744409969a581a1705e --ntds vss SMB 192.168.56.10 445 KINGSLANDING [+] sevenkingdoms.local\Administrator (Pwn3d!) SMB 192.168.56.10 445 KINGSLANDING Administrator:500:...:c66d72021a2d4744409969a581a1705e::: SMB 192.168.56.10 445 KINGSLANDING krbtgt:502:...:72765225164f1b6542a3b0464aad363a::: SMB 192.168.56.10 445 KINGSLANDING [+] Dumped 19 NTDS hashes ... ``` `vss` yöntemi onu çevrimdışı yapan şeydir: bir shadow copy oluşturur, `ntds.dit` dosyasını bu kopyadan okur ve hash'leri yerel olarak döker. Yani DC'nin canlı veritabanına doğrudan dokunmadan, onun tutarlı bir görüntüsü üzerinden çalışılır. Bu ayrım yalnızca teknik bir ayrıntı değildir: dosya kopyalandıktan sonra yapılan analiz, DC üzerinde ek bir işlem veya protokol konuşması gerektirmez. ## Aslında arka planda ne olur Tek satır, bilmeye değer üç manuel adımı gizler; çünkü `nxc` yoksa veya engelleniyorsa bu adımları elle yapman gerekir. Birinci adım shadow copy oluşturmaktır: ```bash $ nxc winrm 192.168.56.10 -u Administrator -H c66d72021a2d4744409969a581a1705e -x "vssadmin create shadow /for=C:" WINRM [+] Successfully created shadow copy for 'C:\' WINRM Shadow Copy Volume Name: \\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy1 ``` Elde edilen yol, `C:` sürücüsünün canlı bir anlık görüntüsüdür ve kilitli `ntds.dit` artık bu yol üzerinden okunabilir. İkinci adım veritabanını ve `SYSTEM` hive'ını bu görüntüden dışarı kopyalamak, üçüncü adım ise ikisini çevrimdışı dökmektir: ```bash copy \\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy1\Windows\NTDS\ntds.dit C:\temp\ntds.dit reg save HKLM\SYSTEM C:\temp\system.hive $ impacket-secretsdump -ntds ntds.dit -system system.hive LOCAL ``` Buradaki anahtar `LOCAL` parametresidir: son komut, Domain Controller'a karşı değil, indirdiğimiz dosyalara karşı çalışır. O noktadan itibaren DC çevrimdışı olabilir, yeniden başlatılabilir ya da bizi izliyor olabilir — hiç fark etmez, çünkü veritabanı artık elimizdedir. Ödünleşim her yerdekiyle aynıdır. DCSync ağ üzerinde daha sessizdir ama belirli bir hak gerektirir; shadow-copy dökümü yalnızca local admin ister, buna karşılık arkasında daha fazla disk ve olay aktivitesi bırakır (`vssadmin`/VSS olayları ve birimde oluşan yeni bir anlık görüntü). Yani hangi yolu seçeceğin, elindeki yetkiye ve bırakmayı göze aldığın izlere bağlıdır; doğru seçim çoğu zaman hangi yetkinin gerçekten mevcut olduğuyla belirlenir.
ÇEVRİMDIŞI DÖKÜM · SHADOW COPY → NTDS.dit → LOCAL 1 · vssadmin shadow copy C:\ → HarddiskVolumeShadowCopy1 kilitli dosya okunabilir olur 2 · dışarı kopyala ntds.dit + SYSTEM hive Kali'ye indir 3 · çevrimdışı dök secretsdump -ntds -system LOCAL her hash, DC iş birliği yok
Çevrimdışı yol: birimi anlık görüntüle, ntds.dit ve SYSTEM hive'ını çıkar ve yerel olarak dök — Domain Controller artık döngüde değildir.
## Tespit ve çözüm **Tespit:** Shadow-copy istismarı, `ntds.dit` üzerinde `4663` (nesne erişimi) olayı ve VSS işlemleri bırakır; ayrıca `vssadmin list shadows` gibi araçların ortaya çıkardığı yeni bir birim anlık görüntüsü oluşur. Asıl ipucu, yedekleme penceresi dışında bir Domain Controller'da `vssadmin`/`diskshadow` çalıştıran ya da `ntds.dit` dosyasına dokunan yedekleme dışı bir süreçtir. **Kontrol:** Shadow copy oluşturabilen ve `ntds.dit` okuyabilen kişileri kısıtla — bu yetkiler yalnızca yedekleme servis hesabında olmalı. DC'lerde VSS ve `ntds.dit` erişim olaylarını izle ve Domain Controller'ın saldırı yüzeyini küçük tut; öyle ki DC üzerinde local admin olmak zaten göz yumduğun değil, tespit ettiğin bir "oyun bitti" koşulu olsun. Unutma: bu teknik yalnızca local admin ile çalıştığı için, DC'de gereğinden fazla yerel yönetici bulundurmak doğrudan tüm domain'in hash'lerine giden yolu açar. ## Özet | Özellik | DCSync (çevrimiçi) | NTDS.dit (çevrimdışı) | | --- | --- | --- | | Gerektirir | replikasyon hakkı | DC'de local admin | | Mekanizma | DRSUAPI replikasyonu | shadow copy → dosya kopyası | | DC katılımı | her isteğe yanıt verir | kopyadan sonra hiç | | Araç | `secretsdump` / `nxc --ntds drsuapi` | `vssadmin` + `secretsdump -ntds -system LOCAL` / `nxc --ntds vss` | ## Kanıt ve sınırlar VSS anlık görüntüsü (`--ntds vss`) ve çevrimdışı `ntds.dit` + `SYSTEM` çıkarımı, izole GOAD laboratuvarındaki `KINGSLANDING` (`192.168.56.10`) üzerinde yürütülmüştür. Dökülen tüm hash'ler GOAD'ın önceden hazırlanmış test hesaplarına aittir; gerçek bir üretim ortamında bu verilerin hassasiyeti çok daha yüksek olacaktır. ## Referanslar - **Orange Cyberdefense, GOAD:** [orange-cyberdefense.github.io/GOAD](https://orange-cyberdefense.github.io/GOAD/) - **The Hacker Recipes, Dumping NTDS:** [thehacker.recipes/ad/movement/credentials/dumping/ntds](https://www.thehacker.recipes/ad/movement/credentials/dumping/ntds) - **HackTricks, Active Directory Methodology:** [hacktricks.wiki](https://hacktricks.wiki/en/windows-hardening/active-directory-methodology/index.html) - **MITRE ATT&CK, NTDS (T1003.003):** [attack.mitre.org/techniques/T1003/003](https://attack.mitre.org/techniques/T1003/003/)