SAMInside

Important! This program can be used only to recover your own forgotten passwords!

  • Program description
  • Data import
  • Data export
  • Passwords recovery
  • Command line parameters
  • Additional features
  • Status of the program
  • Demo-version limits
  • License agreement
  • Download the latest version
  • Technical support
  • FAQ

Program description

SAMInside program is designated to recover Windows NT/2000/XP/2003/Vista users' passwords and has some outstanding features:

  1. The program has small size, doesn't require installation and can be run from diskette, CD/DVD-disk or USB-drive.
  2. Includes over 10 types of data import and 6 types of passwords attack:
    - Brute-force attack;
    - Distributed attack;
    - Mask attack;
    - Dictionary attack;
    - Hybrid attack;
    - Pre-calculated tables attack.
  3. Forcing program code is written completely on Assembler what lets to get extremely high speed of password forcing procedure on any processor.
  4. Program correctly extracts Windows NT/2000/XP/2003/Vista users' names and passwords in national symbol encoding.
  5. The program is the first utility in the world which started to work with passwords encrypted by system key SYSKEY!

Data import

SAMInside has the following data import features:

  • "Import from SAM and SYSTEM registry files" - import of users' data from SAM registry file. If there's additional encryption by SYSKEY in the imported SAM file (on default enabled in Windows 2000/XP/2003/Vista), then the program will also need SYSTEM Windows registry file located at the same Windows directory there SAM file was - folder %SystemRoot%\System32\Config. Copies of these files may be also found in %SystemRoot%\Repair and %SystemRoot%\Repair\RegBack folders. (Note: %SystemRoot% - is a system directory of OS Windows, usually C:\WINDOWS or C:\WINNT).

  • "Import from SAM registry file and file with system key" - import of users' from SAM Windows registry file using file with system key SYSKEY.

  • "Import from PWDUMP file" - import of users' data from text file of PWDUMP program format. You can find test files with users in the SAMInside program archive.

  • "Import from *.LC file" - import of users' data from files created by L0phtCrack program.

  • "Import from *.LCP file" - import of users' data from files created by LC+4 and LC+5 programs.

  • "Import from *.LCS file" - import of users' data from files created by LC4 and LC5 programs.

  • "Import from *.HDT file" - import of users' data from projects created by Proactive Windows Security Explorer program and Proactive Password Auditor program.

  • "Import from *.LST file" - import of users' data from the LMNT.LST file, created by Cain&Abel program.

  • "Import local users ..." - import of local users' data (to do that launch the program with Administrator user's rights). The program uses the following methods to get local users:

    • 1. " ... using LSASS" - import of local users' data using connection to LSASS process.
    2. " ... using Scheduler" - import of local users' data using system utility Scheduler.

  • The program also lets to add users with known LM/NT hashes through the dialog box (Alt+Ins).
Maximal users quantity program works with is 65536.

Data export

SAMInside has the following data export features:

  • "Export users in PWDUMP file" - export all users' data to text file in the PWDUMP program format. Then you can load got file to any passwords recovery program you like.

  • "Export selected users in PWDUMP file" - export selected users' data to text file in the PWDUMP program format.

  • "Export found passwords" - export found passwords in format "User name: Password".

  • "Statistics export" - export of current program statistics to the text file.
Passwords recovery

Brute-force attack:

This kind of attack is exhaustive search of all probable password variants.

Brute-force attack also includes distributed attack. This kind of attack allows to use several different computers to recover passwords distributing passwords to process between them. This kind of attack is enabled automatically when user sets more than one computer to participate in attack. Then feature of range selection for current computer becomes available. So, to start distributed attack you need to:
  1. Run program on several computers.
  2. Choose number of computers for attack.
  3. Make the same settings for attack for all computers.
  4. Choose special range for passwords attack for each computer.
  5. Run brute-force attack on every computer.

Mask attack:

This kind of attack is used if there's any information about the password. For example:
- Password starts from the symbol combination "12345";
- First 4 symbols of the password are numbers, others are letters;
- Password has 10-symbol length and there's symbol combination "admin" in the middle of the password;
- etc.

Mask attack settings allow to form mask for passwords to attack and to set maximal length of passwords to process. Mask setting is the following: if you don't know N-symbol of the password, then set N-checkbox of mask and choose mask for this symbol in appropriate textual field. If you know any symbol of the password, enter it to N textual field and switch off mask checkbox.

Program uses the following masks:
? - any printable symbol (ASCII-codes 32...255).
A - any Latin capital (A...Z).
a - any small Latin (a...z).
S - any special symbol (!@#...).
N - any number (0...9).
1...8 - any symbol from custom symbol set; you may have up to 8 sets specified.

Dictionary attack:

Dictionary is text file consisted of commonly used passwords like
123
admin
master
etc.

Dictionary attack settings include hybrid attack, i.e. feature to append up to 2 symbols before or after the password what lets to recover passwords like "master12" or "#admin".

Pre-calculated tables attack:

This type of attack uses Rainbow technology (http://www.antsight.com/zsl/rainbowcrack/) to create pre-calculated tables.

Additionally:

  • All kinds of attack require additional specification what type of hashes (LM or NT) to use for password recovery.

  • Mark the files you're going to use for dictionary attack (in the dictionary files list) and for pre-calculated tables attack (in the tables list).

Command line parameters

The program may be managed using the following command line parameters:

-hidden : launch program in the hidden mode;

-noreport : prohibits program reporting the end of attack;

-import : program will perform automatic local users import on launch;

-export : program will import local users, save it to the file SAMInside.OUT and finish work;

-minimize : run the program minimized to tray.

Additional features
  • Check password for all users loaded to the program.
    Enter the password to the "Current password:" textual field and press F2. Then program will check the password for all users who have no password found.

  • "Hidden mode" of program work (Ctrl+Alt+H).
    When you choose this mode the program will disappear from display and from taskbar.
    To return from hidden mode press the same key combination.

There are also the following console utilities to work with SAM and SYSTEM Windows registry files in the program archive:

  • GetSyskey - the program extracts SYSKEY from the SYSTEM registry file and saves it to the separate 16-byte file.

  • GetHashes - the program gets users' hashes using SAM registry file and SYSKEY.

  • LRConvert - the program converts hashes from format of "Login Recovery" program to PWDUMP format.

  • PassToSyskey - the program generates SYSKEY using input password.

Status of the program

SAMInside program is Shareware.
The personal license price is €29.95.

To learn more about license key purchase, please visit this page.

After license purchase you shall send to Support service this data:
- Payment details (required);
- Your first and last name (required);
- Additional information for registration as your company name, etc. (not required);

After program licensing you get:
- License key for all future versions.
- Qualified technical support on use of program and passwords recovery, including on-line tips (via ICQ).

Demo-version limits
  1. Only Latin capitals may be used for brute-force attack.
  2. Mask attack is unavailable.
  3. Only one table is available for attack with pre-calculated tables.
License agreement
  1. All rights for SAMInside program are reserved to InsidePro project author.

  2. The program is distributed as Demo-version without any time limitations. You may also copy and redistribute unchanged distributive of Demo-version on any data mediums (hard disk, floppy disk, CD-ROM, etc.).

  3. For unlimited use of the program you shall register your copy of program, purchasing license key (or several license keys).

  4. Use of license keys by person which is not registered user of the program, distribution and publishing of license keys are illegal. Author of program reserves right to recall status of registered user from the owners of these keys and block these keys in the future versions of program.

  5. You may not modify, disassembly or decompile this program. Breach of any of these requisitions leads to immediate termination of this license agreement.

  6. The program is provided "AS IS". You use this program at your own risk. Author is under no circumstances responsible for data loss or damage, lost profits or any other damages caused by to use or non-use of this program.

  7. Author guarantees that the program contains no harmful, spy nor any other code designed to perform any other functions but those stated in the program description.

  8. Using the program you accept this license agreement.

  9. If you do not wish to be bounded by the terms of this license agreement, please delete program files from your computer and stop use of the program.
FAQ

Q1: What is SAM registry file, what is it for and where is it located?
A: So called SAM (Security Account Manager) registry file is Windows NT/2000/XP/2003/Vista registry hive "HKEY_LOCAL_MACHINE\SAM" which is physically located in the Windows system directory, in the \System32\Config\ folder. This file is called exactly so - sam. It contains local user names and their encoded passwords (hashes).

Q2: I want to import SAM file located in the C:\WINDOWS\System32\Config\ folder but program messages access error and can't read the file. Why?
A: The matter is that files in this folder (sam, system, software and other files without extension) are Windows registry fragments, so Windows as default allows to no one to get access to these files, even to read only. To get access to SAM registry file use one of the following ways:
• Boot under another OS (Linux, Knoppix, WinPE, etc.) at the same computer.
• If your system disk has FAT (or FAT32) file system, then create boot diskette on computer with Windows 95/98, boot from this diskette and copy files SAM and SYSTEM to another folder or diskette.
• If your system disk has NTFS file system, use diskette created in NTFSDos Pro program to get access to these registry files.

Q3: Using diskette created by NTFSDos Pro program, I got access to SAM and SYSTEM registry files, but SYSTEM file is very large so can't be saved to diskette. What shall I do?
A: Use any DOS-archiver to compress it, for example, HA:
- To add SYSTEM registry file to archive:
a:\ha.exe a a:\system.ha C:\WINDOWS\System32\Config\system
- To extract SYSTEM registry file from archive:
ha.exe e system.ha

Q4: Importing registry file SAM (or SYSTEM) program messages error, though I copied it from the C:\WINDOWS\System32\Config folder! Why can't I import my file?
A: This may happen if your file format is unknown to SAMInside program. First check the signature (i.e. first 4 bytes) of your file - it shall be 'regf'. Otherwise there could happen the following:
- You had copied the file from EFS-disk (i.e. from disk with Encrypting File System installed which supports file encryption); then your files are encoded and are pseudo-random byte array which can't be used to get required registry branches, or
- Your files are located on NTFS-disk and you used program with bugs to copy these files; that often happens when NTFSDos program (not Pro version!) and some others are used which work incorrectly with NTFS 5.0 and higher, so better use new versions of programs to copy files.
If your file signature is correct (i.e. it's really registry file) but program still can't import it, please, send your file to the Support service to analyze.

Q5: What do question marks mean on unknown passwords?
A: If LM-password and NT-password look as "???????", then the password is 1 to 7 symbols long.
If LM-password and NT-password look as "??????????????", then the password is 8 to 14 symbols long.
If there's no LM-password and NT-password looks as "??????????????", then the password may have any length, but usually it's more than 14 symbols.

Q6: What algorithms are used to get LM- and NT-hashes?
A: NT-hash formation goes this way:
• User's password is transformed into Unicode-string.
• MD4-hash is generated based on this string.
• Got hash is encoded by DES algorithm, user's RID is used as a key.
LM-hash formation goes this way:
• User's password is capitalized and supplied by nulls up to 14-byte length.
• Got line is divided into 7-byte halves, and each is encoded by DES algorithm separately. Finally we get 16-byte hash (what includes two separate 8-byte halves).
• Got hash is encoded by DES algorithm, user's RID is used as a key.

Q7: What's the difference between LM- and NT-passwords? Using your program I've found LM-password "ADMIN" and NT-password "Admin". What one shall I use to log in?
A: Use case-sensitive NT-password to log in.

Q8: My password is longer than 7 symbols, but brute-force attack can't be launched on try to set start password with more than 7-symbol length. Why? Or, the program finishes attack of all 7-symbol passwords and messages attack completion. My password is longer. Why is it so?
A: 7 symbols isn't the program limitation, but LM-hash formation feature. For example, 9-symbol password "MARGARITA" is encoded by Windows the following way: separately first 7-symbol part of the password - "MARGARI" (getting hash "0069AD6D0FA5DD32") and second part - "TA" (getting hash "25E6C6A091DDAB09"). Result is LM-hash "0069AD6D0FA5DD3225E6C6A091DDAB09", which is stored in the SAM registry file after additional encryption. Accordingly, SAMInside program recovering LM-password analyses both 8-byte halves separately. So if you have 9-symbol password, then the program won't recover single 9-symbol password, but two different passwords 7- and 2-symbols long! At the same time SAMInside analyses both halves of initial password simultaneously, halving general time of recovery of long password. So SAMInside successfully recovers LM-passwords up to 14 symbols long by halves!

Q9: I have short NT-password (LM-password is disabled), consisted of Latins, but the program can't find it. Why?
A: The matter is that Windows always capitalizes password getting LM-hashes (i.e. encoding passwords "Admin", "ADMIN" and "aDmIn" will lead to the same LM-hash - you can check it using SAMInside LM/NT-hash generator). That's why recovering LM-password you can use any case letters - and program will anyway capitalize them.
NT-password is case-sensitive, so use symbol sets consisted of both capital and small letters of alphabet when recover it.

Q10: Importing local users "... using Scheduler" program messages error "Can't open this temporary file: ...". Why?
A: The matter is that this import method gets HKEY_LOCAL_MACHINE\SAM\SAM Windows registry hive content using system utility Scheduler, which has default rights of SYSTEM user. But there can be closed access to this hive to read even to SYSTEM user! That can be performed by tweakers or by "manual" Windows registry settings.
Then use another method of local users import - using connection to LSASS system process - or other utilities.

Q11: Both local users import methods work good for me - "... using Scheduler" and "... using LSASS". What for are they both in the program at the same time then?
A: That's especially for that case when one of them doesn't work or works incorrectly so that you could use alternative one (reason of incorrect work of import using Scheduler is described above; or, Microsoft may issue the patch to change LSASS connection process, or to prohibit such connection at all, etc.). So if one of these methods doesn't work, use another, and vice versa.

Q12: Your program has recovered the password from the SAM registry file, but when I try to log in using this password, OS messages wrong password! What's the matter?
A: Probably your computer is connected to network and there's domain server with Active Directory service enabled in the network. Then users' accounts are stored on the domain server, not in the SAM registry file! And SAMInside program recovers only local accounts passwords, stored in the SAM registry file.

Q13: What is system key SYSKEY? How to import SAM registry file and file with SYSKEY properly?
A: System key is 16 bytes used for additional Windows encryption of hashes. This key is stored in the registry. To get access to this file:
• Using SYSKEY.EXE utility set the mode to store the key on diskette which is necessary to be used on every Windows boot. Then the file stored on the diskette will be named StartKey.key.
• Or, use GetSyskey program (or analogue) which extracts the key from the SYSTEM registry file and saves it to the separate file. This file has 16-byte length and is used to correctly decode hashes on SAMInside menu choice "Import from SAM registry file and file with system key...".

Q14: How to use SAMInside brute-force attack on multiprocessor computers?
A: You can successfully use the program on multiprocessor computers (if your Windows core supports multiprocessing, certainly), and all processors will work, so general speed of passwords recovery will grow accordingly to number of processors.
For example, your computer has two processors. Then you need to create two folders and place one copy of SAMInside program to each of them. Then do the same settings for brute-force attack for both programs and use distributed attack. To do that set quantity or participating computers equal to quantity of processors (2, in our case). Then define first range of passwords for one program, and the second - for another, and run attack in each program copy. As a result, both programs will work on different processors, and each will work with maximal processor speed.

Q15: Does your program recover Active Directory passwords?
A: No, it doesn't. SAMInside recovers only local users passwords stored in the SAM registry file.

Q16: Is there any way to simplify adding of users' symbol sets to the brute-force attack and mask attack?
A: Yes. To do it right click to recall context menu on according textual field. This menu contains not only standard commands (like 'Copy', 'Cut', etc.) but also commands for quick paste of different symbol sets.

Q17: "Symbol replace tables" in the dictionary attack - what is it?
A: These tables (*.KBT-files) are text files where can be set which symbols of being checked passwords shall be replaced by different ones. This feature is useful for users from non-English-speaking countries with 2 keyboard layouts - English and national. In this case native language passwords can be entered in English keyboard layout, or vice versa English words can be typed in national symbols. There's "Russian.kbt" file in the program archive with tables for russian keyboard layout.

Q18: What Rainbow-tables are and how can they be used for password recovery?
A: Find detailed information about Rainbow-tables here. To generate tables rtgen or Winrtgen programs can be used. To recover passwords list of *.RT-files shall be imported to the program and table attack shall be selected. Certainly type of hashes in the tables shall match type of hashes selected for attack. For this table files shall have the following names:
"lm_*.rt" for LM-hashes,
"ntlm_*.rt" for NT-hashes (generated by Winrtgen program).

Q19: During pre-calculated tables attack program messages "Can't open charset configuration file!" and attack ends. What is this file, where can I take it and what for is it needed?
A: This is a file containing character sets (like "alpha" (A...Z), "numeric" (0...9), etc.) used to generate Rainbow-tables as well as to recover passwords using these tables. Program archive contains "Charset.txt" file with 25 of most frequently used symbol sets, though you can always add your own sets to this file.

©2002-2008, InsidePro.


SAMInside

Importante! Questo programma puт essere utilizzato solo per il recupero delle proprie password!

  • Descrizione del programma
  • Importazione dati
  • Esportazione dati
  • Recupero password
  • Parametri da linea di comando
  • Caratteristiche aggiuntive
  • Stato del programma
  • Limitazioni della versione demo
  • Contratto di licenza
  • Download dell'ultima versione
  • Supporto Tecnico
  • FAQ

Descrizione del programma

SAMInside и studiato per recuperare le password utente di Windows NT/2000/XP/2003/Vista e possiede caratteristiche molto interessanti:

  1. La dimensione del programma и molto ridotta, non richiede installazione e puт essere eseguito da un dischetto, da un CD/DVD o tramite un supporto USB.
  2. Include oltre 10 tipi di importazione dati e 6 tipi di attacchi password:
    - attacco brute-force;
    - attacco distribuito;
    - attacco maschera;
    - attacco dizionario;
    - attacco ibrido;
    - attacco tabelle precalcolate.
  3. Il codice di forcing del programma и scritto completamente in Assembler che permette di ottenere una velocitа molto elevata nella procedura di forcing con qualunque processore.
  4. Il programma estrae correttamente i nomi utente e le password di Windows NT/2000/XP/2003/Vista nella corretta codifica nazionale dei caratteri.
  5. Il programma и la prima utility al mondo che ha cominciato a lavorare con le password criptate con la chiave di sistema SYSKEY!

Importazione dati

SAMInside puт utilizzare le seguenti funzioni di importazione dati:

  • "Importazione dai file di registro SAM e SYSTEM" - importazione dei dati degli utenti dal file di registro SAM. Se nel file SAM importato и presente una crittografia aggiuntiva con SYSKEY (abilitata di default in Windows 2000/XP/2003/Vista), il programma avrа bisogno il file SYSTEM del registro di Windows che si trova nella stessa cartella di Windows dove si trova anche il file SAM - cartella %SystemRoot%\System32\Config. Copie di questi file si possono trovare nelle cartelle %SystemRoot%\Repair e %SystemRoot%\Repair\RegBack. (Nota: %SystemRoot% - и la cartella di sistema dei SO Windows, di solito и C:\WINDOWS o C:\WINNT).

  • "Importazione dal file di registro SAM e file con chiave di sistema" - importazione degli utenti dal file di registro SAM utilizzando file con chiave di sistema SYSKEY.

  • "Importazione da file PWDUMP" - importazione dei dati degli utenti da un file di testo nel formato del programma PWDUMP. Nella cartella "Hashes" del file archivio di SAMInside ci sono dei file di test.

  • "Importazione da file *.LC" - importazione dei dati degli utenti da un file creato dal programma L0phtCrack.

  • "Importazione da file *.LCP" - importazione dei dati degli utenti da un file creato dai programmi LC+4 e LC+5.

  • "Importazione da file *.LCS" - importazione dei dati degli utenti da un file creato dai programmi LC4 e LC5.

  • "Importazione da file *.HDT" - importazione dei dati degli utenti da un progetto creato dai programmi Proactive Windows Security Explorer e Proactive Password Auditor.

  • "Importazione da file *.LST" - importazione dei dati degli utenti da un file LMNT.LST, creato dal programma Cain&Abel.

  • "Importazione utenti locali ..." - importazione dei dati degli utenti locali (da eseguire avviando il programma utilizzando un utente con privilegi amministrativi). Il programma utilizza i seguenti metodi per rilevare gli utenti locali:

    • 1. " ... utilizzo di LSASS" - importazione dei dati degli utenti locali utilizzando la connessione al processo LSASS.
    2. " ... utilizzo di Scheduler" - importazione dei dati degli utenti locali utilizzando l'utility di sistema Scheduler.

  • Inoltre il programma permette di aggiungere manualmente utenti con hash LM/NT conosciuti, utilizzando l'apposita maschera di inserimento (Alt+Ins).
Il numero massimo di utenti che si possono inserire nel programma и di 65536.

Esportazione dati

SAMInside puт utilizzare le seguenti funzioni di esportazione dati:

  • "Esportazione utenti in un file PWDUMP" - esportazione di tutti i dati degli utenti in un file di testo nel formato del programma PWDUMP. Poi sarа possibile caricare il file in un qualunque programma di recupero password.

  • "Esportazione utenti selezionati in un file PWDUMP" - esportazione dei dati degli utenti selezionati in un file di testo nel formato del programma PWDUMP.

  • "Esportazione delle password trovate" - esportazione delle password trovate nel formato "Nome utente: Password".

  • "Esportazione statistiche" - esportazione in un file di testo delle statistiche attuali del programma.
Recupero password

Attacco brute-force:

Questo tipo di attacco consiste nella ricerca completa di tutte le possibili varianti della password.

L'attacco brute-force include anche l'attacco distribuito. Questo tipo di attacco permette di utilizzare piщ di un computer per recuperare le password distribuendo il processo di recupero tra i computer abilitati. Questo tipo di attacco и abilitato in automatico quando l'utente imposta piщ di un computer per partecipare all'attacco. Di conseguenza viene resa disponibile la selezione del range per il computer in uso. In conclusione, per avviare un attacco distribuito c'и bisogno di:
  1. Avviare il programma in piщ computer.
  2. Scegliere il numero dei computer che partecipano all'attacco.
  3. Utilizzare le stesse impostazioni di attacco in tutti i computer.
  4. Selezionare il range corretto dell'attacco password per ogni computer.
  5. Avviare attacco brute-force in ogni computer.

Attacco maschera:

Questo tipo di attacco и utilizzato se ci sono informazioni sulle password. Per esempio:
- la password inizia con una combinazione di caratteri "12345";
- i primi 4 caratteri della password sono numeri, gli altri sono lettere;
- la password и di 10 caratteri e c'и la combinazione di caratteri "admin" al centro della password;
- etc.

La configurazione dell'attacco maschera permette di impostare maschere per l'attacco password e di impostare la lunghezza massima della password da processare. La configurazione della maschera и la seguente: se non si conosce il simbolo N della password, abilitare la checkbox N della maschera e inserire la maschera adeguata per quel carattere nel campo testuale. Se si conosce qualche carattere della password, inserirlo nel campo testuale N e deselezionare la checkbox della maschera.

Il programma utilizza le seguenti maschere:
? - qualunque carattere (codice ASCII 32...255).
A - caratteri maiuscoli (A...Z).
a - caratteri minuscoli (a...z).
S - caratteri speciali (!@#...).
N - numeri (0...9).
1...8 - caratteri dalla lista personalizzata; и possibile impostare fino a 8 gruppi di caratteri.

Attacco dizionario:

Il dizionario и un file di testo che contiene le piщ comuni password che vengono utilizzate
123
admin
master
etc.

L'attacco dizionario include anche l'attacco ibrido, che permette di aggiungere fino a 2 caratteri prima o dopo la password che si sta provando in modo da poter provare password tipo "master12" o "#admin".

Attacco tabelle precalcolate:

Questo tipo di attacco utilizza la tecnologia Rainbow (http://www.antsight.com/zsl/rainbowcrack/) per creare tabelle precalcolate.

Note:

  • Tutti i tipi di attacco richiedono che venga specificato il tipo di hash (LM o NT) da utilizzare per il recupero della password.

  • Selezionare i file che devono essere utilizzati per l'attacco dizionario (nella lista dei dizionari) e per l'attacco tabelle precalcolate (nel lista delle tabelle).

Parametri da linea di comando

Il programma puт essere utilizzato con i seguenti parametri da linea di comando:

-hidden : esegue il programma in modalitа nascosta;

-noreport : disabilita il report del programma al termine dell'attacco;

-import : esegue importazione automatica degli utenti locali all'avvio;

-export : esegue importazione automatica degli utenti locali, salva gli utenti nel file SAMInside.OUT e termina le operazioni;

-minimize : avvia il programma minimizzato nell'Area di notifica.

Caratteristiche aggiuntive
  • Controllo della password per tutti gli utenti caricati nel programma.
    Inserire la password nel campo testuale "Password attuale:" e premere F2. Il programma controllerа la password per tutti gli utenti che non hanno la password trovata.

  • Funzionamento del programma in "Modalitа nascosta" (Ctrl+Alt+H).
    Quando viene selezionata questa modalitа, il programma verrа nascosto dallo schermo e dalla barra delle applicazioni.
    Per ripristinarlo dalla modalitа nascosta premere la stessa combinazione di tasti.

Nella cartella "Tools" dell'archivio del programma, ci sono queste utility da linea di comando da utilizzare con i file SAM e SYSTEM del registro di Windows :

  • GetSyskey - il programma estrae il SYSKEY dal file di registro SYSTEM e lo salva in un file di 16 byte.

  • GetHashes - il programma recupera tutti gli hash degli utenti utilizzando il file di registro SAM e il SYSKEY.

  • LRConvert - il programma per convertire hash dal formato del programma "Login Recovery" al formato PWDUMP.

  • PassToSyskey - il programma per generare il SYSKEY utilizzando la password scelta.

Stato del programma

SAMInside и un programma Shareware.
Il costo della licenza per uso personale и di €29.95.

Per maggiori informazioni sull'acquisto della chiave di licenza, visitare questa pagina.

Dopo l'acquisto della licenza, inviare al Servizio di Supporto questi dati:
- dettagli del pagamento (obbligatorio);
- vostro nome e cognome (obbligatorio);
- informazioni aggiuntive per la registrazione: nome della societа, etc. (facoltativo).

Oltre alla licenza del programma si avrа:
- chiave di licenza per tutte le future versioni.
- supporto tecnico qualificato per l'uso del programma e il recupero delle password, inclusi suggerimenti online (via ICQ).

Limitazioni della versione demo
  1. Solo caratteri maiuscoli possono essere utilizzati per l'attacco brute-force.
  2. L'attacco maschera non и disponibile.
  3. Solo una tabella и disponibile per l'attacco con le tabelle precalcolate.
Contratto di licenza (in lingua inglese)
  1. All rights for SAMInside Software are reserved to InsidePro project author.

  2. The Software is distributed as Demo-version without any time limitations. You may also host and redistribute unchanged distributive of Software Demo-version on any data mediums (hard disk, floppy disk, CD-ROM, etc.).

  3. For unlimited use of the Software you shall register your copy of Software, purchasing license key (or several license keys).

  4. Use of Software license keys by person which is not registered user of the Software, distribution and publishing of license keys are illegal. Software author reserves right to recall status of registered user from the owners of these keys and block these keys in the future versions of Software.

  5. You may not modify, disassembly or decompile this Software. Breach of any of these requisitions leads to immediate termination of this license agreement.

  6. The Software is provided "AS IS". You use this Software at your own risk. Author is under no circumstances responsible for data loss or damage, lost profits or any other damages caused by to use or non-use of this Software.

  7. Author guarantees that the Software contains no harmful, spy nor any other code designed to perform any other functions but those stated in the Software description.

  8. Using the Software you accept this license agreement.

  9. If you do not wish to be bounded by the terms of this license agreement, please, delete Software files from your computer and stop use of the Software.
FAQ

Q1: Cos'и il file di registro SAM, a cosa serve e dove si trova?
A: Il file di registro SAM (Security Account Manager) и il file hive del registro "HKEY_LOCAL_MACHINE\SAM" di Windows NT/2000/XP/2003/Vista. Si trova in una cartella di sistema di Windows, per la precisione nella cartella \System32\Config\. Il nome esatto di questo file и - sam. Contiene i nomi utente locali e le rispettive password codificate (hash).

Q2: La procedura di importazione del file SAM che si trova nella cartella C:\WINDOWS\System32\Config\ si interrompe, genera un messaggio di errore all'accesso del file e non permette di leggere il file. Perchй?
A: Il problema и che i file di questa cartella (sam, system, software e altri file senza estensione) sono frammenti del registro di Windows, cosм Windows di default non permette di accedere a questi file, anche se in sola lettura. Per avere accesso al file di registro SAM utilizzare una delle seguenti soluzioni:
• Avviare il computer con un altro SO (Linux, Knoppix, WinPE, etc.).
• Se il sistema utilizza dischi con file system FAT (o FAT32), и possibile creare un dischetto di boot nei computer con Windows 95/98, avviare dal dischetto di boot e copiare i file SAM e SYSTEM in un'altra cartella o dischetto.
• Se il sistema utilizza dischi con file system NTFS, и possibile utilizzare un dischetto creato con il programma NTFSDos Pro per poter accedere a questi file di registro.

Q3: Utilizzando un dischetto creato con il programma NTFSDos Pro, и possibile accedere ai file di registro SAM e SYSTEM, ma il file SYSTEM и di grandi dimensioni e non puт essere salvato sul dischetto. Cosa si puт fare?
A: Utilizzare un programma di archiviazione per DOS per comprimere il file, per esempio HA:
- per aggiungere il file di registro SYSTEM all'archivio:
a:\ha.exe a a:\system.ha C:\WINDOWS\System32\Config\system
- per estrarre il file di registro SYSTEM dall'archivio:
ha.exe e system.ha

Q4: L'importazione del file di registro SAM (o SYSTEM) genera un messaggio di errore, anche se i file sono stati copiati dalla cartella C:\WINDOWS\System32\Config! Perchй non и possibile importare i file?
A: Questo puт accadere se il formato dei file non viene riconosciuto da SAMInside. Innanzi tutto bisogna controllare la signature del file (per esempio i primi 4 byte) - dovrebbe essere 'regf'. Tuttavia potrebbe essere causato da uno dei seguenti motivi:
- il file и stato copiato da un disco EFS (per esempio da un disco con installato un file di sistema crittografato e quindi supporto per la crittografia dei file); di conseguenza i file sono codificati e sono presenti dei byte pseudo-random che non permettono di recuperare i rami necessari del registro, oppure
- i file erano in un disco NTFS ed и stato utilizzato un programma non corretto per copiare questi file; questo spesso accade quando si utilizza il programma NTFSDos (non la versione Pro!) e altri programmi di quel tipo e non funzionano correttamente con la NTFS 5.0 e superiore, di conseguenza и meglio utilizzare versioni piщ aggiornate dei programmi per copiare i file.
Se la signature del file и corretta (per esempio se и un file di registro funzionante) ma il programma non riesce comunque a importarlo, inviare il file al Servizio di Supporto per poterlo analizzare.

Q5: Cosa significano i punti di domanda nelle password sconosciute?
A: Se la password LM e NT appare cosм "???????", significa che la password и lunga da 1 a 7 caratteri.
Se la password LM e NT appare cosм "??????????????", significa che la password и lunga da 8 a 14 caratteri.
Se manca la password LM e la password NT appare cosм "??????????????", significa che la password puт avere qualunque lunghezza, ma di solito и piщ di 14 caratteri.

Q6: Quale algoritmo и utilizzato per ottenere gli hash LM e NT?
A: La formazione degli hash NT avviene in questo modo:
• La password dell'utente и trasformata in una stringa Unicode.
• Un hash MD4 и generato sulla base di questa stringa.
• Questo hash viene codificato con algoritmo DES, il RID dell'utente viene utilizzato come chiave.
La formazione degli hash LM avviene in questo modo:
• La password dell'utente viene convertita in caratteri maiuscoli e aggiunti caratteri nulli fino alla dimensione di 14 byte.
• Questa linea viene divisa in 2 metа da 7 byte e ognuna viene codificata separatamente con algoritmo DES. Alla fine di ottiene un hash di 16 byte (che include 2 metа separate di 8 byte).
• Questo hash viene codificato con algoritmo DES, il RID dell'utente viene utilizzato come chiave.

Q7: Quale differenza c'и tra la password LM e NT? Utilizzando questo programma и stata trovata la password LM "ADMIN" e la password NT "Admin". Quale bisogna utilizzare per eseguire il log in?
A: Per il log in bisogna utilizzare la password NT, perchи rileva correttamente maiuscole e minuscole.

Q8: La password и piщ lunga di 7 caratteri, ma l'attacco brute-force non puт essere avviato con una password iniziale con piщ di 7 caratteri di lunghezza. Perchй? Oppure, il programma termina l'attacco di tutte le password con 7 caratteri e notifica che l'attacco и stato completato. Perт la password и piщ lunga. Perchй avviene questo?
A: 7 caratteri non и una limitazione del programma, ma la caratteristica dalla creazione per l'hash LM. Per esempio, la password di 9 caratteri "MARGARITA" и codificata da Windows nel seguente modo: viene separata la prima parte di 7 caratteri della password - "MARGARI" (si ottiene l'hash "0069AD6D0FA5DD32") e poi la seconda parte - "TA" (si ottiene l'hash "25E6C6A091DDAB09"). Il risultato и l'hash LM "0069AD6D0FA5DD3225E6C6A091DDAB09", che viene memorizzato nel file di registro SAM dopo una crittografia aggiuntiva. Tenendo conto di questo, il programma SAMInside per recuperare la password LM analizza separatamente le 2 metа di 8 byte. Cosм se la password и di 9 caratteri, il programma non recupera una singola password da 9 caratteri, ma 2 differenti password della lunghezza di 7 e 2 caratteri! Allo stesso tempo SAMInside analizza simultaneamente entrambe le metа della password iniziale, dimezzando il tempo complessivo per il recupero delle password lunghe. In questo modo SAMInside recupera con successo le password LM lunghe fino a 14 caratteri in metа tempo!

Q9: C'и una password NT corta (password LM и disabilitata), composta da caratteri Latini, ma il programma non riesce a trovarla. Perchй?
A: Il problema и che Windows converte la password in caratteri maiuscoli per ottenere l'hash LM (per esempio la codifica delle password "Admin", "ADMIN" e "aDmIn" darа origine sempre allo stesso hash LM - verificare utilizzando il generatore hash LM/NT di SAMInside). Questo и il motivo per cui nel recupero della password LM si possono usare lettere senza distinzione tra maiuscole e minuscole - e tuttavia il programma le convertirа in maiuscole.
La password NT distingue tra maiuscole e minuscole, per cui bisogna utilizzare sia le lettere maiuscole che le lettere minuscole dell'alfabeto quando si esegue la procedura di recupero.

Q10: La procedura di importazione degli utenti locali "... utilizzando Scheduler" genera un messaggio di errore "Impossibile aprire questo file temporaneo: ...". Perchй?
A: Il problema и che questo metodo di importazione recupera il contenuto del file di registro HKEY_LOCAL_MACHINE\SAM\SAM utilizzando l'utility di sistema Scheduler, che possiede i permessi predefiniti dell'utente SYSTEM. Ma potrebbe essere negato l'accesso di lettura a questo hive anche all'utente SYSTEM! Questo puт essere effettuato da un tweaker o da una impostazione "manuale" del registro di Windows.
Utilizzare un altro metodo di importazione degli utenti locali - utilizzando la connessione al processo di sistema LSASS - oppure altre utility.

Q11: Funzionano entrambi i metodi di importazione degli utenti locali - "... utilizzando Scheduler" e "... utilizzando LSASS". Per quale motivo nel programma ci sono entrambi i sistemi?
A: Sono disponibili entrambi i sistemi nel caso in cui uno dei due non dovesse funzionare o non funzioni correttamente e in questo caso si puт utilizzare l'altro (il motivo di un funzionamento errato con l'importazione utilizzando Scheduler и descritta qui sopra; oppure Microsoft potrebbe rilasciare una patch per modificare la connessione al processo LSASS, o proibire la connessione a tutti, etc.). Cosм se un metodo non dovesse funzionare, utilizzare l'altro, e vice versa.

Q12: Il programma ha recuperato la password dal file di registro SAM, ma quando si tenta il log in utilizzando questa password, il SO avvisa che la password и errata! Quale и il problema?
A: Probabilmente il computer и connesso in rete locale ed и presente un server di dominio con il servizio Active Directory abilitato sulla rete. Quindi gli account utente sono memorizzati nel server di dominio, non nel file di registro SAM! Il programma SAMInside recupera solo le password degli utenti locali, memorizzati nel file di registro SAM.

Q13: Cos'и la chiave di sistema SYSKEY? Come fare per importare correttamente il file di registro SAM e il file con SYSKEY?
A: La chiave di sistema sono 16 byte utilizzati da Windows per una crittografia aggiuntiva degli hash. Questa chiave и memorizzata nel registro. Per avere accesso a questo file:
• Utilizzare l'utility SYSKEY.EXE per impostare la modalitа di memorizzazione della chiave nel dischetto che sarа necessario utilizzare ad ogni avvio di Windows. Il file memorizzato nel dischetto verrа chiamato StartKey.key.
• Oppure utilizzare il programma GetSyskey (o simile) che estrae la chiave dal file di registro SYSTEM e la salva in un file separato. Questo file и di 16 byte ed и utilizzato per decodificare correttamente gli hash con SAMInside: selezionare dal menu "Importa dal file di registro SAM e dal file con il System Key...".

Q14: Come utilizzare l'attacco brute-force di SAMInside nei computer con multiprocessore?
A: Il programma si puт utilizzare con successo nei computer con multiprocessore (ovviamente se il core di Windows supporta il multiprocessore) e lavoreranno tutti i processori, in modo che la velocitа complessiva del recupero password aumenterа in proporzione al numero di processori.
Per esempio, il computer ha due processori. Creare due cartelle e mettere una copia del programma SAMInside in ognuna di esse. Inserire le stesse impostazioni di attacco brute-force in entrambi i programmi e utilizzare l'attacco distribuito. Impostare il numero computer che prendono parte all'attacco uguale al numero di processori (2, in questo caso). Quindi definire il primo range di password per un programma e il secondo range per l'altro programma, poi avviare l'attacco con entrambi i programmi. Come risultato, ogni programma lavorerа con un processore differente e ognuno lavorerа al massimo della velocitа del processore.

Q15: Il programma recupera le password di Active Directory?
A: No, non и in grado di farlo. SAMInside recupera solo le password degli utenti locali memorizzati nel file di registro SAM.

Q16: C'и qualche metodo per semplificare l'aggiunta dei caratteri personalizzati dell'attacco brute-force e dell'attacco maschera?
A: Sм. Per farlo bisogna premere il tasto destro del mouse nel campo testuale e nel menu contestuale ci sarа la voce "Aggiungi caratteri". Infatti questo menu non contiene solo i comandi standard (come 'Taglia', 'Copia','Incolla', etc.) ma anche i comandi per incollare velocemente differenti gruppi di caratteri.

Q17: Cosa sono le "Tabelle di sostituzione caratteri" nell'attacco dizionario?
A: Queste tabelle (file *.KBT) sono file di testo dove si puт impostare carattere della password da verificare, verrа sostituito da un altro carattere. Questa caratteristica и molto utile per gli utenti dei paesi di lingua non inglese con 2 layout d tastiera - inglese e nazionale. In questo caso la password in lingua nativa puт essere inserita nel layout tastiera inglese, o vice versa le parole in inglese possono essere scritte con caratteri nazionali. C'и il file "Russian.kbt" nell'archivio del programma con tabelle per il layout tastiera russo.

Q18: Cosa sono le tabelle Rainbow e come possono essere utilizzate per il recupero delle password?
A: Ci sono informazioni dettagliate sulle tabelle Rainbow a questo link. Per generare tabelle possono essere utilizzati i programmi rtgen o Winrtgen. Per recuperare le password, le liste dei file *.RT dovranno essere importate nel programma e le tabelle per l'attacco dovranno essere selezionate. Verificare che il tipo di hash nelle tabelle corrisponda al tipo di hash selezionato per l'attacco. Per questo motivo i file delle tabelle dovranno avere i seguenti nomi:
"lm_*.rt" per hash LM,
"ntlm_*.rt" per hash NT (generate dal programma Winrtgen).

Q19: Durante l'attacco tabelle precalcolate il programma genera il messaggio "Impossibile aprire file di configurazione del gruppo caratteri!" e l'attacco termina. Cos'и questo file, dove si trova e come funziona?
A: Questo file contiene la configurazione del gruppo caratteri (come "alpha" (A...Z), "numeri" (0...9), etc.) utilizzato sia per generare le tabelle Rainbow e sia per recuperare le password utilizzando queste tabelle. Il file archivio del programma contiene il file "Charset.txt" con 25 dei piщ utilizzati gruppi caratteri, a cui si possono aggiungere tutti i gruppi che si ritengono necessari per la procedura di recupero.

©2002-2008, InsidePro.
Traduzione della guida di InsidePro in italiano (rev. 02).


SAMInside

Внимание! Данная программа может использоваться исключительно для восстановления своих собственных забытых паролей!

  • Описание программы
  • Импорт данных
  • Экспорт данных
  • Восстановление паролей
  • Параметры командной строки
  • Дополнительные возможности программы
  • Статус программы
  • Ограничения Demo-версии
  • Лицензионное соглашение
  • Скачать последнюю версию
  • Техническая поддержка
  • FAQ

Описание программы

Программа SAMInside предназначена для восстановления паролей пользователей Windows NT/2000/XP/2003/Vista и имеет ряд особенностей, выгодно отличающих ее от аналогичных программ:

  1. Программа имеет небольшой размер, не требует инсталляции и может запускаться с дискеты, с CD/DVD-диска или с внешнего USB-диска.
  2. Программа содержит свыше 10 видов импорта данных и позволяет использовать 6 видов атак для
восстановления паролей пользователей:
- Атака полным перебором;
- Атака распределенным перебором;
- Атака по маске;
- Атака по словарям;
- Гибридная атака;
- Атака по предварительно рассчитанным Rainbow-таблицам.
  3. Код перебора паролей в программе полностью написан на языке Ассемблер, что позволяет получать очень высокую скорость перебора паролей на всех процессорах.
  4. Программа корректно извлекает имена и пароли пользователей Windows NT/2000/XP/2003/Vista в национальных кодировках символов.
  5. Программа стала первой в мире утилитой, которая начала работать с паролями, зашифрованными системным ключом SYSKEY!
Импорт данных

Программа SAMInside имеет следующие возможности для импорта данных:

  • "Import from SAM and SYSTEM registry files" - импорт пользователей из файла SAM реестра Windows. Если в загружаемом файле SAM используется дополнительное шифрование ключом SYSKEY (а в Windows 2000/XP/2003/Vista такое шифрование включено принудительно), то программе дополнительно потребуется файл SYSTEM реестра Windows, располагающийся в той же директории Windows, что и файл реестра SAM, а именно - в каталоге %SystemRoot%\System32\Config. Также копии этих файлов могут находиться в каталогах %SystemRoot%\Repair и %SystemRoot%\Repair\RegBack. (Примечание: %SystemRoot% - системная директория Windows, обычно это каталог C:\WINDOWS или C:\WINNT).

  • "Import from SAM registry file and file with system key" - импорт пользователей из файла реестра SAM с использованием файла с системным ключом SYSKEY.

  • "Import from PWDUMP file" - импорт пользователей из текстового файла в формате программы PWDUMP. В каталоге \Hashes архива с программой SAMInside вы можете найти тестовые файлы подобного формата.

  • "Import from *.LC file" - импорт пользователей из файлов, создаваемых программой L0phtCrack.

  • "Import from *.LCP file" - импорт пользователей из файлов, создаваемых программами LC+4 и LC+5.

  • "Import from *.LCS file" - импорт пользователей из файлов, создаваемых программами LC4 и LC5.

  • "Import from *.HDT file" - импорт пользователей из файлов, создаваемых программами Proactive Windows Security Explorer и Proactive Password Auditor.

  • "Import from *.LST file" - импорт пользователей из файла LMNT.LST, создаваемого программой Cain&Abel.

  • "Import local users ..." - импорт пользователей с локального компьютера (для этого программу нужно запустить под пользователем с правами Администратора). В программе используются следующие методы получения хэшей локальных пользователей:
    1) " ... using LSASS" - импорт локальных пользователей, используя подключение к процессу LSASS.
    2) " ... using Scheduler" - импорт локальных пользователей с использованием системной утилиты Scheduler.

  • Также программа позволяет добавлять пользователей с известными LM/NT-хэшами через диалоговое окно (Alt+Ins).
При этом максимальное количество пользователей, с которыми работает программа - 65536.

Экспорт данных

Программа SAMInside имеет следующие возможности для экспорта данных:

  • "Export users in PWDUMP file" - экспорт всех пользователей в текстовый файл в формате программы PWDUMP. Далее вы можете загружать полученный файл в любую удобную для вас программу для восстановления паролей.

  • "Export selected users in PWDUMP file" - экспорт выделенных пользователей в текстовый файл в формате программы PWDUMP.

  • "Export found passwords" - экспорт найденных паролей в формате "User name: Password".

  • "Statistics export" - экспорт текущей статистики программы в текстовый файл.
Восстановление паролей

Атака полным перебором:

Данный вид атаки представляет собой полный перебор всех возможных вариантов паролей.

Атака полным перебором также включает в себя атаку распределенным перебором. Данный вид атаки позволяет использовать для восстановления паролей несколько компьютеров, распределив между ними обрабатываемые пароли. Этот вид атаки включается автоматически, когда пользователь устанавливает количество компьютеров, участвующих в атаке, более одного. После этого становится доступной возможность выбора диапазона паролей для атаки на текущем компьютере. Таким образом, чтобы начать атаку распределенным перебором, вам необходимо:
  1. Запустить программу на нескольких компьютерах.
  2. Выбрать во всех экземплярах программы нужное количество компьютеров для атаки.
  3. Установить одинаковые настройки для перебора на всех компьютерах.
  4. Выбрать для каждого компьютера свой диапазон перебора паролей.
  5. Запустить на каждом компьютере атаку полным перебором.

Атака по маске:

Данный вид атаки используется, если есть определенная информация о пароле. Например:
- Пароль начинается с комбинации символов "12345";
- Первые 4 символа пароля - цифры, остальные - латинские буквы;
- Пароль имеет длину 10 символов и в середине пароля есть сочетание букв "admin";
- И т.д.

Настройки перебора по маске позволяют сформировать маску для перебираемых паролей, а также установить максимальную длину перебираемых паролей. Установка маски заключается в следующем - если вы не знаете N-й символ пароля, то включите N-й флажок маски и в соответствующем текстовом поле укажите маску для этого символа. Если же вы заранее знаете определенный символ пароля, то впишите его в N-е текстовое поле и снимите флажок маски.

В программе используются следующие символы маски:
? - Любой печатаемый символ (ASCII-коды символов 32...255).
A - Любая заглавная латинская буква (A...Z).
a - Любая строчная латинская буква (a...z).
S - Любой специальный символ (!@#...).
N - Любая цифра (0...9).
1...8 - Любой символ из соответствующего пользовательского набора символов.

Атака по словарям:

Словарь - это текстовый файл, состоящий из часто употребляемых паролей типа
123
admin
master
и т.д.

Настройки атаки по словарям также включают и гибридную атаку, т.е. возможность добавлять к проверяемым паролям до 2 символов справа и слева, что позволяет восстанавливать такие пароли как "master12" или "#admin".

Атака по предварительно рассчитанным таблицам:

Данный вид атаки использует Rainbow-технологию (http://www.antsight.com/zsl/rainbowcrack/) для создания предварительно рассчитанных таблиц.

Дополнительно:

  • Для всех видов атак необходимо дополнительно указать - по каким хэшам (LM или NT) восстанавливать пароли.

  • Для атаки по словарям (в списке файлов словарей) и для атаки по Rainbow-таблицам (в списке файлов таблиц) необходимо отметить галочками те файлы, которые предполагается использовать в атаке.

Параметры командной строки

Программой можно управлять, используя следующие параметры командной строки:

-hidden : запуск программы в скрытом режиме;

-noreport : запрещает программе выдавать сообщения об окончании атаки;

-import : при загрузке программа сразу же выполнит автоматический импорт локальных пользователей;

-export : программа выполнит импорт локальных пользователей, сохранит результаты в файл SAMInside.OUT и завершит работу;

-minimize : запуск программы с минимизацией в трей.

Дополнительные возможности программы
  • Проверка пароля на всех пользователях, загруженных в программу.
    Для этого в текстовом поле "Current password:" введите нужный пароль и нажмите F2. После этого программа проверит данный пароль на всех пользователях, пароль к которым еще не найден.

  • "Скрытый режим" работы программы (Ctrl+Alt+H).
    При выборе этого режима программа исчезнет с экрана и с панели задач.
    Для возврата из скрытого режима нажмите эту же комбинацию клавиш.

Также в архиве с программой находятся следующие консольные утилиты для работы с файлами реестра SAM и SYSTEM:

  • GetSyskey - программа извлекает из файла реестра SYSTEM системный ключ SYSKEY и сохраняет его в отдельный 16-байтовый файл.

  • GetHashes - программа извлекает хэши пользователей из файла реестра SAM, используя файл с ключом SYSKEY.

  • LRConvert - программа преобразует хэши из формата программы "Login Recovery" в формат PWDUMP.

  • PassToSyskey - программа генерирует ключ SYSKEY на основе вводимого пароля.

Статус программы

Программа SAMInside имеет статус Shareware.
Стоимость одной лицензии - 500 рублей.

С вариантами покупки лицензионного ключа вы можете ознакомиться здесь.

После оплаты лицензии вам необходимо отправить в Службу поддержки следующие данные:
- Информацию о платеже (обязательная информация);
- Ваше имя и фамилию (обязательная информация);
- Дополнительную информацию для регистрации - например, название вашей компании и т.п. (необязательная информация).

После лицензирования программы:
- Вы получите лицензионный ключ, позволяющий использовать все последующие версии программы бесплатно.
- Вы получаете квалифицированную техническую поддержку по использованию программы и восстановлению паролей, включая поддержку On-line (по ICQ).

Ограничения Demo-версии
  1. В атаке полным перебором можно использовать только заглавные латинские буквы.
  2. Недоступна атака по маске.
  3. В атаке по предварительно рассчитанным таблицам доступна атака только по одной таблице.
Лицензионное соглашение
  1. Все права на программу SAMInside принадлежат автору проекта InsidePro.

  2. Программа распространяется в виде Demo-версии, которую Вы можете использовать неограниченно долго. Также Вы без уведомления автора можете размещать и распространять неизмененный дистрибутив Demo-версии программы на каких-либо носителях информации (жесткий диск, дискета, CD-ROM и т.д.).

  3. Для использования программы без ограничений Вам необходимо зарегистрировать свою копию программы, оплатив стоимость лицензионного ключа (или нескольких лицензионных ключей).

  4. Использование лицензионных ключей лицами, не являющимися зарегистрированными пользователями программы, а также распространение и публикация лицензионных ключей к программе являются незаконными действиями. Автор программы оставляет за собой право лишать статуса зарегистрированного пользователя владельцев этих лицензионных ключей и блокировать такие лицензионные ключи в последующих версиях программы.

  5. Вы не можете модифицировать, дизассемблировать и декомпилировать данную программу. Нарушение любого из этих требований ведет к автоматическому прекращению действия этого лицензионного соглашения.

  6. Программа распространяется по принципу "как есть" ("AS IS"). Вы используете программу на собственный риск. Автор не несет ответственности за потерю данных, повреждения, упущенную прибыль или иной ущерб, полученный при использовании или неиспользовании Вами этой программы.

  7. Автор гарантирует, что программа не содержит в себе вредоносного, шпионского или иного скрытого кода, предназначенного для выполнения других функций, кроме оговоренных в описании программы.

  8. Использование программы означает принятие Вами данного лицензионного соглашения.

  9. Если Вы не согласны с условиями данного лицензионного соглашения, пожалуйста, удалите файлы программы с Вашего компьютера и прекратите ее использование.
FAQ

Q1: Что такое файл реестра SAM, зачем он нужен и где он расположен?
A: Так называемый файл реестра SAM (Security Account Manager) представляет собой раздел "HKEY_LOCAL_MACHINE\SAM" реестра Windows NT/2000/XP/2003/Vista, который физически расположен в системном каталоге Windows, в папке \System32\Config\. Этот файл так и называется - sam. В данном файле находятся имена локальных пользователей данного компьютера и их зашифрованные пароли (хэши).

Q2: Я хочу загрузить в программу файл SAM, расположенный в каталоге C:\WINDOWS\System32\Config\, но программа SAMInside не может его прочитать и информирует об ошибке при доступе к этому файлу. Почему?
A: Дело в том, что файлы в этом каталоге (sam, system, software и другие файлы без расширений) - это фрагменты реестра Windows и операционная система по умолчанию никому не дает к ним доступа, даже на чтение. Получить доступ к файлу реестра SAM на локальном компьютере можно следующими способами:
• Загрузиться, используя другую операционную систему (Linux, Knoppix, WinPE и пр.) на этом же компьютере.
• Если ваш системный диск имеет файловую систему FAT (или FAT32), то на компьютере с Windows 95/98 создайте загрузочную дискету, загрузитесь с нее и скопируйте файлы реестра SAM и SYSTEM в другой каталог или на дискету.
• Если ваш системный диск имеет файловую систему NTFS, то для доступа к файлам реестра используйте дискету, созданную в программе NTFSDos Pro.

Q3: Используя дискету, созданную в программу NTFSDos Pro, я получил доступ к файлам реестра SAM и SYSTEM, но файл SYSTEM имеет очень большой размер и не помещается на дискету, что делать?
A: Используйте любой DOS-архиватор для его сжатия, например HA:
- Добавление файла SYSTEM в архив:
a:\ha.exe a a:\system.ha C:\WINDOWS\System32\Config\system
- Извлечение файла SYSTEM из архива:
ha.exe e system.ha

Q4: При импорте файла реестра SAM (или файла SYSTEM) программа сообщает об ошибке, несмотря на то, что я копировал его из каталога C:\WINDOWS\System32\Config. Почему я не могу загрузить свой файл в программу?
A: Такая ситуация возникает, если формат загружаемого вами файла неизвестен программе SAMInside. В первую очередь посмотрите на сигнатуру (т.е. первые 4 байта) своего файла, она должна быть такая - "regf". Если это не так, то возможно у вас произошла одна из следующих ситуаций:
- Вы скопировали файл с EFS-диска (т.е. с диска, на котором установлена Encrypting File System, поддерживающая шифрование файлов); в этом случае ваши файлы зашифрованы и представляют собой псевдослучайный набор байтов, которые не могут использоваться для получения нужных данных из реестра.
- Ваши файлы расположены на NTFS-диске и вы использовали для их копирования программу, которая работает с ошибками; такая ситуация часто происходит при использовании программы NTFSDos (не версии Pro!) и ряда других программ, которые некорректно работают с NTFS 5.0 и выше, поэтому для копирования файлов используйте более новые версии программ.
Если же у вашего файла сигнатура правильная (т.е. он действительно является файлом реестра), но программа не может импортировать из него данные, то пришлите свой файл в Службу поддержки для анализа.

Q5: Что означают знаки вопроса у неизвестных паролей?
A: Если LM-пароль и NT-пароль выглядят как "???????", то пароль имеет длину от 1 до 7 символов.
Если LM-пароль и NT-пароль выглядят как "??????????????", то пароль имеет длину от 8 до 14 символов.
Если LM-пароль отсутствует, а NT-пароль выглядит как "??????????????", то пароль может иметь любую длину, но чаще всего его длина превышает 14 символов.

Q6: Какие алгоритмы используются при получении LM- и NT-хэшей?
A: Формирование NT-хэша происходит так:
• Пароль пользователя преобразуется в Unicode-строку.
• Генерируется MD4-хэш на основе данной строки.
• Полученный хэш шифруется алгоритмом DES, при этом в качестве ключа используется RID пользователя.
Формирование LM-хэша происходит так:
• Пароль пользователя преобразуется в верхний регистр и дополняется нулями до длины 14 байт.
• Полученная строка делится на две половинки по 7 байт и каждая из них по отдельности шифруется алгоритмом DES. В итоге получаем хэш длиной 16 байт (состоящий из двух независимых половинок длиной по 8 байт).
• Полученный хэш шифруется алгоритмом DES, при этом в качестве ключа используется RID пользователя.

Q7: В чем разница между LM- и NT-паролями? Я нашел с помощью вашей программы LM-пароль "ADMIN", а NT-пароль - "Admin". Какой из них мне использовать для входа в систему?
A: Для входа в систему используется регистрозависимый NT-пароль.

Q8: Мой пароль имеет длину более 7 символов, но при попытке установить начальный пароль больше 7 символов атака полным перебором (по LM-хэшам) не запускается, почему? Или же программа заканчивает перебирать все 7-символьные LM-пароли и сообщает, что атака закончена. Почему, ведь у меня пароль длиннее?
A: 7 символов - это не ограничение программы, а особенность формирования LM-хэшей. К примеру, 9-символьный пароль "MARGARITA" Windows шифрует так: отдельно первую 7-символьную часть пароля - "MARGARI" (получая хэш "0069AD6D0FA5DD32") и отдельно вторую часть - "TA" (получая хэш "25E6C6A091DDAB09"). В результате получается LM-хэш "0069AD6D0FA5DD3225E6C6A091DDAB09", который после дополнительного шифрования и хранится в файле реестра SAM. Соответственно, программа SAMInside при восстановлении LM-паролей анализирует обе 8-байтовые половинки LM-хэша по отдельности. В итоге, если у вас пароль длиной 9 символов, то программа восстанавливает не один пароль длиной 9 символов, а два разных пароля длиной 7 и 2 символов! При этом SAMInside при атаке анализирует обе половинки исходного пароля одновременно, уменьшая общее время восстановления длинного пароля ровно в 2 раза. Так что, SAMInside успешно восстанавливает LM-пароли длиной до 14 символов, но по его половинкам!

Q9: У меня короткий NT-пароль (LM-пароль отсутствует), состоящий из латинских букв, но программа его не находит, почему?
A: Дело в том, что Windows при получении LM-хэшей всегда преобразует пароль в верхний регистр (т.е. при шифровании паролей "Admin", "ADMIN" и "aDmIn" на выходе будет один и тот же LM-хэш - вы можете проверить это, используя генератор LM/NT-хэшей в SAMInside). Поэтому и при восстановлении LM-пароля вы можете использовать символы любого регистра - программа все равно преобразует их в заглавные.
А NT-пароль является регистрозависимым, поэтому при его восстановлении используйте наборы символов, состоящие как из заглавных, так и из строчных символов нужного алфавита.

Q10: При импорте локального SAM-файла методом "... using Scheduler" программа сообщает об ошибке "Can't open this temporary file: ...". Почему?
A: Дело в том, что этот метод получает содержимое раздела HKEY_LOCAL_MACHINE\SAM реестра Windows, используя системную утилиту Scheduler, которая по умолчанию имеет права пользователя SYSTEM. Но на некоторых компьютерах доступ на чтение этой ветки реестра закрыт даже пользователю SYSTEM! Это делается либо программами-твикерами, либо "ручными" настройками реестра Windows. В этом случае используйте метод получения локальных пользователей через подключение к системному процессу LSASS или же используйте сторонние утилиты.

Q11: У меня работают оба метода получения локальных пользователей - и "... using Scheduler", и "... using LSASS". Зачем тогда в программе присутствуют два этих метода одновременно?
A: Это сделано специально для того, чтобы если один из этих методов не сработает или же будет работать с ошибками, то у вас всегда был альтернативный способ получения локальных пользователей (причина, по которой не работает импорт с использованием программы Scheduler, описана выше; другая причина - Microsoft может выпустить заплатку, после которой подключение к процессу LSASS станет происходить другими методами или же будет запрещено совсем и пр.). Таким образом, если не сработает один метод импорта локальных пользователей, используйте другой метод и наоборот.

Q12: Ваша программа восстановила пароль из файла реестра SAM, но когда я пытаюсь войти с ним в Windows, то ОС сообщает, что пароль неверный! В чем дело?
A: Возможно, ваш компьютер является сетевым и в локальной сети присутствует сервер домена с включенной службой Active Directory. В этом случае учетные записи пользователей хранятся на сервере домена, а не в файле SAM. А программа SAMInside восстанавливает пароли только к локальным учетным записям, которые хранятся в файле реестра SAM.

Q13: Что такое системный ключ SYSKEY? Как правильно выполнять импорт файла реестра SAM и файла с ключом SYSKEY?
A: Системный ключ - это 16 байт, которые используются для дополнительного шифрования хэшей в Windows. Данный ключ хранится в реестре. Получить доступ к этому ключу можно следующими способами:
• С помощью утилиты SYSKEY.EXE установить такой режим, при котором ключ будет сохраняться на дискете, которую необходимо использовать каждый раз при загрузке Windows. В этом случае файл, сохраненный на дискете, будет называться StartKey.key.
• Использовать программу GetSyskey (или другую, аналогичную ей), которая извлекает данный ключ из файла реестра SYSTEM и сохраняет его в отдельный файл. Этот файл имеет длину 16 байт и используется для декодирования хэшей при выборе следующего пункта меню программы SAMInside - "Import from SAM registry file and file with system key...".

Q14: Как использовать атаку полным перебором в SAMInside на многопроцессорных компьютерах?
A: Вы вполне успешно можете использовать программу на многопроцессорных компьютерах (конечно, если само ядро Windows поддерживает многопроцессорность), при этом будут работать все процессоры и общая скорость восстановления паролей возрастет пропорционально количеству процессоров.
Например, ваш компьютер имеет два процессора. Тогда вам необходимо создать две папки и скопировать в каждую из них по одному экземпляру программы SAMInside. Затем установите в обеих программах одинаковые настройки атаки полным перебором и используйте атаку распределенным перебором. Для этого установите количество компьютеров, участвующих в переборе, равное количеству процессоров (в нашем случае - 2). Затем установите для одной программы первый диапазон паролей, а для другой - второй диапазон и запустите атаку в каждом экземпляре программы. В результате обе программы будут работать на разных процессорах, причем каждый экземпляр программы будут работать с максимальной скоростью для данного процессора.

Q15: Восстанавливает ли программа Active Directory-пароли?
A: Нет, не восстанавливает. SAMInside восстанавливает только пароли локальных пользователей, хранящиеся в файле реестра SAM.

Q16: Можно ли как-то упростить создание пользовательских наборов символов в настройках атаки полным перебором и атаки по маске?
A: Да, можно. Для этого вызовите контекстное меню, нажав правую кнопку мыши над соответствующим текстовым полем. Данное меню наряду со стандартными командами ("Копировать", "Вырезать" и пр.) будет также содержать и команды для быстрой вставки различных наборов символов.

Q17: "Таблицы замены символов" в атаке по словарям - что это такое?
A: Данные таблицы (*.KBT-файлы) представляют собой текстовые файлы, в которых можно указать - какие символы проверяемых паролей должны быть заменены на другие символы. Эта возможность обычно требуется пользователям из не-англоязычных стран, имеющих на клавиатуре 2 раскладки символов - английскую и свою национальную. В этом случае пароли на своем языке могут быть набраны в английской раскладке клавиатуры и наоборот - английские слова набраны национальными символами. В архиве с программой находится файл "Russian.kbt", в котором представлены такие таблицы для пользователей с русской раскладкой клавиатуры.

Q18: Что такое Rainbow-таблицы и как их использовать для восстановления паролей?
A: Подробную информацию о Rainbow-таблицах можно прочитать здесь. Для генерации таблиц можно использовать программы rtgen или Winrtgen. Для восстановления паролей необходимо загрузить в программу список *.RT-файлов, содержащих Rainbow-таблицы и выбрать атаку по таблицам. Разумеется, тип хэшей в таблицах должен совпадать с типом хэшей, выбранных для атаки. Для этого файлы с таблицами должны называться следующим образом:
"lm_*.rt" для LM-хэшей,
"ntlm_*.rt" для NT-хэшей (генерируются программой Winrtgen).

Q19: При атаке по Rainbow-таблицам возникает сообщение "Can't open charset configuration file!" и атака заканчивается. Что это за файл, где его взять и зачем он нужен?
A: Это файл с наборами символов (например - "alpha" (A...Z), "numeric" (0...9) и др.), которые используются для генерации Rainbow-таблиц, а также для восстановления паролей по этим таблицам. В архиве с программой находится файл "Charset.txt", который содержит 25 часто используемых наборов символов, но, разумеется, вы всегда можете дополнить его своими собственными наборами.

©2002-2008, InsidePro.