Взлом операционных систем (на примере Windows NT/2000/9x) База данных учетных записей пользователей Одним из основных компонентов системы безопасности Windows NT/2000/XP является диспетчер учетных записей пользователей. Он обеспечивает взаимодействие других компонентов системы безопасности, приложений и служб Windows NT/2000/XP с базой данных учетных записей пользователей (Security Account Management Database, сокращенно SAM). Эта база обязательно имеется на каждом компьютере с Windows NT/2000/XP. В ней хранится вся информация, используемая для аутентификации пользователей Windows NT/2000/XP при интерактивном входе в систему и при удаленном доступе к ней по компьютерной сети. База данных SAM представляет собой один из разделов (hive) системного реестра (registry) Windows NT/2000/XP. Этот раздел принадлежит ветви (subtree) HKEY_LOCAL_MACHINE и называется SAM. Он располагается в каталоге \winnt_root\System32\Config (winnt_root - условное обозначение каталога с системными файлами Windows NT/2000/XP) в отдельном файле, который тоже называется SAM. Основная часть информации в базе данных SAM хранится в двоичном виде. Доступ к ней обычно осуществляется с помощью диспетчера учетных записей. Изменять записи, хранящиеся в базе данных SAM, при помощи программ, которые напрямую редактируют реестр Windows NT/2000/ХР(REGEDT или REGEDT32), не рекомендуется. По умолчанию этого и нельзя делать, т. к. доступ к базе данных SAM запрещен для всех без исключения категорий пользователей Windows NT/2000/XP. Хранение паролей пользователей Именно в учетных записях базы данных SAM находится информация о пользовательских именах и паролях. В базе данных SAM каждый пароль пользователя обычно бывает представлен в виде двух 16-байтовых последовательностей, полученных разными методами (Windows NT/2000/ХР и LAN). В методе Windows NT/2000/ХР строка символов пользовательского пароля хешируется с помощью функции MD4. (В алгоритме хеширования MD4 исходная битовая последовательность дополняется так, чтобы ее длина в битах плюс 64 нацело делилась на 512. Затем к ней приписывается 64-битовое значение ее первоначальной длины. Полученная таким образом новая последовательность обрабатывается блоками по 512 бит с помощью специальной итерационной процедуры. В результате на выходе MD4 получается так называемая "выжимка" исходной последовательности, имеющая длину 128 бит. Алгоритм MD4 оптимизирован для 32-разрядных аппаратных платформ и работает довольно быстро). В итоге из введенного пользователем символьного пароля получается 16-байтовая последовательность - хешированный пароль Windows NT/2000/ХР. Эта последовательность затем шифруется по DES-алгоритму, и результат шифрования сохраняется в базе данных SAM. При этом в качестве ключа используется так называемый относительный идентификатор пользователя (Relative Identifier, сокращенно RID), который представляет собой автоматически увеличивающийся порядковый номер учетной записи данного пользователя в базе данных SAM. Для совместимости с другим программным обеспечением корпорации Microsoft (Windows for Workgroups, Windows 95/98 и Lan Manager) в базе данных SAM хранится также информация о пароле пользователя в стандарте Lan Manager. Для его формирования все буквенные символы исходной строки пользовательского пароля приводятся к верхнему регистру, и если пароль содержит меньше 14 символов, то он дополняется нулями. Из каждой 7-байтовой половины преобразованного таким образом пароля пользователя (длина пароля в Windows NT/2000/ХР ограничена 14 символами, ограничение накладывается диспетчером учетных записей), отдельно формируется ключ для шифрования некоторой фиксированной 8-байтовой последовательности по DES-алгоритму. DES-алгоритм является одним из самых распространенных алгоритмов шифрования данных. В США он имеет статус федерального стандарта. Это блочный алгоритм шифрования с симметричным ключом длиной 64 бита, из которых только 56 непосредственно используются при шифровании, а остальные 8 предназначены для контроля четности байтов ключа. При этом в качестве ключа используется PID (персональный идентификатор) пользователя). Полученные в результате две 8-байтовые половины хешированного пароля Lan Manager еще раз шифруются по DES-алгоритму и помещаются в базу данных SAM. Возможные атаки на базу данных SAMОбычно основным объектом атаки являются административные полномочия. Их можно получить, узнав в хешированном или символьном виде пароль администратора системы, который хранится в базе данных SAM. По умолчанию в Windows NT/2000/ХР доступ к файлу \winnt_root\System32\Config\SAM заблокирован для всех без исключения ее пользователей. Тем не менее, с помощью программы NTBACKUP любой обладатель права на резервное копирование файлов и каталогов Windows NT/2000/ХР может перенести этот файл с жесткого диска на магнитную ленту. Резервную копию реестра можно также создать утилитой REGBAK из состава Windows NT Resource Kit. Кроме того, несомненный интерес для любого взломщика представляют резервная копия файла SAM (SAM.SAV) в каталоге \winnt_root\System32\Config и сжатая архивная копия SAM (файл SAM._) в каталоге \winnt_root\Repair. Также указанный файл можно получить, загрузившись с дискеты или CD-ROM и воспользовавшись программой NTFSDOS или аналогичной. В случае наличия загрузки двух операционных систем (например, Windows 98 и Windows 2000) процесс копирования файла SAM существенно упрощается. При наличии физической копии файла SAM извлечь хранимую в нем информацию не представляет большого труда. Загрузив файл SAM в реестр любого другого компьютера с Windows NT/2000/ХР (например, с помощью команды Load Hive программы REGEDT32), можно детально изучить учетные записи пользователей, чтобы определить их значения PID и шифрованные варианты хешированных паролей.Однако для интерактивного входа в систему одного лишь знания хешированного пароля недостаточно. Необходимо получить его символьное представление. Для восстановления пользовательских паролей ОС Windows NT в символьном виде существуют специальные парольные взломщики. Они выполняют как прямой подбор паролей, так и поиск по словарю, а также используют комбинированный метод взлома парольной защиты, когда в качестве словаря задействуется файл с заранее вычисленными хешированными паролями, соответствующими символьным последовательностям, которые часто применяются в качестве паролей пользователей операционных систем. Одной из самых известных программ взлома паролей Windows NT/2000/ХР является LC4. На рисунке 1 приведено основное рабочее окно этой программы, предназначенной для работы на компьютерах с ОС Windows 95/98, Windows NT/2000/XP. Рисунок 1 Основное рабочее окно парольного взломщика LC4. Однако следует понимать, что программой взлома можно воспользоваться так же и для проверки надежности ваших паролей. Для этого необходимо: • выбрать пункт меню Вычисление PwDump и Sniff в окне Параметры. • Задается имя пользователя. (Имя пользователя Windows NT/2000/ХР может содержать до 20 символов верхнего или нижнего регистра, за исключением следующих: " / \ [ ] : ; | = , + * ? < > . и пробелов.) • Задается пароль, который может содержать до 14 символов. После задания имени и пароля следует нажать на кнопку вычислить. Результат можно сохранить в виде PwDump- или Sniff-файла. Также существует задание параметров атаки по словарю: • Обычное использование словаря; • Записанные дважды слова; • Обратный порядок символов слов; • Усеченные до заданного количества символов слова; • Слова без гласных, за исключением заглавной; • Транслитерация русских букв латинскими по заданной таблице транслитерации; • Замена раскладки локализации латинской раскладкой клавиатуры; • Замена латинской раскладки клавиатуры раскладкой локализации; • А также множество других параметров взлома. Другим примером взломщика паролей является программа SAMInside (http://www.insidepro.com) Рисунок 2 Окно программы SamInsideПрограмма SAMInside выполняет следующие функции: • Получение информации о пользователях из SAM-файлов Windows NT/2000/XP. • Подбор паролей пользователей из SAM-файлов. • Подбор паролей пользователей из SAM-файлов операционных систем Windows'2000/XP, зашифрованных системным ключом Syskey. SAMInside является первой в мире программой, которая ломает защиту ключом Syskey. Дополнительно включает в себя следующие возможности: • Подбор паролей не только к LMHash, но и к NTHash. • Работа с SAM-файлом, который используется в данный момент системой. • Импорт хэшей из текстовых файлов, полученных в результате работы других программ (L0phtCrack, pwdump и др.). • Генерация LMHash/NTHash по определенному паролю. • Проверка введенного пароля на всех пользователях. • Перебор по словарю. • Отображение найденных паролей с верным регистром букв. • Более удобная работа с хэшами пользователей. Добавлено через 17 минут Защита Windows NT/2000/ХР от парольных взломщиков Если компьютер с Windows NT/2000/ХР входит в домен, то по умолчанию имена и хешированные пароли последних десяти пользователей, регистрировавшихся на этом компьютере, сохраняются (кэшируются) в его локальном системном реестре (в разделе SECURITY\Policy\Secrets раздела HKEY_LOCAL_MACHINE). Чтобы отменить кэширование паролей на компьютерах домена, нужно с помощью утилиты REGEDT32 в раздел Microsoft\WindowsNT\CurrentVersion\Winlogon раздела HKEY_LOCAL_MACHINE добавить параметр CashedLogonsCount, установив его значение равным нулю, а тип - REG_SZ. Для защиты базы данных SAM можно применить утилиту SYSKEY. Эта утилита позволяет включить режим дополнительного шифрования информации о паролях, которая хранится в базе данных SAM. Уникальный 128-битовый ключ для дополнительного шифрования паролей (так называемый ключ шифрования паролей - Password Encryption Key, сокращенно - PEK) автоматически сохраняется в системном реестре для дальнейшего использования. Рисунок 3 Диалоговое окно утилиты SYSKEY для задания способа хранения системного ключа. Перед помещением в системный реестр ключ PEK шифруется при помощи другого 128-битового ключа, который называется системным ключом (System Key) и может храниться либо в системном реестре, либо в файле с именем STARTUP.KEY в корневом каталоге на отдельной гибкой дискете. Взлом шифрованной файловой системы (Encrypted File System) Для взлома Encrypted File System (EFS) может быть использовано программное обеспечение Advanced EFS Data Recovery производства компании "Элкомсофт" (Российская Федерация). Демонстрационную версию данного программного обеспечения можно получить по адресу http://www.elcomsoft.com/aefsdr.html Стартовое окно программы - Рис.4 Рис4. Окно программы Advanced EFS Data Recovery Программа может расшифровать защищенные файлы, только если ключи шифрования (не все, а хотя бы некоторые из них) - все еще существуют в системе и не изменялись. Для файлов, зашифрованных в операционной системе Windows 2000, если Ключ Базы данных Учетной записи (SYSKEY) сохранена на гибком диске, или если опция "Password Startup" была установлена, Вы должны знать один из следующих паролей, чтобы быть суметь расшифровать файлы: • пароль запуска или гибкий диск запуска • пароль пользователя, который зашифровал файлы • пароль Агента Восстановления (если - возможно) Взлом паролей архивовМногие пользователи архивируют свои данные с помощью популярных архиваторов ARJ, ZIP, RAR. Затем этим архивам задается пароль, а их содержимое шифруется. Но подбор паролей к архивам не ARJ, ZIP, RAR не составляет особого труда. Достаточно воспользоваться программами Advanced ARJ Password Recovery, Advanced ZIP Password Recovery, Advanced RAR Password Recovery. Все они используют следующие виды взлома: • Brute-Forсe ("атака в лоб") последовательный перебор всевозможных комбинаций символов; • Метод последовательного перебора (если известна хотя бы часть пароля); • Атака по словарю; • Гибридный метод (атака по словарю + метод последовательного перебора). Данный вид взломщиков мы рассмотрим на примере нескольких программ. Advanced ARJ Password Recovery Эта программа (Advanced ARJ Password Recovery или, короче, AAPR) может быть использована для нахождения утерянных паролей ARJ архивов. Для извлечения паролей используются как метод "грубой силы", так метод "атаки по словарю". Рисунок 5 Окно программы Advanced ARJ Password Recovery Особенности программы: • Скорость перебора около двух миллионов паролей в секунду при использовании процессоров Pentium II и Pentium III • Поддержка всех методов сжатия • Поддержка самораспаковывающихся архивов • Возможна настройка параметров перебора паролей: вы можете указать длину, кодовую страницу или набор символов и некоторые другие параметры • Поддержка не английских букв при использовании метода "грубой силы" •" Атака при помощи словаря" с возможностью изменения слов • Если длина пароля более 10 символов, то не возможен подбор пароля за достаточное время. Advanced ZIP Password RecoveryЭта программа (Advanced ZIP Password Recovery или AZPR) может быть использована для восстановления утерянных паролей ZIP архивов Рисунок 6 Окно программы Advanced ZIP Password Recovery Краткая характеристика возможностей AZPR: • Интуитивно понятный интерфейс; • Скорость перебора более двух миллионов паролей в секунду при использовании процессоров Pentium II и Pentium III; • Эта программа может работать с архивами, содержащими только один зашифрованный файл. • Поддерживает все методы компрессии файлов; • Поддерживает самораспаковывающиеся архивы; • Возможна настройка параметров перебора паролей: вы можете указать длину, кодовую страницу или набор символов и некоторые другие параметры; • Поддержка не английских букв при использовании метода "грубой силы"; • "Атака при помощи словаря" с возможностью изменения слов; • Максимальная длина пароля не ограничена. Если длина пароля более 10 символов и пароль хорошо подобран, то он не может быть раскрыт за ограниченное время. Advanced RAR Password RecoveryЭта программа (Advanced RAR Password Recovery или ARPR) может быть использована для восстановления утерянных паролей RAR архивов. (Рис 7) Рис.7 Окно программы Advanced RAR Password recovery В настоящее время, нет известного метода извлечения пароля сжатого файла, так что единственные доступные методы - "brute force" ("метод посимвольного перебора"), взлом на основе словаря и нападения known-plaintext attacks (на основе известного текста). Вот - краткий список преимуществ ARPR: Программа может работать с архивом, содержащим только один зашифрованный файл Поддерживается самораспаковывающийся архив Программа настраиваема: вы можете установить длину пароля (или диапазон длины), набор используемых символов и несколько других вариантов Вы можете выбрать произвольный набор символов для атаки "brute force" (поддерживаются неанглийские символы) Доступно нападение на основе словаря Доступна атака ""brute force with mask" Вы можете прервать программу в любое время, и начать с той же точки позднее Программа может работать в фоновом режиме. Известные ошибки и ограничения Если архив содержит только один зашифрованный файл, и это сохранено без сжатия, только с шифрованием - скорость выполнения может быть ниже ожидаемой в связи с тем, что требуется расшифровка целого файла. Для архива RAR, созданного в версиях 2.9 и 3.x, скорость восстановления чрезвычайно низка (из-за очень сильного шифрования). Взлом паролей документов MS Office.При использовании утилиты Advanced Office XP Password Recovery возможно восстановление паролей всех документов. Несмотря на то, что MS Word, шифруя документ, использует довольно сложный алгоритм (пароль не сохраняется внутри файла), он может быть вскрыт с использованием метода "грубой силы" или атаки по словарю. Средняя скорость при использовании процессора Pentium II составляет 80-100 тысяч паролей в секунду. Взлом паролей учетных записей электронной почты Для обзора взломщиков паролей учетных записей воспользуемся двумя программами. Так как наиболее популярными клиентами почты являются The Bat! и Microsoft Outlook Express, то именно учетные записи этих клиентов мы и будем рассматривать, хотя существуют программы взлома паролей и под более "экзотические" клиенты. The Bat! Password Viewer Не требует инсталляции. Работает практически мгновенно. Рабочее окно программы приведено на рис.8 Рис.8 Рабочее окно The Bat! Password Viewer Outlook Password Viewer.exeТак как данная программа выполнена тем же автором, то она тоже не требует инсталляции и работает практически мгновенно. Рабочее окно программы приведено на рис. 9 Рис.9 Рабочее окно Outlook Password Viewer DeBat Программа написана аналогично предыдущим, однако имеет опцию сохранения результатов в отдельном текстовом файле. Рабочее окно программы представлено на рис. 10 Данную программу можно скачать с сайта разработчика http://ucol.cjb.net Как видите, в данном случае не спасает и длина пароля. (с) Авторы: Владимир Безмалый, Елена Безмалая
Это просто начальные системы, то есть ты тока поставила её - он записался, но если ты после этого уже пароль меняла то от этого файла толков никаких. Ещё насчёт винды: Есть библиотека, отвечает как раз за проверку пароля - msv1_0.dll, они отличаються в sp1 и 2 так что на свой страх и риск. Пропатчиваем вот так: 00008DB9 75 74 0000F045 85 84 0000F073 85 84 0000F0EA 85 84 0000F8BB 75 74 0000F98F 75 74 0000F9F3 85 84 И теперь можно войти в систему с любым паролем. Адреса - raw
http://ucol.cjb.net/ нет такой страницы =( The Bat! Password Viewer скачать Попробовал, не работает. Видно работает на старых версиях. Mail PassView v1.42 - Recover lost mail passwords Mail PassView is a small password-recovery tool that reveals the passwords and other account details for the following email clients: Outlook Express Microsoft Outlook 2000 (POP3 and SMTP Accounts only) Microsoft Outlook 2002/2003/2007 (POP3, IMAP, HTTP and SMTP Accounts) Windows Mail IncrediMail Eudora Netscape 6.x/7.x (If the password is not encrypted with master password) Mozilla Thunderbird (If the password is not encrypted with master password) Group Mail Free Yahoo! Mail - If the password is saved in Yahoo! Messenger application. Hotmail/MSN mail - If the password is saved in MSN/Windows/Live Messenger application. Gmail - If the password is saved by Gmail Notifier application, Google Desktop, or by Google Talk. For each email account, the following fields are displayed: Account Name, Application, Email, Server, Server Type (POP3/IMAP/SMTP), User Name, and the Password. If your email program is not supported by Mail PassView, you can still recover your password by using this password sniffer скачать SniffPass v1.03 SniffPass is small freeware utility that listens to your network, capture the passwords that pass through your network adapter, and display them on the screen instantly. SniffPass can capture the passwords of the following Protocols: POP3, IMAP4, SMTP, FTP, and HTTP (basic authentication passwords). You can use this utility to recover lost Web/FTP/Email passwords. Скачать TheBat! Password Recovery 1.4.0 by Passcape Software А вот эта прога работает на ура Скачать Осталось найти кряк =( А вообще вот. Portable Multi Password Recovery 1.07 Portable Multi Password Recovery 1.07 - это многофункциональное решение для Windows 95/98/W2K/XP/2K3 по расшифровке и тестировании паролей на стойкость..Программа не просто показывает пароли под звездочками, а автоматически сканирует систему, находит и мгновенно расшифровывает пароли из более чем 60 популярных программ (Opera 6.x, 7.x, 8.x, 9.x, Mozilla Firefox (mostly all versions), QIP 2005a, ICQ 99b-2003b, Lite 4, Lite 5, &RQ 0.9, Google Talk (mostly all versions), Download Master 4, 5, FlashGet (JetCar) 1.6, 1.71, Outlook Express 6.0, Mail.Ru Agent 4.x, The Bat! v. 1.x, 2.x, 3.x, FAR Manager 1.6x, 1.7x, Windows/Total Commander 4.x, 6.x...), при этом не требуя вмешательства пользователя......... Кроме расшифровки, позволяет скопировать SAM файл, сгенерировать новый пароль, сохранить отчеты на жесткий диск. В W2K/XP/2K3 обрабатывает заблокированные для чтения файлы и показывает регистрационный ключ Windows. Для программистов доступен Plugin API, позволяющий расширить возможности программы. Возможности: - Чтение паролей под здездочками - Удаление сохраненных паролей - Аудит паролей (проверка на стойкость) - Поддержка плагинов, расширяющих функциональность программы - Копирование SAM файла - Обработка заблокированных для чтения файлов - Сохранение отчетов в файл - Встроенный мастер, позволяющий явно указать файл с паролями - Интерфейс программы на многих языках (Русский, Английский, Украинский, Белорусский, Нидерландский, Немецкий, Венгерский, Упрощенный Китайский) Поддерживаемые программы: FTP клиенты • Windows/Total Commander 4.x, 6.x • FAR Manager 1.6x, 1.7x • WS_FTP 5, 6, 7, 8, 9 Home/Pro, 2007 • CuteFTP Home/Pro (mostly all versions) • FlashFXP 1.x-3.x • FileZilla 2.x • FTP Commander Pro/Deluxe (mostly all versions) • FTP Navigator (mostly all versions) • BulletProof FTP Client 1.x, 2.x • SmartFTP 1.x, 2.x • TurboFTP 5 • FFFTP 1.x E-mail клиенты • Outlook Express 6.0 • Outlook 2000 (MSO 2000), 2002 (MSO XP), 2003 (MSO .NET) • Mozilla Thunderbird 1.0 • The Bat! v. 1.x, 2.x, 3.x • Becky 2.x • Eudora/Eudora Light (mostly all versions) • Gmail Notifier (mostly all versions) • Mail.Ru Agent 4.x • Opera Email Client • IncrediMail (mostly all versions) • Group Mail Free (mostly all versions) • Vypress Auvis 2.x • PocoMail 3.x, 4.x • Forte Agent 3.x • iScribe/nScribe 1.x Browsers • Opera 6.x, 7.x, 8.x, 9.x • Mozilla Browser 1.7.x • Internet Explorer 4, 5, 6, 7 • Mozilla Firefox (mostly all versions) Звонилки • Windows Remote Access Service (RAS), VPN and Dial-up passwords • EType Dialer 1.x • MuxaSoft Dialer 3.0, 4.0, 4.1 • FlexibleSoft Dialer 2.x-4.x • Advanced Dialer 2.x • Dialer Queen 1.x • VDialer 3 Менеджеры закачек • Download Master 4, 5 • GetRight 5 • FlashGet (JetCar) 1.6, 1.71, 1.8 • Internet Download Accelerator 5 Интернет пейджеры • QIP 2005 • Miranda IM 0.2.x, 0.3.x, 0.4.x, 0.5.x, 0.6 • ICQ 99b-2003b, Lite 4, Lite 5 • MSN Messenger 1.x-7.x • Windows Messenger • Yahoo! Messenger 3.x-6.x • &RQ 0.9 • Trillian 0.x, 2, 3 • AOL Instant Messenger (older versions), 6.x • AIM Pro • GAIM 1.x • Odigo 4 • IM2 (Messenger 2) 1.5.x • SIM 0.9 • Google Talk (mostly all versions) • PSI (mostly all versions) • Faim 0.1 • Windows Live Messenger • Paltalk (mostly all versions) • Excite Private Messenger 1.x • Gizmo Project (mostly all versions) • Pidgin (mostly all versions) Другие • Registration key from Win2k & XP • ClubTimer 2.2-2.7 • Punto Switcher 2.5-2.9 • WinVNC 3.x • Screen Saver Win9x • ASP.NET Account • Remote Desktop Connection • The Bee 1. Имя Файла: Multi_P---word_Recovery_v.1.07.Por... .rar Русская версия Размер Файла: 1.85 MB Скачать
Portable Multi Password Recovery v1.0.9 v1.0.9 (17.03.2008): [+] Новый модуль: MySpaceIM [+] Теперь программа попросит подтверждение при удалении паролей[*] Больше модулей в мастере [-] Не восстанавливались пароли Quick Connect в CuteFTP 8 [-] Не восстанавливались пароли из некоторых старых версий CuteFTP Размер: 1.93 Мб Ссылки: http://rapidshare.com/files/100712607/MPRP1.0.9.rar http://depositfiles.com/ru/files/4207217
