SAMInside
Внимание! Данная программа может использоваться исключительно для восстановления своих собственных забытых паролей!
Описание программы
Импорт данных
Экспорт данных
Восстановление паролей
Параметры командной строки
Дополнительные возможности программы
Статус программы
Ограничения Demo-версии
Лицензионное соглашение
FAQ
Программа предназначена для восстановления паролей
пользователей Windows NT, Windows 2000, Windows XP,
Windows 2003, Windows Vista, Windows 7 и имеет ряд особенностей,
выгодно отличающих ее от аналогичных программ:
• Программа имеет небольшой размер, не требует инсталляции
и может запускаться с дискеты, с CD/DVD-диска или с внешнего USB-диска.
• Программа содержит свыше 10 видов импорта данных и позволяет использовать 6 видов атак для
восстановления паролей пользователей:
– Атака полным перебором;
– Атака распределенным перебором;
– Атака по маске;
– Атака по словарям;
– Гибридная атака;
– Атака по предварительно рассчитанным Rainbow-таблицам.
• Код перебора паролей в программе полностью написан на языке
Ассемблер, что позволяет получать очень высокую
скорость перебора паролей на всех процессорах.
• Программа корректно извлекает имена и пароли пользователей Windows
в национальных кодировках символов.
Программа имеет следующие возможности для импорта данных:
"Import SAM and SYSTEM Registry Files" – импорт пользователей из файла SAM реестра Windows.
Если в загружаемом файле SAM используется дополнительное шифрование ключом SYSKEY (а
в Windows 2000/XP/2003/Vista такое шифрование включено принудительно),
то программе дополнительно потребуется файл SYSTEM реестра Windows, располагающийся в
той же директории Windows, что и файл реестра SAM, а именно – в каталоге %SystemRoot%\System32\Config.
Также копии этих файлов могут находиться в каталогах %SystemRoot%\Repair
и %SystemRoot%\Repair\RegBack. (Примечание: %SystemRoot% – системная директория Windows, обычно это
каталог C:\WINDOWS или C:\WINNT).
"Import SAM Registry and SYSKEY File" – импорт
пользователей из файла реестра SAM с использованием файла
с системным ключом SYSKEY.
"Import from PWDUMP File" – импорт пользователей из текстового файла
в формате программы PWDUMP. В каталоге \Hashes архива с программой SAMInside
вы можете найти тестовые файлы подобного формата.
"Import from *.LC File" – импорт пользователей из файлов, создаваемых программой L0phtCrack.
"Import from *.LCP File" – импорт пользователей из файлов, создаваемых программами LC+4 и LC+5.
"Import from *.LCS File" – импорт пользователей из файлов, создаваемых программами LC4, LC5 и LC6.
"Import from *.HDT File" – импорт пользователей из файлов, создаваемых программами Proactive Windows Security Explorer и Proactive Password Auditor.
"Import from *.LST File" – импорт пользователей из файла LMNT.LST, создаваемого программой Cain&Abel.
"Import LM-Hashes from *.TXT File" – импорт списка LM-хэшей из текстового файла.
"Import NT-Hashes from *.TXT File" – импорт списка NT-хэшей из текстового файла.
"Import Local Users ..." – импорт пользователей с локального
компьютера (для этого программу нужно запустить под пользователем с правами Администратора).
В программе используются следующие методы получения хэшей локальных пользователей:
" ... via LSASS" – импорт локальных пользователей, используя подключение к процессу LSASS.
" ... via Scheduler" – импорт локальных пользователей с использованием системной утилиты Scheduler.
Также программа позволяет добавлять пользователей с известными LM/NT-хэшами через диалоговое окно (Alt+Ins).
При этом максимальное количество пользователей, с которыми работает программа – 65536.
Программа имеет следующие возможности для экспорта данных:
"Export Users to PWDUMP File" – экспорт всех пользователей
в текстовый файл в формате программы PWDUMP. Далее вы можете загружать полученный файл
в любую удобную для вас программу для восстановления паролей.
"Export Selected Users to PWDUMP File" – экспорт выделенных пользователей
в текстовый файл в формате программы PWDUMP.
"Export Found Passwords" – экспорт найденных паролей в формате "User name: Password".
"Export Statistics" – экспорт текущей статистики программы в текстовый файл.
"Export Users to HTML" – экспорт информации о пользователях в HTML-файл.
Атака полным перебором
Данный вид атаки представляет собой полный перебор всех возможных вариантов паролей.
Атака полным перебором также включает в себя атаку распределенным перебором.
Данный вид атаки позволяет использовать для восстановления паролей
несколько компьютеров, распределив между ними обрабатываемые пароли.
Этот вид атаки включается автоматически, когда пользователь устанавливает количество компьютеров,
участвующих в атаке, более одного. После этого становится доступной возможность
выбора диапазона паролей для атаки на текущем компьютере.
Таким образом, чтобы начать атаку распределенным перебором, вам необходимо:
1. Запустить программу на нескольких компьютерах.
2. Выбрать во всех экземплярах программы нужное количество компьютеров для атаки.
3. Установить одинаковые настройки для перебора на всех компьютерах.
4. Выбрать для каждого компьютера свой диапазон перебора паролей.
5. Запустить на каждом компьютере атаку полным перебором.
Атака по маске
Данный вид атаки используется, если есть определенная информация о пароле.
Например:
– Пароль начинается с комбинации символов "12345";
– Первые 4 символа пароля – цифры, остальные – латинские буквы;
– Пароль имеет длину 10 символов и в середине пароля есть сочетание букв "admin";
– И т.д.
Настройки перебора по маске позволяют сформировать маску для
перебираемых паролей, а также установить максимальную длину перебираемых паролей.
Установка маски заключается в следующем – если вы не знаете N-й символ пароля, то
включите N-й флажок маски и в соответствующем текстовом поле укажите маску для этого символа.
Если же вы заранее знаете определенный символ пароля, то
впишите его в N-е текстовое поле и снимите флажок маски.
В программе используются следующие символы маски:
? – Любой печатаемый символ (ASCII-коды символов 32...255).
A – Любая заглавная латинская буква (A...Z).
a – Любая строчная латинская буква (a...z).
S – Любой специальный символ (!@#...).
N – Любая цифра (0...9).
1...8 – Любой символ из
соответствующего пользовательского набора символов.
Атака по словарям
Словарь – это текстовый файл, состоящий из часто употребляемых паролей типа
123
admin
master
и т.д.
Настройки атаки по словарям также включают и гибридную атаку, т.е.
возможность добавлять к проверяемым паролям
до 2 символов справа и слева, что позволяет восстанавливать такие пароли
как "master12" или "#admin".
Атака по предварительно рассчитанным таблицам
Данный вид атаки использует Rainbow-технологию
(http://project-rainbowcrack.com/)
для создания предварительно рассчитанных таблиц.
Дополнительно
– Для всех видов атак необходимо
дополнительно указать – по каким хэшам (LM или NT) восстанавливать
пароли.
– Для атаки по словарям (в списке файлов словарей) и
для атаки по Rainbow-таблицам (в списке файлов таблиц)
необходимо отметить галочками те файлы, которые предполагается использовать
в атаке.
Программой можно управлять, используя следующие параметры командной строки:
-hidden : запуск программы в скрытом режиме;
-noreport : запрещает программе выдавать сообщения об окончании атаки;
-import : при загрузке программа сразу же выполнит
автоматический импорт локальных пользователей;
-export : программа выполнит импорт
локальных пользователей, сохранит результаты в
файл SAMInside.OUT и завершит работу;
-minimize : запуск
программы с минимизацией в трей.
1. Проверка пароля на всех пользователях, загруженных в программу.
Для этого в текстовом поле "Current password:" введите нужный пароль
и нажмите F2. После этого программа проверит данный
пароль на всех пользователях, пароль к которым еще не найден.
2. "Скрытый режим" работы программы (Ctrl+Alt+H).
При выборе этого режима программа исчезнет с экрана и с панели задач.
Для возврата из скрытого режима нажмите эту же комбинацию клавиш.
3. Также в архиве с программой находятся следующие
консольные утилиты для работы с файлами реестра SAM и SYSTEM:
GetSyskey –
программа извлекает из файла реестра SYSTEM системный ключ SYSKEY и сохраняет его в отдельный 16-байтовый файл.
GetHashes –
программа извлекает хэши пользователей из файла реестра SAM, используя файл с ключом SYSKEY.
LRConvert – программа преобразует хэши из формата
программы "Login Recovery" в формат PWDUMP.
PassToSyskey – программа генерирует ключ SYSKEY на основе вводимого пароля.
Программа SAMInside имеет статус Shareware.
Стоимость одной лицензии – 500 рублей.
С вариантами оплаты лицензионного ключа вы можете ознакомиться здесь.
1. В атаке полным перебором можно использовать только заглавные латинские буквы.
2. Недоступна атака по маске.
3. В атаке по предварительно рассчитанным таблицам доступна атака только по одной таблице.
1. Все права на программу SAMInside принадлежат
InsidePro Software.
2. Программа распространяется в виде Demo-версии,
которую Вы можете использовать неограниченно долго.
Также Вы без уведомления автора можете размещать и
распространять неизмененный дистрибутив
Demo-версии программы на каких-либо носителях информации
(жесткий диск, дискета, CD-ROM и т.д.).
3. Для использования программы без ограничений
Вам необходимо
зарегистрировать
свою копию программы, оплатив стоимость
лицензионного ключа (или нескольких лицензионных ключей).
4. Использование лицензионных ключей
лицами, не являющимися зарегистрированными
пользователями программы, а также распространение и публикация
лицензионных ключей к программе
являются незаконными действиями.
Автор программы оставляет за собой право лишать статуса
зарегистрированного пользователя владельцев этих лицензионных ключей
и блокировать такие лицензионные ключи в последующих версиях программы.
5. Вы не можете модифицировать, дизассемблировать и
декомпилировать данную программу.
Нарушение любого из этих требований ведет к автоматическому
прекращению действия этого лицензионного соглашения.
6. Программа распространяется по принципу "как есть"
("AS IS"). Вы используете программу на собственный риск. Автор
не несет ответственности за потерю данных, повреждения,
упущенную прибыль или иной ущерб, полученный при использовании или
неиспользовании Вами этой программы.
7. Автор гарантирует,
что программа не содержит в себе вредоносного, шпионского или иного
скрытого кода, предназначенного для выполнения других функций,
кроме оговоренных в описании программы.
8. Использование программы означает принятие Вами
данного лицензионного соглашения.
9. Если Вы не согласны с условиями данного лицензионного соглашения,
пожалуйста, удалите файлы программы с Вашего компьютера
и прекратите ее использование.
Q1: Что такое файл реестра SAM, зачем он нужен и где он расположен?
A: Так называемый файл реестра SAM (Security Account Manager) представляет собой
раздел "HKEY_LOCAL_MACHINE\SAM" реестра Windows, который
физически расположен в системном каталоге Windows,
в папке \System32\Config\. Этот файл так и называется – sam.
В данном файле находятся имена локальных пользователей данного компьютера и
их зашифрованные пароли (хэши).
Q2: Я хочу загрузить в программу файл SAM, расположенный в каталоге C:\WINDOWS\System32\Config\,
но программа SAMInside не может его прочитать и информирует
об ошибке при доступе к этому файлу. Почему?
A: Дело в том, что файлы в этом каталоге (sam, system, software и другие файлы
без расширений) – это фрагменты реестра Windows и операционная система по умолчанию никому
не дает к ним доступа, даже на чтение. Получить доступ к файлу реестра SAM на локальном
компьютере можно следующими способами:
• Загрузиться, используя другую операционную систему (Linux, Knoppix, WinPE и пр.) на этом же компьютере.
• Если ваш системный диск имеет файловую систему FAT (или FAT32), то на компьютере с Windows 95/98 создайте загрузочную
дискету, загрузитесь с нее и скопируйте файлы реестра SAM и SYSTEM в другой каталог или на дискету.
• Если ваш системный диск имеет файловую систему NTFS, то для доступа к
файлам реестра используйте дискету, созданную в программе NTFSDos Pro.
Q3: Используя дискету, созданную в программу NTFSDos Pro, я
получил доступ к файлам реестра SAM и SYSTEM, но файл SYSTEM имеет очень большой
размер и не помещается на дискету, что делать?
A: Используйте любой DOS-архиватор для его сжатия, например HA:
– Добавление файла SYSTEM в архив:
a:\ha.exe a a:\system.ha C:\WINDOWS\System32\Config\system
– Извлечение файла SYSTEM из архива:
ha.exe e system.ha
Q4: При импорте файла реестра SAM (или файла SYSTEM) программа
сообщает об ошибке, несмотря на то, что я копировал его из каталога
C:\WINDOWS\System32\Config. Почему я не могу загрузить свой файл в программу?
A: Такая ситуация возникает, если формат загружаемого вами файла неизвестен программе SAMInside.
В первую очередь посмотрите на сигнатуру (т.е. первые 4 байта)
своего файла, она должна быть такая – "regf".
Если это не так, то возможно у вас произошла одна из следующих ситуаций:
– Вы скопировали файл с EFS-диска (т.е. с диска, на котором
установлена Encrypting File System, поддерживающая шифрование файлов); в этом случае
ваши файлы зашифрованы и представляют собой псевдослучайный набор байтов, которые не могут использоваться
для получения нужных данных из реестра.
– Ваши файлы расположены на NTFS-диске и вы использовали для их копирования
программу, которая работает с ошибками; такая ситуация
часто происходит при использовании программы NTFSDos (не версии Pro!)
и ряда других программ, которые некорректно работают с NTFS 5.0 и выше,
поэтому для копирования файлов используйте более новые версии программ.
Если же у вашего файла сигнатура правильная (т.е. он действительно является файлом реестра), но программа
не может импортировать из него данные, то пришлите свой
файл в Службу поддержки
для анализа.
Q5: Что означают знаки вопроса у неизвестных паролей?
A: Если LM-пароль и NT-пароль выглядят как "???????", то пароль имеет длину от 1 до 7 символов.
Если LM-пароль и NT-пароль выглядят как "??????????????", то пароль имеет длину от 8 до 14 символов.
Если LM-пароль отсутствует, а NT-пароль выглядит как "??????????????", то
пароль может иметь любую длину, но чаще всего его длина превышает 14 символов.
Q6: Какие алгоритмы используются при получении LM- и NT-хэшей?
A: Формирование NT-хэша происходит так:
1. Пароль пользователя преобразуется в Unicode-строку.
2. Генерируется MD4-хэш на основе данной строки.
3. Полученный хэш шифруется алгоритмом DES, при этом в качестве ключа используется RID пользователя.
Формирование LM-хэша происходит так:
1. Пароль пользователя преобразуется в верхний регистр и дополняется нулями до длины 14 байт.
2. Полученная строка делится на две половинки по 7 байт и каждая из
них по отдельности шифруется алгоритмом DES. В итоге получаем хэш длиной 16 байт
(состоящий из двух независимых половинок длиной по 8 байт).
3. Полученный хэш шифруется алгоритмом DES, при этом в качестве ключа используется RID пользователя.
Q7: В чем разница между LM- и NT-паролями? Я нашел с помощью вашей программы LM-пароль "ADMIN",
а NT-пароль – "Admin". Какой из них мне использовать для входа в систему?
A: Для входа в систему используется регистрозависимый NT-пароль.
Q8: Мой пароль имеет длину более 7 символов, но при попытке установить начальный пароль
больше 7 символов атака полным перебором (по LM-хэшам) не запускается, почему?
Или же программа заканчивает перебирать
все 7-символьные LM-пароли и сообщает, что атака закончена. Почему, ведь у меня пароль длиннее?
A: 7 символов – это не ограничение программы, а особенность формирования LM-хэшей.
К примеру, 9-символьный пароль "MARGARITA" Windows шифрует так:
отдельно первую 7-символьную часть пароля – "MARGARI"
(получая хэш "0069AD6D0FA5DD32") и отдельно вторую часть – "TA"
(получая хэш "25E6C6A091DDAB09"). В результате получается LM-хэш
"0069AD6D0FA5DD3225E6C6A091DDAB09", который после дополнительного
шифрования и хранится в файле реестра SAM.
Соответственно, программа SAMInside при восстановлении LM-паролей анализирует
обе 8-байтовые половинки LM-хэша по отдельности.
В итоге, если у вас пароль длиной 9 символов, то программа
восстанавливает не один пароль длиной 9 символов, а два разных пароля длиной 7 и 2 символов!
При этом SAMInside при атаке анализирует обе половинки исходного пароля
одновременно, уменьшая общее время восстановления длинного пароля ровно в 2 раза.
Так что, SAMInside успешно восстанавливает LM-пароли длиной до 14 символов,
но по его половинкам!
Q9: У меня короткий NT-пароль (LM-пароль отсутствует), состоящий из латинских букв, но
программа его не находит, почему?
A: Дело в том, что Windows при получении LM-хэшей всегда преобразует пароль в
верхний регистр (т.е. при шифровании паролей "Admin", "ADMIN" и "aDmIn" на выходе будет один
и тот же LM-хэш – вы можете проверить это, используя генератор LM/NT-хэшей в SAMInside).
Поэтому и при восстановлении LM-пароля вы можете использовать символы любого
регистра – программа все равно преобразует их в заглавные.
А NT-пароль является регистрозависимым, поэтому при его
восстановлении используйте наборы символов, состоящие
как из заглавных, так и из строчных символов нужного алфавита.
Q10: При импорте локального SAM-файла методом "... via Scheduler" программа сообщает об ошибке "Can't
open temporary file: ...". Почему?
A: Дело в том, что этот метод получает содержимое раздела HKEY_LOCAL_MACHINE\SAM реестра Windows,
используя системную утилиту Scheduler, которая по умолчанию имеет
права пользователя SYSTEM. Но на некоторых
компьютерах доступ на чтение этой ветки реестра закрыт даже пользователю SYSTEM! Это делается
либо программами-твикерами, либо "ручными" настройками реестра Windows.
В этом случае используйте метод получения локальных пользователей через подключение к системному
процессу LSASS или же используйте сторонние утилиты.
Q11: У меня работают оба метода получения локальных
пользователей – и "... via Scheduler", и "... via LSASS".
Зачем тогда в программе присутствуют два этих метода одновременно?
A: Это сделано специально для того, чтобы если один из этих методов не сработает
или же будет работать с ошибками, то у вас всегда был альтернативный способ получения локальных
пользователей (причина, по которой не работает импорт с использованием программы Scheduler, описана выше;
другая причина – Microsoft может выпустить заплатку, после которой подключение к процессу LSASS
станет происходить другими методами или же будет запрещено совсем и пр.).
Таким образом, если не сработает один метод импорта локальных
пользователей, используйте другой метод и наоборот.
Q12: Ваша программа восстановила пароль из файла реестра SAM, но когда я пытаюсь
войти с ним в Windows, то ОС сообщает, что пароль неверный! В чем дело?
A: Возможно, ваш компьютер является сетевым и в локальной сети присутствует сервер домена с
включенной службой Active Directory. В этом случае учетные записи пользователей
хранятся на сервере домена, а не в файле SAM.
А программа SAMInside восстанавливает пароли только к локальным учетным записям,
которые хранятся в файле реестра SAM.
Q13: Что такое системный ключ SYSKEY? Как правильно выполнять импорт файла
реестра SAM и файла с ключом SYSKEY?
A: Системный ключ – это 16 байт, которые используются для
дополнительного шифрования хэшей в Windows.
Данный ключ хранится в реестре.
Получить доступ к этому ключу можно следующими способами:
• С помощью утилиты SYSKEY.EXE установить такой режим, при
котором ключ будет сохраняться на дискете,
которую необходимо использовать каждый раз при загрузке Windows. В этом случае файл, сохраненный на
дискете, будет называться StartKey.key.
• Использовать программу
GetSyskey (или другую,
аналогичную ей), которая
извлекает данный ключ из файла реестра SYSTEM и сохраняет его в
отдельный файл. Этот файл имеет длину 16 байт и используется для
декодирования хэшей при выборе следующего пункта меню программы SAMInside –
"Import from SAM registry file and file with system key...".
Q14: Как использовать атаку полным перебором в SAMInside на многопроцессорных компьютерах?
A: Вы вполне успешно можете использовать программу на многопроцессорных компьютерах
(конечно, если само ядро Windows поддерживает многопроцессорность),
при этом будут работать все процессоры и общая скорость восстановления паролей возрастет
пропорционально количеству процессоров.
Например, ваш компьютер имеет два процессора. Тогда вам необходимо создать
две папки и скопировать в каждую из них по одному экземпляру программы SAMInside. Затем установите в обеих
программах одинаковые настройки атаки полным перебором
и используйте атаку распределенным перебором.
Для этого установите количество компьютеров, участвующих в переборе, равное количеству процессоров
(в нашем случае – 2). Затем установите для одной программы первый диапазон паролей,
а для другой – второй диапазон и запустите атаку в каждом экземпляре программы.
В результате обе программы будут работать на разных процессорах, причем каждый
экземпляр программы будут работать с максимальной скоростью для данного процессора.
Q15: Восстанавливает ли программа Active Directory-пароли?
A: Нет, не восстанавливает. SAMInside восстанавливает только пароли локальных
пользователей, хранящиеся в файле реестра SAM.
Q16: Можно ли как-то упростить создание пользовательских наборов символов
в настройках атаки полным перебором и атаки по маске?
A: Да, можно. Для этого вызовите контекстное меню,
нажав правую кнопку мыши над соответствующим текстовым полем. Данное меню наряду со стандартными
командами ("Копировать", "Вырезать" и пр.) будет также содержать и команды
для быстрой вставки различных наборов символов.
Q17: "Таблицы замены символов" в атаке по словарям – что это такое?
A: Данные таблицы (*.KBT-файлы) представляют собой текстовые
файлы, в которых можно указать – какие символы проверяемых
паролей должны быть заменены на другие символы.
Эта возможность обычно требуется пользователям
из не-англоязычных стран, имеющих на клавиатуре 2 раскладки
символов – английскую и свою национальную. В этом случае пароли
на своем языке могут быть набраны в английской раскладке клавиатуры
и наоборот – английские слова набраны национальными символами.
В архиве с программой находится файл "Russian.kbt", в котором
представлены такие таблицы для пользователей с русской раскладкой клавиатуры.
Q18: Что такое Rainbow-таблицы и как их использовать для восстановления паролей?
A: Подробную информацию о Rainbow-таблицах можно прочитать здесь.
Для генерации таблиц можно использовать программы
rtgen или
Winrtgen.
Для восстановления паролей необходимо загрузить в программу список *.RT-файлов,
содержащих Rainbow-таблицы и выбрать атаку по таблицам. Разумеется, тип хэшей
в таблицах должен совпадать с типом хэшей, выбранных для атаки. Для этого
файлы с таблицами должны называться следующим образом:
"lm_*.rt" для LM-хэшей,
"ntlm_*.rt" для NT-хэшей (генерируются программой Winrtgen).
Q19: При атаке по Rainbow-таблицам возникает сообщение
"Can't open charset configuration file!" и атака заканчивается.
Что это за файл, где его взять и зачем он нужен?
A: Это файл с наборами символов
(например – "alpha" (A...Z), "numeric" (0...9) и др.),
которые используются
для генерации Rainbow-таблиц, а также для восстановления
паролей по этим таблицам. В архиве с программой находится
файл "Charset.txt", который содержит 25 часто используемых
наборов символов, но, разумеется, вы всегда можете дополнить его
своими собственными наборами.
Q20: Я импортирую хэши из файлов реестра Windows NT и при загрузке в программу файла SYSTEM возникает ошибка "Error reading system key from SYSTEM registry file!". Что делать?
A: Эта ошибка говорит о том, что файл SYSTEM не содержит ключа SYSKEY, которым дополнительно шифруются хэши от паролей. Таким образом, для импорта таких хэшей файл SYSTEM не нужен и когда программа предлагает его загрузить, просто нажмите "Отмена".
