BugTraq.Ru: форум / hacking / EFS

информационная безопасность
без паники и всерьез

подробно о проекте

Spanning Tree Protocol: недокументированное применение

Анализ криптографических сетевых...

Модель надежности двухузлового...

Специальные марковские модели надежности...

Очередное исследование 19 миллиардов...

Оптимизация ввода-вывода как инструмент...

Зловреды выбирают Lisp и Delphi

bugtraq.ru / форум / hacking

Имя

Пароль

если вы видите этот текст, отключите в настройках форума использование JavaScript


ФОРУМ


	все доски
	FAQ
	IRC
	новые сообщения

	site updates
	guestbook
	beginners
	sysadmin
	programming
	operating systems
	theory
	web building
	software
	hardware
	networking
	law
	hacking
gadgets
job
dnet
humor
miscellaneous
scrap

регистрация

Легенда:

новое сообщение

закрытая нитка

новое сообщение

в закрытой нитке

старое сообщение

Напоминаю, что масса вопросов по функционированию форума снимается после прочтения его описания.
Новичкам также крайне полезно ознакомиться с данным документом.

EFS 30.09.03 11:42 Число просмотров: 6600
Автор: Maximum Hard Статус: Незарегистрированный пользователь

<"чистая" ссылка>

> Кто-нибудь копал реально под EFS, (encrypting file system)
> реализованную в win2k ?? Что они там еще за DESX придумали
> ,наверняка гадость какая нибудь...
http://www.ixbt.com/storage/efs.html

EFS 20.09.01 10:07
Автор: Noisome Статус: Незарегистрированный пользователь

<"чистая" ссылка>

Кто-нибудь копал реально под EFS, (encrypting file system) реализованную в win2k ?? Что они там еще за DESX придумали ,наверняка гадость какая нибудь...

Efs - дерьмо !!!!!!!!!!!!!!!!!!!!!!1 07.10.03 22:12
Автор: Ilich Статус: Незарегистрированный пользователь

<"чистая" ссылка>

C EFS'ом конкретные лаги. Лично протестил и понял, шо @#$ня все это. Короче, есть такие тулзы, которые помогают менять пароль админа под W2k, загружаясь с дискетки. Ну и че, поменял я пассворд, вошел в систему и получил полный доступ к шифрованым файлам !!! Вот такая вот @#$ня !!!!

ссылочку кидани 08.10.03 22:40
Автор: vladik_ Статус: Незарегистрированный пользователь

<"чистая" ссылка>

на тулзы плиз..
или название скажи
> C EFS'ом конкретные лаги. Лично протестил и понял, шо @#$ня
> все это. Короче, есть такие тулзы, которые помогают менять
> пароль админа под W2k, загружаясь с дискетки. Ну и че,
> поменял я пассворд, вошел в систему и получил полный доступ
> к шифрованым файлам !!! Вот такая вот @#$ня !!!!

насколько я понял, речь идёт об этом: 09.10.03 01:19
Автор: fly4life <Александр Кузнецов> Статус: Elderman

<"чистая" ссылка>

http://home.eunet.no/~pnordahl/ntpasswd/
(http://bugtraq.ru/cgi-bin/forum.mcgi?type=sb&b=6&m=86721)

Но на EFS, как говорилось ниже, это не прокатит...

Хрен вам как говорится 07.10.03 22:30
Автор: amirul <Serge> Статус: The Elderman

<"чистая" ссылка>

> поменял я пассворд, вошел в систему и получил полный доступ
> к шифрованым файлам !!! Вот такая вот @#$ня !!!!
Ни фига не получишь. Если почитать про PKI (public key infrastructure), то становится ясно, что все public ключи и сертификаты юзера зашифрованы master ключем, который в свою очередь зашифрован хешем из комбинации SID/Password (там еще что то было). В ресурс кит хелпе все довольно хорошо описано. Таких явных дырок там точно нет. Или ты действительно думаешь, что в мелкософте олухи сидят?

Ты сначала протести, а потом говори !!!! Если бы сам не тестил, то ничего бы не писал !!!! 09.10.03 22:13
Автор: Ilich Статус: Незарегистрированный пользователь

<"чистая" ссылка>

Короче, чувак, ты слей прогу, которая помогает пассворд админа менять, затем заюзай, а потом посмотри, что получилось. Кстати говоря, этот баг был описан еще Джеймсом Дж. Грейсом и Томасом С.В. Барлеттой III. Так что не надо ля-ля. Понимаешь, по умолчанию учетная запись админа является учетной записью восстановления EFS, то еть админ может все шифрованое файло читать !!! Поэтому, если ты сбросишь пароль админа, то поимеешь EFS. Во избежании недоразумений заранее скажу, что если ты зашифруешь файлы и переустановишь Винду, то файлы будут утеряны !!!!

Сам не тестил, но тест HandleX-а для меня более убедителен, потому как 10.10.03 11:41
Автор: amirul <Serge> Статус: The Elderman

<"чистая" ссылка>

Более согласуется с моими представлениями о работе EFS

> Короче, чувак, ты слей прогу, которая помогает пассворд
> админа менять, затем заюзай, а потом посмотри, что
Юзал я юзал. Слил еще несколько лет назад. Теперь вот и обновление слил.

> ля-ля. Понимаешь, по умолчанию учетная запись админа
> является учетной записью восстановления EFS, то еть админ
> может все шифрованое файло читать !!! Поэтому, если ты
> сбросишь пароль админа, то поимеешь EFS. Во избежании
Но все равно - сброшенный пароль не позволяет вытащить админовский Master Key, а следовательно расшифровать сертификаты (зашифрованные оным) не получится. Даже не смотря на то, что админ имеет сертификат на восстановление.

> недоразумений заранее скажу, что если ты зашифруешь файлы и
> переустановишь Винду, то файлы будут утеряны !!!!

Если все таки интересно, могу еще раз раскопать доку по принципу работы EFS. Но основной принцип: зашифрованный файл завязан не на SID (то есть любой, кто зашел под данным юзером может расшифровать файл), а на комбинацию SID+хеш пароля. Более того, если бы сертификат восстановления не зависил от пароля админа, то уже давно бы на той же линуховской дискетке валялась бы прога для восстановления EFS-файлов.

@#$! Потестил! 10.10.03 06:44
Автор: HandleX <Александр М.> Статус: The Elderman

<"чистая" ссылка>

> Короче, чувак, ты слей прогу, которая помогает пассворд
> админа менять, затем заюзай, а потом посмотри, что
> получилось.
Знаю я такую прогу... Называется OS Windows XP build 5.1.2600 ;)
Я не вижу принципиальной разницы между «взломанным» входом в систему и обычным. Итак, я админ. Вот передо мной зашифрованный юзверьский файл. Не открывается ;-(

А теперь расскажи, как тестил ты ;-)

> Кстати говоря, этот баг был описан еще Джеймсом
> Дж. Грейсом и Томасом С.В. Барлеттой III. Так что не надо
> ля-ля.
Получается ля-ля, но с другой стороны ;-) А чуваков я этих не знаю.

@#$! Потестил! 14.10.03 20:51
Автор: Ilich Статус: Незарегистрированный пользователь

<"чистая" ссылка>

Короче, пароль админа надо не сбрасывать, а изменять. То есть, ты не удаляешь пароль админа, а меняешь его на тот, который знаешь сам. Это методика для взлома, а не для админинга. А если ты хочешь узнать о тех чуваках, про которых я писал, то почитай буксу "Секреты хакеров".

Повторяю, у меня не получилось хоть так, хоть эдак. Дай пошаговую инструкцию. 15.10.03 04:42
Автор: HandleX <Александр М.> Статус: The Elderman

<"чистая" ссылка>

Методики и инструкции по хаку efs 18.10.03 23:40
Автор: Ilich Статус: Незарегистрированный пользователь

<"чистая" ссылка>

Хорошо, раз уж ты не хочешь экспериментировать и пытаться

сделать что-либо самостоятельно, то я попытаюсь описать весе пути

и методики получения доступа к EFS более подробно(хотя про смену

паролей я уже наверное раз десять писал). Ну что, show must start

!!!.
Вообще сущесчтвует несколько методик получения доступак

зашифрованым файлам. Кстати, все эти рекомендации более относятся

к взлому, когда надо получить доступ к файлам, которые хранятся на

работующей системе, а не на той, на которой Винда конкретно

запаролась и все ключи восстановления данных жавно потерты.

Например, те методики, которые я буду сейчас описывать,

тестировались мной на рабочей Мастдайке, но когда у меня упала

Винда, то после переустановки, доступ к шифрованым файлам я так и

не получил. Ладно, переходим ближе к телу, то есть хаку.
Короче, сначала разберемся, что нам дано. Мы имеем камп

под управлением Windows 2000 или XP и винчестер с зашифрованой

папкой, доступ к которой надо получить. Файловая система

винчестера должна быть обязательно NTFS'ом, так как файлы могут

быть зашифрованы только на этой файловой системе. Отсюда вытекает

и первый(самый простой) метод дешифровки файлов: если ты можешь

получить доступ к кампы с правами юзера, зашифровавшего файл, и на

винте есть раздел, файловая система которого FAT32(вообще любая,

кроме NTFS. Хотя чтобы получить доступ к ext2, например, надо

доставать специальный софт.) Теперь надо просто скопировать

зашифрованый файл в данный раздел(который FAT32). Все, поздравляю,

ты расшифровал этот файл. Если честно, этот метод имеет больше

академическое, чем практическое значение. Если ты будешь

заниматься реальным хаком, то вряд ли сможешь воспользоваться этой

методикой, но чем черт не шутит ;-).
Так, переходим к более действинным методикам. У нас на

очереди взлом паролей Виндовс. Вот только не говори, что ты этого

елать не умеешь!!! Мне кажется, что это может сделать практически

любой ребенок в детском саду ;-) Методика взлома стара как мир:

перебор по словарю или брутфорс. Но для того, чтобы что-то

брутфорсить, надо это что-то еще и достать. Пароли можно полуить

из разных мест. Для начала надо проверить файл {Windows

directory}\repair. Там лежит файл с именем sam(в Windows NT это

был sam._) В этом файле содержится резервная копия базы данных

паролей(SAM). Так, а что делать, если попался умный админ,

спросишь ты меня. Тогда надо попытаться заюзать pwdump2 и pwdump3.

Данные утилиты помогают получить зашифрованые паролики. Чтобы

поюзать эти утилки, надо иметь достып к кампу. Так, если эти

"боевые" тулзы не помогут, то попробуй загрузиться с довсовской

загрузочной дискетки и запустить ntfsdos.exe(ну, или какой-нить

другой софт, позволяющий читать данные с разделов под NTFS).

Теперь, надо скопировать на дискету файл SAM, который лежит в

{Windows Directory}\System32\Config. Теперь, когда у тебя ести

зашифрованые пероли, можно их и похачить. Для этого используется

LC3, написанный @Stake. Можно использовать и другой софт, но

по-моему, чучше LC3 ничего нету. Когда у тебя появятся пароли

юзверей, можешь приступать к чтению шифрованых файлов. Кстати,

если получишь пароль админа, то считай, что тебе конкретно

повезло, так как админ является Data Recovery Agent(по нашенски -

агентом восстановленя шифрованых данных), т.е. может получить

доступ к любому шифрованому файлы. Нет, это ,конечно, не

обязательно, т.к. права на восстановление шифрованых данных могут

быть делигированы другой учетной записи, поэтому, если админ не

читает шифрованых данных, надо брутфорсить учетки далеше, пока не

получишь доступ к аккунту, способному получить доступ к шифровкам.

Вообще говоря, потбор пароля - это самый грубый и долгий метод

взлома 2к Винды. Гораздо более выгодным является использования

различных эксплоитов для расширения привилегий и тому подобных

утилиток. Но и следующий метод может помочь ...
Теперь метод, о котором я уже столько раз писал. Смысл

состоит в том, чтобы загрузившись под какой-нить операционкой и

изменить или сбросить(вчера у себя протестил - РАБОТАЕТ !!!)

пароль аккоунта, который используется для восстановления

зашифрованых данных. Поехали. Лично я тестировал две утилиты:

первая - Peter Nordahl’s ‘NT Offline Password and Registry Editor’

и Passware Kit. К этим тулзам идут хорошие доки, но так как ты

попросил расписать как се делать по шагам, то я тебе опишу

методику работы с Passware Kit. Короче, эта тулзя используется для

брутфорса и хака паролей для конкротно большого числа

распространенных прог. Одна измини тул, которая входит в этот

набор, служит для создания специальных загрузочных дискет, которые

ичспользуются для изменения пароля админа. Короче, сначало тебе

надо сделать загрузочные дискеты установщика Винды, потом зпустить

мини тулзу о которой я писал выше, и следовать указаниям

мастера(он там попросит ввести новый пароль, потом тебе придется

вставлять дискеты в дискетник. Смотри, не запутайся, какая дискета

под каким номером идет!). Все, теперь грузись с дискеты и опять

делай все, что напишут на экране. Поздравляю, ты изменил пароль

для Data Recovery Agent. Теперь можешь спокойно читать любовную

ереписку своего шефа ;-))) По-моему, ничего сложного в этом нет,

но метод довольно рискованый, так как можно запароть SAM файл, и

тогда уж ты точно не получишь зашифрованых данных, хотя как знать.

Я тестировал этот метод, и у меня работало без глюков. Не понимаю,

почему у тебя не получилось. Кстати, в свое время(когда нашли этот

баг) M$ официально признал наличие данной уязвимости.
Напоследок осталось парочку экзотических приемов. Первый -

можно назначить ключ шифрования той учетной записи, которая

зашифровала файлы, другой. В таком случае, эта другая учетная

запись сможет получить доступ к зашифрованым данным. Короче, надо

тарить ключи ширования, а если по буржуйски, то экспортировать.

Т.Е. экспортируешь ключик и назначаешь его своей учтной записи и

опля, получаешь доступ к зашифрованым данным.
И, наконец, самый экзотический метод - копание в различных

тмпшных файлах и резервных копиях, а также в дампах памяти и

других малоизвестных среднестатистическому пользователю местах.

Короче, я этим методом пользоваться не рекомендую, так как очень

муторно, хотя если ничего другого не остается, то можно

попробовать - вдруг повезет.
Вот и закончилась сия статья, посвященная хаку EFS. При

подготовке данного материала, я использовал статью Roberta Bragg

из Security Evangelist Have Computer Will Travel, Inc., которая

называлась "Hacking EFS - Part 1" и "Hacking EFS - Part 2", ну и,

конечно, свой собственный опыт аудиторских проверок.

P.S. Ну уж если ты и сейчас ничего не понял, то я уже не

знаю, как дальше объяснять ...

Всё понял. Спасибо. 03.11.03 10:57
Автор: HandleX <Александр М.> Статус: The Elderman

<"чистая" ссылка>

У МЕНЯ ЕСТЬ ЕЩЕ ИНФА ПО ХАКУ EFS 15.11.03 23:42
Автор: Ilich Статус: Незарегистрированный пользователь

<"чистая" ссылка>

Народ, всеми нами любимый Elcomsoft выпустил Advansed EFS Data Recovery. Я еще не протестил, новот сегодня скачал. Как только протестирую, дам знать.

@#$! Потестил! :-) 20.10.03 11:39
Автор: amirul <Serge> Статус: The Elderman

<"чистая" ссылка>

> P.S. Ну уж если ты и сейчас ничего не понял, то я
> уже не
>
> знаю, как дальше объяснять ...
Windows 2000 Professional EN SP0 (5.00.2195) работает

Вообще я это все знал, но не думал, что MS-ы такие дауны. Сподобился я все это протестить. Самое ужасное, что сброс пароля рабтает, хотя все что написано в ресурските по поводу ЕФС говорит, что не должно ни в коем случае. Приношу свои извинения. Если бы я не верил в то, что МС-ы не придурки и потестил сразу - никакого недоразумения не было бы. :-)

Попробуй на XP и 2к3, если не влом:). Есть подозрение, что все будет по-другому. 01.04.05 04:04
Автор: AlexD <Alexander> Статус: Member

<"чистая" ссылка>

только добавь сначала админа в recovery агенты ессно.

Более того, когда в XP делешь смену пароля, она явно ругается, что будет потерян доступ к шифрованным файлам ;-) 08.10.03 07:15
Автор: HandleX <Александр М.> Статус: The Elderman

<"чистая" ссылка>

Когда сам меняешь свой пароль или когда админ меняет пароль юзеру? 08.10.03 12:01
Автор: Sandy <Alexander Stepanov> Статус: Elderman

<"чистая" ссылка>

Только при сбросе. 08.10.03 13:00
Автор: amirul <Serge> Статус: The Elderman

<"чистая" ссылка>

То бишь когда меняет админ.

Когда меняет юзер, то бишь вводит старый и дважды новый, то все нормально. Именно потому, что в PKI хешем пароля зашифрован только один ключ - тот самый Master Key. А все остальное зашифровано им. То бишь искать и пересчитывать все сертификаты не надо. Они даже не меняются. И при смене пароля его можно расшифровать и перешифровать новым паролем.

Я уже не помню тонкостей. Но там такая хитрая система, что сначала мне показалось, что у МС-а мозги съехали в попытках сделать жизнь сложнее. Но на самом деле все оказалось так или иначе оправдано. В частности на зашифрованный файл может быть несколько сертификатов у разных пользователей, то есть тут присутсвует еще как минимум один ключ, которым зашифрован сам файл, и который сам зашифрован пользовательским ключом.

Итого как минимум трехступенчатое шифрование (может даже больше - не помню точно)

EFS 30.09.03 11:42
Автор: Maximum Hard Статус: Незарегистрированный пользователь

<"чистая" ссылка>

Старо. 30.09.03 12:08
Автор: DPP <Dmitry P. Pimenov> Статус: The Elderman

<"чистая" ссылка>

С 2001 года тут валяется.

> http://www.ixbt.com/storage/efs.html

А из этого понятно только одно: В простом DESе не было предусмотрено восстановление пароля, а в этом есть. Может, конечно, еще какие-нибудь мелкие доработки есть.

1 | 2 »

Page build time: 0 s

Design: Vadim Derkach