NTDS.dit
Het bestand met heel Active Directory op elke domeincontroller: alle objecten, alle attributen en alle wachtwoordhashes. Het waardevolste bestand in een Windows-omgeving.
De database staat normaal onder C:\Windows\NTDS en is vergrendeld zolang de service draait. Daarom halen aanvallers haar op via shadow copies, via ingebouwde beheeropdrachten die een kopie voor installatiemedia maken, of door het bestandssysteem rechtstreeks te lezen. De hashes erin zijn bovendien versleuteld met een sleutel die zelf beschermd wordt door een waarde in het systeemregister, dus een bruikbare extractie vraagt om zowel het databasebestand als een kopie van dat registeronderdeel. Met beide valt alles: elk account in het domein, krbtgt inbegrepen, en dus de mogelijkheid om tickets te vervalsen totdat dat account twee keer is vernieuwd. Na zo'n inbraak alleen beheerderswachtwoorden wijzigen helpt niets.