NTDS.dit on Ethical Hacking | Pentest e Sicurezza Informatica | Hackita

Credential Dumping su Windows: LSASS, SAM, DPAPI e NTDS.dit

Fri, 17 Jul 2026 00:00:00 +0000

Credential Dumping su Windows: LSASS, SAM, LSA e DPAPI #

Il credential dumping è l’estrazione di credenziali — hash NTLM, ticket Kerberos, password in chiaro — dalla memoria di processo (LSASS), dal database locale (SAM), dai segreti LSA o da vault cifrati (DPAPI e Credential Manager). Le credenziali ottenute alimentano Pass-the-Hash, lateral movement e DCSync.

Secondo il Verizon Data Breach Investigations Report 2025, l’abuso di credenziali compromesse ha rappresentato il 22% dei vettori di accesso iniziale nelle violazioni analizzate. Dopo la compromissione di un sistema, il credential dumping consente agli attaccanti di estrarre hash, password e altro materiale di autenticazione dalla memoria o dalle strutture del sistema, utilizzandolo successivamente per aumentare i privilegi e muoversi lateralmente nella rete.

impacket-secretsdump: Dump di Hash e Credenziali Windows

Wed, 15 Jul 2026 00:00:00 +0000

impacket-secretsdump: Guida al Dump di Credenziali Windows e Active Directory #

impacket-secretsdump estrae credenziali da sistemi Windows — hash NTLM, chiavi Kerberos AES, LSA secrets, cached credentials, password history — senza eseguire alcun agente o binario sul target. Opera via SMB, WMI e il protocollo di replica AD (DRSUAPI) usando esclusivamente credenziali valide.

secretsdump.py (distribuito come impacket-secretsdump su Kali) è parte del framework Impacket. È lo strumento di credential dumping remoto più usato nei pentest Windows perché non richiede upload di tool sul target — tutto avviene via protocolli di rete standard, usando le credenziali dell’account compromesso.

SeBackupPrivilege: dump hash e dominio completo con SAM, SYSTEM e NTDS.dit

Tue, 26 May 2026 00:00:00 +0000

Hai le credenziali di un account nel gruppo Backup Operators — niente shell sul DC, niente exploit. Con SeBackupPrivilege e reg save estrai SAM, SYSTEM e SECURITY in 30 secondi. Con un account nel gruppo Backup Operators di dominio, secretsdump ti consegna tutti gli hash AD direttamente via rete.

Quick Exploit #

cmd

reg save HKLM\SAM C:\temp\sam.hive
reg save HKLM\SYSTEM C:\temp\system.hive
reg save HKLM\SECURITY C:\temp\security.hive

Su macchina attaccante: