Windows账户与SAM数据库解析

本文深入解析了Windows系统中两类核心账户数据库——本地账户依赖的安全帐户管理器（SAM）文件与域环境下的活动目录数据库（ntds.dit），澄清了所谓“Dbs账户数据库”实为对ntds.dit的误称；详细揭示了SAM位于System32\config下、受SYSTEM文件和SysKey加密保护、以注册表形式运行且密码哈希可被离线提取的风险特性，同时阐明ntds.dit作为ESE格式的独立数据库，支持多主复制、LDAP查询与更高级别的域级安全机制；通过对比二者在存储结构、访问方式、加密模型及故障影响上的根本差异，为系统管理员、安全研究人员和渗透测试人员提供了理解Windows身份认证底层逻辑的关键技术视角。

Windows 系统中的用户账户数据由多个关键组件协同管理，其中“dbs 账户数据库”并非标准 Windows 术语，实际指代的通常是域环境下的活动目录数据库（ntds.dit），而本地账户则完全依赖安全帐户管理器（SAM）文件。以下是关于这两类账户数据库的详细说明：

一、SAM 文件的定位与结构

SAM 是 Windows 本地用户账户的核心存储机制，其数据库以注册表形式存在，同时在磁盘上保留物理副本。该文件受内核级独占锁保护，运行时无法被直接读取或复制。

1、SAM 数据库的注册表路径为 HKEY_LOCAL_MACHINE\SAM\SAM，其中包含 Domains\Account\Users 和 Domains\Builtin 两个主要分支。

2、磁盘上的 SAM 文件位于 C:\Windows\System32\config\SAM，与 SYSTEM 文件配对使用，二者缺一不可。

3、每个用户条目下包含子项 F（登录状态记录）和 V（账户元数据），其中密码以 LM 哈希与 NTLM 哈希双格式存储，并经系统密钥（SysKey）加密。

二、域环境中的账户数据库 ntds.dit

当计算机加入域后，本地 SAM 不再承担域用户验证职责；所有域账户信息统一由域控制器（DC）中的活动目录数据库 ntds.dit 管理。该数据库采用 Extensible Storage Engine（ESE）格式，是 Windows Server 域服务的核心数据文件。

1、ntds.dit 默认存储于 C:\Windows\NTDS\ntds.dit，其结构包含用户、组、计算机、OU 等全部 AD 对象。

2、该数据库通过 LSASS.EXE 进程加载到内存中，验证请求由域控制器的 KDC（密钥分发中心）和 Netlogon 服务协同处理。

3、与 SAM 不同，ntds.dit 支持多主复制、对象级权限控制及 LDAP 查询接口，且不依赖 SysKey 加密，而是通过 Active Directory 数据库加密（EFS 或 BitLocker 卷加密）保障静态安全。

三、SAM 与 ntds.dit 的关键差异

二者在作用范围、存储机制与安全模型上存在本质区别：SAM 仅服务于单机本地账户，而 ntds.dit 是域范围内统一身份源；SAM 使用注册表格式并强制绑定 SYSTEM 配置单元，ntds.dit 则为独立 ESE 数据库文件；SAM 密码哈希默认可被离线提取（若无 SysKey 保护），ntds.dit 在未启用额外加密措施时同样面临 DIT 提取风险。

1、SAM 的访问依赖 lsass.exe 进程，该进程启动类型必须设为自动，否则系统无法完成用户登录认证流程。

2、ntds.dit 的完整性由 esentutl.exe /g 工具校验，而 SAM 文件无法通过常规命令行工具直接导出或解析。

3、本地管理员若尝试删除或替换 SAM 文件，将导致系统无法启动；而对 ntds.dit 的误操作仅影响域控制器功能，不影响成员机本地登录能力。

今天带大家了解了的相关知识，希望对你有所帮助；关于文章的技术知识我们会一点点深入介绍，欢迎大家关注golang学习网公众号，一起学习编程~