NTDS.dit
Файл, содержащий весь Active Directory на каждом контроллере домена: все объекты, все атрибуты и все хеши паролей. Самый ценный файл в среде Windows.
Обычно база лежит в C:\Windows\NTDS и заблокирована, пока работает служба, поэтому атакующие получают её через теневые копии, через встроенные административные команды, создающие копию для установочного носителя, или читая файловую систему напрямую. Хеши внутри дополнительно зашифрованы ключом, который защищён значением в системном реестре, так что для успешного извлечения нужны и файл базы, и копия этой части реестра. Имея оба, атакующий получает всё: каждую учётную запись домена, включая krbtgt, то есть возможность подделывать билеты, пока этот аккаунт не сменят дважды. Просто сменить пароли администраторов после такого взлома не даёт ничего.