Copyright: Copyright © 1998-2004 nh


Краткий обзор

Программа LCP предназначена для выполнения аудита и восстановления паролей пользователей Windows NT/2000/XP/2003. Ее основные возможности:

• Импорт информации об учетных записях пользователей:

• импорт с локального компьютера;

• импорт с удаленного компьютера;

• импорт файла SAM;

• импорт .LC-файла;

• импорт .LCS-файла;

• импорт PwDump-файла;

• импорт Sniff-файла;

• Восстановление паролей:

• атакой по словарю;

• гибридом атаки по словарю и последовательного перебора;

• атакой последовательным перебором;

• Разбиение последовательного перебора на части:

• разбиение на части;

• объединение частей;

• Вычисление хэшей:

• вычисление LM- и NT-хэшей по паролю;

• вычисление LM- и NT-ответов по паролю и запросу сервера.


История версий

Версия 5.04 - 17 декабря 2004 года

• Добавлена поддержка дополнительного шифрования учетных записей пользователей активизированной программой SYSKEY при выполнении импорта из реестра и импорта файла SAM;

• Добавлена возможность импорта файлов сеансов LC5;

• Английская версия программы.

Версия 4.02 - 27 мая 2003 года

• Исправлены импорт информации об учетных записях пользователей и гибридная атака.

Версия 4.01 - 14 апреля 2003 года

• Изменены параметры атаки по словарю.

Версия 4.00 - 24 февраля 2003 года

• Добавлена возможность создания дампа паролей методом pwdump2 с поддержкой Active Directory;

• Добавлена возможность создания дампа паролей методом pwdump3/pwdump3e;

• Стал возможен импорт файлов сеансов LC3/LC4;

• Появилась возможность восстановления паролей по NT-хэшам и NT-запросам/ответам;

• Добавлены параметры атаки по словарю, гибридной атаки и атаки последовательным перебором;

• Доработано разбиение на части последовательного перебора;

• Добавлена возможность экспорта результатов аудита в текстовый файл и найденных паролей в файл словаря;

• Увеличена скорость восстановления паролей;

• Изменен интерфейс программы.

Версия 2.521 - 18 июня 2000 года

• Добавлена возможность импорта файла SAM;

• Изменена интерпретация Sniff-файлов;

• Сделана более универсальной возможность создания дампа паролей методом pwdump;

• Добавлены дополнительные параметры атаки по словарю и последовательным перебором;

• Изменен формат файла промежуточных результатов.

Версия 2.520 - 24 октября 1999 года

• Улучшен интерфейс программы;

• Добавлена возможность создания дампа паролей методами pwdump и pwdump2;

• Появились дополнительные параметры атаки по словарю;

• Добавлена возможность гибрида атаки по словарю и последовательного перебора;

• Поддержка локализации операционной системы при создании дампа паролей и при их восстановлении;

• Стала доступной Web-страница программы в Internet.

Версия 2.020 - 10 сентября 1998 года

• Первый выпуск программы.


Сравнительная характеристика

Прототипом программы LCP является LC5. Сравнение возможностей LC5 и LCP:

Возможность	LC5	LCP

---------------------------------------------------------------------------------------------------------------

• Аудит и восстановление паролей:

• операционной системы Windows NT/2000/XP/2003	�	�

• операционной системы Unix	�	�

• Импорт информации об учетных записях пользователей:

• импорт с локального компьютера:

• методом pwdump2 без поддержки Active Directory	�	�

• методом pwdump2 с поддержкой Active Directory	�*	�

• импорт с удаленного компьютера:

• из реестра методом pwdump:

• без поддержки SYSKEY	�	�

• с поддержкой SYSKEY	�	�

• из памяти:

• методом pwdump3	�	�

• методом pwdump3e	�*	�

• импорт файла SAM:

• поддержка дополнительного шифрования:

• без поддержки SYSKEY	�*	�

• с поддержкой SYSKEY	�	�

• импорт резервной копии файла SAM	�*	�

• импорт .LC-файла (формат L0phtCrack 2.0/2.5)	�	�

• импорт .LCS-файла:

• формат LC3	�	�

• формат LC4	�	�

• формат LC5	�	�

• импорт PwDump-файла	�	�

• импорт Sniff-файла	�	�

• перехват аутентификационных пакетов	�	�

• Восстановление паролей:

• атакой по словарю:

• использование имен пользователей	�**	�

• использование последовательностей клавиш	�	�

• использование файлов словарей	�**	�

• использование модификаций слов словаря	�	�

• гибридом атаки по словарю и последовательного перебора:

• задание фиксированного количества добавляемых символов	�**	�

• задание диапазона добавляемых символов	�	�

• атакой последовательным перебором:

• выбор одного из стандартных наборов символов	�**	�

• задание пользовательского набора символов	�**	�

• использование части комбинаций заданием диапазона	�	�

• использование информации о длине пароля	�	�

• использование информации о символах пароля	�	�

• использование информации о регистре символов пароля	�	�

• задание номера части последовательного перебора	�	�

• атакой с предварительно вычисленными хэшами	�**	�

• Разбиение последовательного перебора на части:

• разбиение на части	�	�

• объединение частей	�	�

• Экспорт информации:

• экспорт результатов аудита в текстовый файл	�	�

• экспорт найденных паролей в файл словаря	�	�

• Вычисление хэшей:

• вычисление LM- и NT-хэшей по паролю	�	�

• вычисление LM- и NT-ответов по паролю и запросу сервера	�	�

• Высокая скорость	�**	�

• Использование планировщика заданий для аудита паролей	�	�

• Помощь в исправлении слабых паролей	�	�

• Графический отчет	�	�

• Справка:

• общее описание	�	�

• контекстно-зависимая справка	�	�

--------------------------------------------------------------------------------

* При импорте из программы LC5 все нелатинские буквы в имени пользователя могут быть искажены или такая учетная запись может быть пропущена.

** При использовании нелатинских букв в пароле с помощью программы LC5 пароль может быть не найден.

Максимально возможное количество комбинаций и относительное время, требующиеся для различных наборов символов на восстановление паролей последовательным перебором по LM-хэшам при отсутствии известной информации о пароле:

Набор символов	    Символов	    Комбинаций	Относительное время

--------------------------------------------------------------------------------------------------------------------

A-Z	26	         8 353 082 582	       1,00

E-Z	26	         8 353 082 582	       1,00

A-Z, 0-9	36	       80 603 140 212	       9,65

E-Z, 0-8	36	       80 603 140 212	       9,65

A-Z, 0-9, !@#$%^&*()-_+=	51	     915 358 891 407	   109,58

E-Z, 0-8, !$@#%^&*()-_+=	51	     915 358 891 407	   109,58

A-Z, 0-9, !@#$%^&*()-_+=~`[]{}|\:;"'<>,.?/	69	  7 555 858 447 479	   904,56

E-Z, 0-8, !?$.,@#%^&*()-_+=~`[]{}|\:;"'<>/	69	  7 555 858 447 479	   904,56

А-Я	33	       43 950 269 319	       5,26

О-Ё	33	       43 950 269 319	       5,26

А-Я, 0-9	43	     278 290 482 799	     33,32

О-Ё, 0-8	43	     278 290 482 799	     33,32

А-Я, 0-9, !@#$%^&*()-_+=	58	  2 246 720 731 894	   268,97

О-Ё, 0-8, !$@#%^&*()-_+=	58	  2 246 720 731 894	   268,97

А-Я, 0-9, !@#$%^&*()-_+=~`[]{}|\:;"'<>,.?/	76	14 840 463 832 732	1 776,65

О-Ё, 0-8, !?$.,@#%^&*()-_+=~`[]{}|\:;"'<>/	76	14 840 463 832 732	1 776,65


Теория и практика аудита и восстановления паролей Windows NT/2000/XP/2003

Операционные системы Windows NT/2000/XP/2003 хранят пароли в зашифрованном виде, называемом хэшами паролей (hash (англ.) - смесь, мешанина). Пароли не могут быть получены непосредственно из хэшей. Восстановление паролей заключается в вычислении хэшей по возможным паролям и сравнении их с имеющимися хэшами паролей. Аудит паролей включает в себя проверку возможных путей получения информации об учетных записях пользователей, результатом восстановления паролей является их представление в явном виде с учетом регистра.

Получение хэшей паролей

Существует несколько путей получения хэшей паролей, зависящих от их местонахождения и имеющегося доступа. Хэши паролей могут быть получены следующими способами: из файла SAM или его резервной копии, непосредственно из реестра операционной системы локального или удаленного компьютера, из реестра или Active Directory локального или удаленного компьютера внедрением DLL, посредством перехвата аутентификационных пакетов в сети.

Получение хэшей паролей из файла SAM

Учетные записи пользователей, содержащие в том числе имена пользователей и их пароли, хранятся в реестре Windows NT/2000/XP/2003, а именно в той его части, которая находится в файле SAM (Security Account Manager (англ.) - диспетчер защиты учетных записей). Этот файл можно найти на диске в каталоге %SystemRoot%\system32\config, на диске аварийного восстановления системы или на резервной магнитной ленте.

К файлу SAM в каталоге %SystemRoot%\system32\config нельзя получить доступ, пока Windows NT/2000/XP/2003 загружена, так как он открыт операционной системой. Если имеется физический доступ к машине, необходимо скопировать файл, загрузив на этой машине другую копию операционной системы или другую операционную систему. Если Windows NT/2000/XP/2003 установлена на диске с файловой системой NTFS, то для MS-DOS и Windows 95/98/Me дополнительно нужны программы, обеспечивающие доступ к диску с NTFS из этих операционных систем. В MS-DOS могут быть использованы NTFSDOS и NTFSDOS Professional, в Windows 95/98/Me - NTFS for Windows 98 (авторами являются Mark Russinovich, Bryce Cogswell). Для доступа из операционной системы Linux требуется включение поддержки NTFS. Также можно загрузиться с дискеты и скопировать файл SAM, предварительно запустив обеспечивающую доступ к разделам с NTFS программу. После этого нужно выполнить импорт файла SAM. Извлечение хэшей паролей из файла SAM было разработано и впервые реализовано в программе SAMDump (автор Дмитрий Андрианов). При импорте файла SAM осуществляется получение списка учетных записей пользователей, содержащихся в файле SAM. Процесс импорта файла SAM подобен получению хэшей паролей методом pwdump за исключением того, что вместо функций Windows API, обеспечивающих работу с реестром Windows, используется их эмуляция. При выполнении импорта файла SAM из программы SAMDump все нелатинские буквы, имеющиеся в именах пользователей, будут искажены. Программа LCP лишена этого недостатка.

Способом получения файла SAM в операционной системе Windows NT, не требующим перезагрузки машины, является копирование его из каталога %SystemRoot%\repair или с диска аварийного восстановления. Каждый раз, когда в Windows NT создается диск аварийного восстановления с помощью программы RDISK, файл SAM запаковывается и сохраняется в файл sam._, являющийся резервной копией файла SAM. Файл sam._ представляет из себя архив в формате cabinet. Этот файл может быть распакован командой "expand sam._ sam". Недостатком этого способа является то, что с момента создания диска аварийного восстановления пароли могли измениться и, возможно, файл sam._ содержит устаревшие данные. В программе LCP имеется встроенная возможность импорта файла SAM и из файла sam._, избавляющая от необходимости использования программы expand. При импорте списка учетных записей пользователей из файла sam._ он предварительно распаковывается, затем выполняется непосредственно импорт файла SAM.

Файл SAM также копируется, когда создается полная резервная копия. Если имеется доступ к резервной копии, можно восстановить файл SAM из %SystemRoot%\system32\config на другую машину и затем извлечь из него хэши паролей. Недостатком и этого способа также является то, что с момента последнего сеанса создания резервной копии пароли могли измениться.

Существует служебная программа SYSKEY, впервые появившаяся в составе Service Pack 3 для Windows NT. Программа SYSKEY дополнительно зашифровывает хэши паролей учетных записей, что делает бесполезным импорт файла SAM с помощью программы SAMDump. SYSKEY может использоваться в одном из трех вариантов:

• сгенерированный ключ запуска записывается на локальный жесткий диск в реестр в зашифрованном виде;

• для получения ключа запуска берется пароль, выбранный администратором и вводимый во время загрузки операционной системы;

• сгенерированный ключ запуска записывается на дискету, которая должна быть вставлена во время загрузки операционной системы.

По умолчанию используется хранение ключа запуска в реестре. Подробнее о программе SYSKEY можно прочитать в статье KB143475 Windows NT System Key Permits Strong Encryption of the SAM.

Служебная программа SYSKEY в операционной системе Windows NT для дополнительной защиты паролей учетных записей после установки Service Pack соответствующей версии должна быть активизирована вручную. В операционных системах Windows 2000/XP/2003 программа SYSKEY изначально присутствует и активизирована.

Импорт файла SAM, дополнительно зашифрованного SYSKEY, впервые был реализован в программе SAMInside (авторами являются PolASoft и Ocean). Алгоритм SYSKEY первым опубликовал FlashSky из Xfocus Team. Для выполнения импорта при хранении ключа запуска в реестре необходимо открыть файлы SAM и SYSTEM, предварительно скопировав их из каталога %SystemRoot%\system32\config. Если недостаточно места на дискете, файлы могут быть сжаты до копирования. Резервные копии файлов также могут находиться в каталоге %SystemRoot%\repair, если ранее выполнялась архивация. При хранении ключа запуска на дискете кроме файла SAM нужен файл StartKey.Key для выполнения импорта.

Импорт файла SAM без дополнительного шифрования или с дополнительным шифрованием хэшей паролей при любом варианте хранения ключа запуска возможен в программе LCP.

Получение хэшей паролей из реестра операционной системы

При получении хэшей паролей из реестра операционной системы осуществляется непосредственный доступ к реестру. Для выполнения импорта информации необходимо иметь административные права на компьютере, дамп паролей учетных записей которого требуется создать. Если компьютер не является локальным, то должен быть разрешен удаленный доступ к реестру и иметься соответствующие права. Получение хэшей данным способом впервые стало возможным в программе pwdump (автор Jeremy Allison). При выполнении импорта информации этим способом с помощью программы pwdump имена пользователей, содержащие нелатинские буквы, будут искажены. Для получения хэшей паролей из реестра рекомендуется воспользоваться LCP.

Если программа SYSKEY активизирована, хэши паролей дополнительно зашифровываются. Выполнение импорта с помощью программы pwdump становится бесполезным, т.к. пароли по дополнительно зашифрованным хэшам восстановлены не будут. В программе LCP получение хэшей паролей из реестра доработано с учетом возможного дополнительного шифрования хэшей программой SYSKEY, поэтому рекомендуется использовать LCP.

Получение хэшей паролей внедрением DLL

Данный метод был разработан и реализован в программе pwdump2 (автор Todd A. Sabin). Получение хэшей паролей методом pwdump2 возможно вне зависимости от того, была активизирована программа SYSKEY или нет. Для создания дампа паролей методом pwdump2 необходимо иметь право SeDebugPrivilege. По умолчанию только пользователи группы администраторов имеют его, поэтому нужно иметь административные права для использования этого метода. Использование метода pwdump2 возможно только на локальной машине.

Метод pwdump2 использует для создания дампа паролей способ, называемый внедрением DLL. Один процесс вынуждает другой процесс (lsass.exe), используя его идентификатор процесса, загружать DLL (samdump.dll) и выполнять некоторый код из DLL в адресном пространстве другого процесса (lsass.exe). Загрузив samdump.dll в lsass (системная служба LSASS - Local Security Authority Subsystem), программа использует тот же самый внутренний API, что msv1_0.dll, чтобы обратиться к хэшам паролей. Это означает, что она может получить хэши без выполнения таких действий, как перемещение их из реестра и дешифрование. Программа не заботится ни о том, каковы алгоритмы шифрования, ни каковы ключи.

В версии программы pwdump2, поддерживающей Active Directory, имеется ошибка, не позволяющая получить хэши паролей, если в операционной системе есть учетные записи с нелатинскими буквами в именах. В программе LCP ошибка исправлена, поэтому получение хэшей паролей данным методом рекомендуется выполнять в ней.

Метод, использующийся в программе pwdump2, был доработан для получения хэшей паролей не только с локальной, но и с удаленной машины в программах pwdump3/pwdump3e (автор Phil Staubs). На удаленный компьютер копируются исполняемый файл службы и файл DLL. После копирования файлов на удаленном компьютере создается и запускается новая служба, выполняющая те же действия, что и программа pwdump2 на локальном компьютере. Далее выполняется удаление службы и файлов, ранее скопированных. Передача информации об учетных записях пользователей производится через раздел реестра на удаленном компьютере, временно создаваемый и уничтожаемый после завершения копирования данных. В программе pwdump3e выполняется дополнительное шифрование передаваемых данных по алгоритму Diffie-Hellman для сохранения конфиденциальности при их возможном перехвате при передаче по сети. Использование данного метода также требует административных прав на той машине, информацию об учетных записях пользователей с которой хочется получить.

При выполнении импорта информации этим способом с помощью программ pwdump3/pwdump3e имена пользователей, содержащие нелатинские буквы, будут искажены. Для получения хэшей паролей с удаленного компьютера внедрением DLL рекомендуется воспользоваться LCP.

Если административные права на локальном компьютере отсутствуют, можно воспользоваться уязвимостью операционных систем Windows NT/2000/XP/2003, заключающейся в замене экранной заставки, запускаемой при отсутствии регистрации пользователя операционной системы в течение некоторого времени (по умолчанию интервал времени составляет 15 минут для Windows NT/2000, 10 минут - для Windows XP/2003). Для этого файл %SystemRoot%\system32\logon.scr заменяется на требуемый исполняемый файл (например, cmd.exe), который будет запущен операционной системой вместо экранной заставки с правами системы. Замена может быть выполнена способом, используемым при копировании файла SAM. Доступ к диску с NTFS с возможностью записи осуществим с помощью NTFSDOS Professional или NTFS for Windows 98. Далее выполняются действия по получению хэшей методом pwdump2 или pwdump3/pwdump3e.

Перехват аутентификационных пакетов в сети

Даже если программа SYSKEY установлена и активизирована, не имеется необходимого доступа к удаленному или локальному компьютеру, существует возможность получения хэшей паролей учетных записей пользователей. Этим способом является перехват аутентификационных пакетов в сети (sniffing (англ.) - вынюхивание). Клиентская машина обменивается с сервером аутентификационными пакетами каждый раз, когда требуется подтверждение прав пользователя. Необходимо, чтобы компьютер находился в сетевом сегменте пользователя или ресурса, к которому он обращается. Программа для перехвата аутентификационных пакетов (sniffer (англ.) - вынюхиватель), встроенная в LC5, работает на машинах с Ethernet-адаптером и в Windows NT/2000/XP/2003, и в Windows 95/98/Me. Программу LC5 в режиме перехвата аутентификационных пакетов нужно оставить запущенной на некоторое время для сбора достаточного количества хэшей паролей. Полученные данные необходимо сохранить в файл, после чего в программе LCP выполнить импорт файла сеанса LC5.

Для препятствования получения хэшей паролей этим способом фирмой Microsoft было разработано расширение существующего механизма аутентификации, называемое NTLMv2. Его использование становится возможным после установки Service Pack, начиная с Service Pack 4 для Windows NT. Подробнее об использовании NTLMv2 можно прочитать в статье KB147706 How to Disable LM Authentication on Windows NT.

Восстановление паролей

Пароль может быть получен различными способами: атакой по словарю, последовательным перебором, гибридом атаки по словарю и последовательного перебора, атакой с предварительно вычисленными хэшами.

При атаке по словарю последовательно вычисляются хэши для каждого из слов словаря или модификаций слов словаря и сравниваются с хэшами паролей каждого из пользователей. При совпадении хэшей пароль найден. Преимущество метода - его высокая скорость. Недостатком есть то, что таким образом могут быть найдены только очень простые пароли, которые имеются в словаре или являются модификациями слов словаря.

Последовательный перебор комбинаций (brute force (англ.) - грубая сила (дословно), решение "в лоб") использует набор символов и вычисляет хэш для каждого возможного пароля, составленного из этих символов. При использовании этого метода пароль всегда будет определен, если составляющие его символы присутствуют в выбранном наборе. Единственный недостаток этого метода - большое количество времени, которое может потребоваться на определение пароля. Чем большее количество символов содержится в выбранном наборе, тем больше времени может пройти, пока перебор комбинаций не закончится.

При восстановлении паролей гибридом атаки по словарю и последовательного перебора к каждому слову или модификации слова словаря добавляются символы справа и/или слева. Для каждой получившейся комбинации вычисляется хэш, который сравнивается с хэшами паролей каждого из пользователей.

Для выполнения атаки с предварительно вычисленными хэшами заранее вычисляются хэши и сохраняются пары пароль/хэш для всех возможных комбинаций выбранного набора символов. Имеющиеся хэши паролей ищутся среди предварительно вычисленных хэшей. Преимуществом метода является очень высокая скорость, недостатками - длительное предварительное вычисление хэшей и большое количество дискового пространства, требуемое для их хранения.

После получения хэшей паролей можно начать восстановление паролей. Двумя основными типами файла, содержащими хэши паролей, являются PwDump- (passwords dump (англ.) - дамп паролей) и Sniff-файл.

Каждая строка PwDump-файла имеет следующий формат:

"ИмяПользователя:RID:LM-хэш:NT-хэш:ПолноеИмя,Описание:ДомашнийКаталог:"

Каждая из 7-символьных половин пароля зашифрована независимо от другой в LM-хэш по алгоритму DES (бывший федеральный стандарт США), NT-хэш получается в результате шифрования всего пароля по алгоритму MD4 (фирмы RSA Security, Inc.). LM-хэш содержит информацию о пароле без учета регистра (в верхнем регистре), а NT-хэш - с учетом регистра. После имени пользователя имеется уникальный идентификатор учетной записи RID (relative identifier (англ.) - относительный идентификатор), который для получения хэшей не используется. Идентификатор встроенной учетной записи администратора равен 500, гостевой учетной записи - 501. LM-хэш присутствует для совместимости с другими операционными системами (LAN Manager, Windows for Workgroups, Windows 95/98/Me и т.д.). Его наличие упрощает восстановление паролей. Если длина NT-пароля превышает 14 символов, LM-хэш соответствует пустому паролю. При существовании LM-хэша восстановление сначала осуществляется по LM-хэшу, после нахождения LM-пароля используется NT-хэш для определения NT-пароля.

Каждая строка Sniff-файла имеет следующий формат:

"ИмяПользователя:3:ЗапросСервера:LM-ответ:NT-ответ"

LM-ответ получается в результате шифрования LM-хэша, NT-ответ - в результате шифрования NT-хэша. Шифрование выполняется по алгоритму DES таким образом, что определить LM- и NT-пароль можно только при проверке всего пароля. Кроме того, в каждом случае используется свой запрос сервера. Поэтому на определение паролей по Sniff-файлу потребуется значительно больше времени.

Первой программой, выполняющей восстановление паролей Windows NT, была L0phtCrack (сегодняшнее название - LC5). Авторами L0phtCrack являются Peiter Mudge Zatko и Chris Wysopal из фирмы L0pht Heavy Industries, Inc. (сейчас @stake, Inc.). При использовании нелатинских букв в пароле с помощью программы LC5 пароль может быть не найден, для восстановления паролей рекомендуется использовать LCP.

Изменение паролей пользователей без их восстановления

Если восстановление паролей пользователей Windows NT/2000/XP/2003 не требуется, возможно их изменение при имеющемся доступе к локальному компьютеру. Изменение паролей делается с помощью программы Offline NT Password & Registry Editor (автор Petter Nordahl-Hagen). Выполняется загрузка с дискеты с операционной системой Linux, выбор пользователя для изменения пароля, вычисление хэша пароля и модификация файла SAM на диске с операционной системой. Программа поддерживает Windows NT/2000/XP/2003, в т.ч. с активизированной служебной программой SYSKEY.

Дополнительные возможности получения информации о паролях

Если в сети есть машины с установленными на них операционными системами Windows 3.11, Windows for Workgroups или Windows 95/98/Me, то имеются дополнительные возможности получения информации о паролях.

По умолчанию в этих операционных системах выполняется кэширование паролей пользователей на диск в файлы %WinDir%\<ИмяПользователя>.pwl (PassWord List (англ.) - список паролей). Пароли хранятся в зашифрованном виде, причем регистр букв игнорируется (всегда используется верхний регистр). Алгоритм шифрования паролей начиная с Windows 95 OSR2 был изменен, так как была исправлена обнаруженная ошибка, поэтому восстановить пароли из старых PWL-файлов значительно проще. Для этого могут быть применены программы Glide (автор Frank Andrew Stevenson), PWL_Key (автор Артур Иванов), PwlHack (автор Владимир Калашников), PwlTool (авторами являются Vitas Ramanchauskas, Евгений Королев). Для восстановления паролей из новых PWL-файлов можно использовать PwlHack или PwlTool.

При разрешенном кэшировании паролей с момента входа и регистрации пользователя в Windows и до момента выхода пароли можно определить, запустив программу PwlView (авторами являются Vitas Ramanchauskas, Евгений Королев). Показываются кэшируемые пароли на локальной машине для текущего пользователя, используя недокументированные функции Windows API.

Если пользователь Windows NT/2000/XP/2003 является одновременно пользователем Windows 3.11, Windows for Workgroups или Windows 95/98/Me и будет определен его пароль (как пользователя Windows 3.11, Windows for Workgroups или Windows 95/98/Me), в котором, как уже упоминалось ранее, содержатся только символы верхнего регистра, то с помощью LCP пароль Windows NT/2000/XP/2003 может быть легко определен. Необходимо в качестве известных символов пароля указать символы ранее определенного пароля пользователя Windows 3.11, Windows for Workgroups или Windows 95/98/Me.

Рекомендации администратору Windows 3.11, Windows for Workgroups и Windows 95/98/Me

На машинах с Windows 3.11, Windows for Workgroups и Windows 95/98/Me:

• отключить кэширование паролей в Windows 3.11 и Windows for Workgroups. Для этого в файле %WinDir%\system.ini добавить следующий параметр:

[NETWORK]

PasswordCaching=no

• отключить кэширование паролей в Windows 95/98/Me. Для этого с помощью редактора реестра найти в реестре двоичный параметр DisablePwdCaching и установить его в 1 (создав его, если он не существовал) в разделе

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Network

• после отключения кэширования паролей удалить все PWL-файлы с диска и перезагрузить операционную систему;

• если конфигурация компьютера удовлетворяет аппаратным требованиям операционных систем Windows NT/2000/XP/2003, перейти на их использование.

Рекомендации администратору Windows NT/2000/XP/2003

На машинах с Windows NT/2000/XP/2003:

• сделать недоступным для вскрытия корпус компьютера для предотвращения возможного отключения жесткого диска с операционной системой или подключения другого диска;

• в Setup разрешить загрузку только с жесткого диска, чтобы не допустить загрузку с другого носителя;

• установить пароль на вход в Setup, не позволяя отменить запрет на загрузку с другого носителя;

• Windows NT/2000/XP/2003 должна быть единственной операционной системой, установленной на машине, что делает невозможным копирование и замену файлов из других операционных систем;

• использовать только файловую систему NTFS, отказаться от использования FAT и FAT32;

• удостовериться в Windows NT, что установлен Service Pack 3 или более поздний и активизирована служебная программа SYSKEY;

• отказаться от хранения ключа запуска в реестре, изменив в программе SYSKEY размещение ключа запуска на использование пароля запуска или хранение ключа запуска в файле на дискете;

• использовать встроенную в операционные системы Windows 2000/XP/2003 возможность шифрования файлов посредством EFS (Encrypting File System (англ.) - файловая система с шифрованием), являющейся частью NTFS5;

• запретить удаленное управление реестром, остановив соответствующую службу;

• запретить использовать право отладки программ SeDebugPrivilege. Для этого в оснастке "Локальная политика безопасности" нужно выбрать элемент "Параметры безопасности\Локальные политики\Назначение прав пользователя" и в свойствах политики "Отладка программ" удалить из списка всех пользователей и все группы;

• отменить использование особых общих папок ADMIN$, C$ и т.д., позволяющих пользователю с административными правами подключаться к ним через сеть. Для этого необходимо добавить в реестр параметр AutoShareWks (для версий Workstation и Professional) или AutoShareServer (для версии Server) типа DWORD и установить его в 0 в разделе

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters

Диапазон: 0-1, по умолчанию - 1.

0 - не создавать особые общие ресурсы;

1 - создавать особые общие ресурсы.

Подробнее об удалении особых общих ресурсов можно прочитать в статье KB314984 HOW TO: Create and Delete Hidden or Administrative Shares on Client Computers (для версий Workstation и Professional) и в статье KB318751 HOW TO: Remove Administrative Shares in Windows 2000 (для версии Server);

• запретить или максимально ограничить количество совместно используемых сетевых ресурсов;

• ограничить анонимный доступ в операционных системах Windows NT/2000, позволяющий при анонимном подключении получать информацию о пользователях, политике безопасности и общих ресурсах. В Windows NT/2000 нужно добавить в реестр параметр RestrictAnonymous типа DWORD в разделе

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa

Диапазон: 0-2, по умолчанию - 0 для Windows NT/2000, 1 - для Windows XP/2003.

0 - не ограничивать, положиться на заданные по умолчанию разрешения;

1 - не разрешать получать список учетных записей и имен пользователей;

2 - не предоставлять доступ без явных анонимных разрешений (недоступно в Windows NT).

Подробнее об ограничении анонимного доступа можно прочитать в статье KB143474 Restricting Information Available to Anonymous Logon Users (для Windows NT) и в статье KB246261 How to Use the RestrictAnonymous Registry Value in Windows 2000 (для Windows 2000);

• запретить хранение LM-хэшей в операционных системах Windows 2000/XP/2003 для затруднения восстановления паролей злоумышленником, вынуждая использовать для этого NT-хэши. Для этого необходимо добавить в реестр параметр NoLMHash типа DWORD и установить его в 1 в разделе

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa

Диапазон: 0-1, по умолчанию - 0.

0 - хранить LM-хэши;

1 - не хранить LM-хэши.

Подробнее о запрещении хранения LM-хэшей можно прочитать в статье KB299656 How to Prevent Windows from Storing a LAN Manager Hash of Your Password in Active Directory and Local SAM Databases;

• если в сети отсутствуют клиенты с Windows for Workgroups и Windows 95/98/Me, то рекомендуется отключить LM-аутентификацию, так как это существенно затруднит восстановление паролей при перехвате аутентификационных пакетов злоумышленником. Если же такие клиенты присутствуют, то можно включить использование LM-аутентификации только по запросу сервера. Это можно сделать, активизировав расширение механизма аутентификации NTLMv2. Для его активизации необходимо добавить в реестр следующие параметры:

• LMCompatibilityLevel типа DWORD в разделе

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa

Диапазон: 0-5, по умолчанию - 0.

0 - посылать LM- и NT-ответы, никогда не использовать аутентификацию NTLMv2;

1 - использовать аутентификацию NTLMv2, если это необходимо;

2 - посылать только NT-ответ;

3 - использовать только аутентификацию NTLMv2;

4 - контроллеру домена отказывать в LM-аутентификации;

5 - контроллеру домена отказывать в LM- и NT-аутентификации (допустима только аутентификация NTLMv2).

• NtlmMinClientSec или NtlmMinServerSec типа DWORD в разделе

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0

Диапазон: объединенные по логическому ИЛИ любые из следующих значений:

0x00000010 - целостность сообщений;

0x00000020 - конфиденциальность сообщений;

0x00080000 - безопасность сеанса NTLMv2;

0x20000000 - 128-битное шифрование.

Подробнее об использовании NTLMv2 можно прочитать в статье KB147706 How to Disable LM Authentication on Windows NT;

• если в сети присутствуют только клиенты с Windows 2000/XP/2003, то рекомендуется использовать протокол аутентификации Kerberos;

• запретить отображение имени пользователя, который последним регистрировался в операционной системе, в диалоговом окне регистрации. Для этого нужно добавить в реестр строковый параметр DontDisplayLastUserName и установить его в 1 в разделе

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon

Диапазон: 0-1, по умолчанию - 0.

0 - отображать имя последнего пользователя;

1 - не отображать имя последнего пользователя.

Подробнее о запрещении отображения имени пользователя можно прочитать в статье KB114463 Hiding the Last Logged On Username in the Logon Dialog;

• запретить запуск экранной заставки при отсутствии регистрации пользователя операционной системы в течение некоторого времени. Для этого нужно в реестре значение строкового параметра ScreenSaveActive установить в 0 в разделе

HKEY_USERS\.DEFAULT\Control Panel\Desktop

Подробнее о запрещении запуска экранной заставки можно прочитать в статье KB185348 HOW TO: Change the Logon Screen Saver in Windows;

• при выборе паролей Windows NT/2000/XP/2003 соблюдать следующие правила:

• не выбирать в качестве пароля или части пароля любое слово, которое может являться словом словаря или его модификацией;

• длина пароля в Windows NT должна быть не менее 7 символов (при максимально возможной длине пароля в 14 символов), в Windows 2000/XP/2003 - более 14 символов (при максимально возможной длине пароля в 128 символов);

• пароль должен содержать символы из возможно большого символьного набора. Нельзя ограничиваться только символами A-Z, желательнее использовать в пароле и буквы, и цифры, и специальные символы (причем в каждой из 7-символьных половин пароля, если длина пароля менее или равна 14);

• символы пароля, являющиеся буквами, должны быть как верхнего, так и нижнего регистра, что затруднит восстановление пароля, производимое по NT-хэшу;

• своевременно выполнять установку пакетов исправлений и обновлений операционной системы;

• переименовать административную и гостевую учетные записи, отключив при этом последнюю;

• избегать наличия учетной записи с именем и паролем, совпадающими с административной, на другом компьютере в качестве обычной учетной записи;

• иметь только одного пользователя с административными правами;

• задать политику учетных записей (блокировку учетных записей после определенного числа ошибок входа в систему, максимальный срок действия пароля, минимальную длину пароля, удовлетворение пароля требованиям сложности, требование неповторяемости паролей и т.д.);

• установить аудит неудачных входов;

• воспользоваться программами из пакета Microsoft Security Tool Kit, в частности HFNetChk и Microsoft Baseline Security Analyzer (написаны Shavlik Technologies LLC для Microsoft), проверяющими наличие установленных обновлений и имеющихся ошибок в настройке системы безопасности;

• периодически выполнять аудит паролей, используя программу LCP или подобные ей.


Ссылки на программы

LCP	http://lcp.da.ru

LC5	http://www.atstake.com/products/lc/

pwdump	http://us1.samba.org/samba/ftp/pwdump/

pwdump2	http://www.bindview.com/Support/RAZOR/Utilities/Windows/pwdump2_readme.cfm

pwdump3, pwdump3e	http://www.polivec.com/pw3dump/default.htm

SAMDump	http://www.atstake.com/products/lc/download.html

SAMInside	http://www.insidepro.com/rus/saminside.shtml

NTFSDOS	http://www.sysinternals.com/ntw2k/freeware/ntfsdos.shtml

NTFSDOS Professional	http://www.sysinternals.com/ntw2k/freeware/ntfsdospro.shtml

NTFS for Windows 98	http://www.sysinternals.com/ntw2k/freeware/ntfswin98.shtml

Offline NT Password & Registry Editor	http://home.eunet.no/~pnordahl/ntpasswd/

Glide	http://online.securityfocus.com/archive/1/4065

PWL_Key	http://www.password-crackers.com/crack2.html#win311

PwlHack	http://www.password-crackers.com/crack2.html#win95

PwlTool	http://lastbit.com/vitas/pwltool.asp

PwlView	http://lastbit.com/vitas/pwlview.asp

Microsoft Security Tool Kit	http://www.microsoft.com/technet/security/tools/stkintro.mspx

HFNetChk	http://www.microsoft.com/technet/security/tools/hfnetchk.mspx

Microsoft Baseline Security Analyzer	http://www.microsoft.com/technet/security/tools/mbsahome.mspx


Благодарности

Предмет исследования

Фирме Microsoft Corp. за создание операционных систем Windows NT/2000/XP/2003.

http://www.microsoft.com

Алгоритмы и исходные тексты

Peiter Mudge Zatko, Chris Wysopal из фирмы @stake, Inc. (ранее L0pht Heavy Industries, Inc.) за разработку и реализацию алгоритма L0phtCrack.

http://www.atstake.com

Eric Young за реализацию алгоритма DES в библиотеке libdes.

eay@aus.rsa.com

Фирме RSA Security, Inc. за разработку и реализацию алгоритмов MD4 и MD5.

http://www.rsasecurity.com

Wei Dai за реализацию алгоритма Diffie-Hellman в библиотеке Crypto++.

http://www.cryptopp.com

Jeremy Allison за разработку и реализацию алгоритма pwdump.

jra@cygnus.com

Todd A. Sabin за разработку и реализацию алгоритма pwdump2.

http://www.bindview.com/Support/RAZOR/Utilities/Windows/pwdump2_readme.cfm

Phil Staubs за разработку и реализацию алгоритма pwdump3/pwdump3e.

http://www.polivec.com/pw3dump/default.htm

Дмитрию Андрианову за разработку, реализацию и любезное предоставление исходных текстов алгоритма SAMDump.

root@dima.spb.ru

FlashSky из Xfocus Team за восстановление и публикацию алгоритма SYSKEY.

http://www.xfocus.net

Фирме Microsoft Corp. за разработку и реализацию алгоритмов работы с cabinet-файлами в Cabinet SDK.

http://www.microsoft.com

Средства разработки

Фирме Borland Software Corp. за серию продуктов для написания программ на C/C++.

http://www.borland.com

Daniel Leon за патч для Crypto++ к Borland C++Builder.

http://www.chez.com/psylon/cppbuilder/cryptopp/

Борису Фомичеву за STLport - реализацию Standard Template Library.

http://www.stlport.com

Фирме Intel Corp. за среду оптимизации VTune Performance Analyzer.

http://www.intel.com

Jan Goyvaerts за HelpScribble - программу для создания файлов справки.

http://www.helpscribble.com

Перевод

Saulius Sereika, Максиму Фурманову за перевод программы на английский язык.

sauliux@sauliux.lt

max@lunn.ru

Информационная поддержка

Дмитрию Леонову за статьи, книги и сайт BugTraq.Ru (ранее HackZone).

http://www.bugtraq.ru

Павлу Семьянову за статьи, книги, домашнюю страницу и сайт "Russian Password Crackers".

http://www.ssl.stu.neva.ru/psw/

http://www.password-crackers.com


Главное окно программы

Главное окно программы содержит меню, панель инструментов, панель состояния, список учетных записей пользователей, строку состояния.

В меню Файл содержатся команды выполнения действий с файлами, в меню Вид - команды задания вида главного окна программы, в меню Импорт - команды выполнения различного типа импорта информации об учетных записях пользователей, в меню Сеанс - команды управления сеансом аудита и восстановления паролей, в меню Справка - команды предоставления справочной информации о программе.

Кнопки панели инструментов дублируют наиболее часто используемые команды меню.

На панели состояния выводятся следующие данные о ходе восстановления:

Атака по словарю

Отображается информация о текущем слове словаря, количестве перебранных слов, общем количестве слов и проценте выполненной работы при восстановлении паролей атакой по словарю. Для задания параметров атаки по словарю выберите в меню Сеанс команду Параметры и в диалоговом окне Параметры перейдите на вкладку Атака по словарю.

Гибридная атака

Отображается информация о текущем слове словаря, количестве перебранных слов, общем количестве слов, проценте выполненной работы, начальной комбинации и конечной комбинации при восстановлении паролей гибридом атаки по словарю и последовательного перебора. Для задания параметров гибридной атаки выберите в меню Сеанс команду Параметры и в диалоговом окне Параметры перейдите на вкладку Гибридная атака.

Атака последовательным перебором

Отображается информация о последней комбинации последовательного перебора, проценте выполненной работы по последовательному перебору, количестве оставшегося времени, скорости перебора, начальной комбинации и конечной комбинации при восстановлении паролей атакой последовательным перебором. Для задания параметров атаки последовательным перебором выберите в меню Сеанс команду Параметры и в диалоговом окне Параметры перейдите на вкладку Атака последовательным перебором.

В некоторых случаях гибридная атака и атака последовательным перебором производятся по двум частям. В этом случае после начальной и конечной комбинаций в круглых скобках дополнительно приводится информация о номере части перебора в виде "(<НомерЧасти>/2)".

Список учетных записей пользователей содержит информацию об учетных записях, восстановление паролей которых производится. Найденные пароли или его части отображаются в столбцах LM-пароль и NT-пароль. Неизвестная половина LM-пароля при известной другой половине будет отображена символами "???????". Если по LM- и NT-хэшам доступна информация о длине пароля, ставится отметка в столбце <8 или >14.

В строке состояния отображается состояние программы, количество найденных паролей, общее количество паролей и процент найденных паролей.


Импорт с локального компьютера

Для выполнения импорта с локального компьютера выберите в меню Импорт команду Импорт с локального компьютера. В диалоговом окне Импорт с локального компьютера задаются параметры импорта с локального компьютера.

Операционная система

• Windows NT или Windows 2000/XP/2003 без Active Directory

Выполнение получения хэшей паролей методом pwdump2 без поддержки Active Directory.

• Windows NT/2000/XP/2003

Выполнение получения хэшей паролей методом pwdump2 с поддержкой Active Directory.


Импорт с удаленного компьютера

Для выполнения импорта с удаленного компьютера выберите в меню Импорт команду Импорт с удаленного компьютера. В диалоговом окне Импорт с удаленного компьютера задаются параметры импорта с удаленного компьютера.

Компьютер

• Имя компьютера или IP-адрес

Имя или IP-адрес компьютера, с которого должны быть получены хэши паролей.

Тип импорта

• Импорт из реестра

Выполнение получения хэшей паролей методом pwdump.

• Импорт из памяти

Выполнение получения хэшей паролей методом pwdump3/pwdump3e.

• Шифровать передаваемые данные

При установленном флажке выполняется дополнительное шифрование передаваемых по сети данных. Снятый флажок соответствует получению хэшей паролей методом pwdump3, установленный флажок - методом pwdump3e.

Подключение

• Выполнять подключение

При установленном флажке перед выполнением импорта с удаленного компьютера производится подключение общего ресурса.

• Общий ресурс

Имя общего ресурса, подключение к которому необходимо выполнить. Для выполнения получения хэшей паролей методом pwdump3/pwdump3e общий ресурс должен быть дисковым. В диалоговом окне Обзор ресурсов приводится список общих ресурсов выбранного компьютера.

• Имя пользователя

Имя пользователя, под которым должно быть выполнено подключение. В диалоговом окне Обзор пользователей приводится список пользователей выбранного компьютера с выделением административных, отключенных и заблокированных учетных записей.

• Пароль

Пароль пользователя, с которым должно быть выполнено подключение.

• Скрывать пароль

При установленном флажке вводимый пароль пользователя скрывается.


Импорт файла SAM

Для выполнения импорта файла SAM выберите в меню Импорт команду Импорт файла SAM. В диалоговом окне Импорт файла SAM задаются параметры импорта файла SAM.

Файл SAM

• Имя файла

Имя файла SAM или резервной копии файла SAM.

Размещение ключа запуска

• Используется дополнительное шифрование

Установленный флажок соответствует наличию в операционной системе дополнительного шифрования хэшей паролей с помощью активизированной программы SYSKEY.

• Ключ запуска в реестре

Ключ запуска хранится в реестре компьютера.

Имя файла SYSTEM

Имя файла реестра SYSTEM.

• Ключ запуска из пароля при загрузке системы

Ключ запуска вычисляется из пароля запуска при загрузке операционной системы.

Пароль

Пароль запуска.

• Ключ запуска на дискете

Ключ запуска хранится в файле на дискете.

Имя файла

Имя файла ключа запуска.


Параметры атаки по словарю

Для задания параметров атаки по словарю выберите в меню Сеанс команду Параметры и в диалоговом окне Параметры перейдите на вкладку Атака по словарю.

Атака по словарю

• Выполнять атаку по словарю

При установленном флажке в сеансе аудита выполняется атака по словарю.

Словарь

• имена пользователей (username)

При установленном флажке в атаке по словарю в качестве словаря используются имена пользователей.

• последовательности соседних клавиш (qwerty)

При установленном флажке в атаке по словарю для получения слов словаря используются заданные последовательности клавиш.

• файлы словарей

При установленном флажке в атаке по словарю в качестве словарей используются заданные файлы словарей.

Дополнительно проверять

Задаются модификации слов словаря, которые дополнительно должны быть проверены.

• записанное дважды слово (rootroot)

При установленном флажке дополнительно проверяются записанные дважды слова словаря.

• обратный порядок символов (drowssap)

При установленном флажке дополнительно проверяется обратный порядок символов слов словаря.

• конкатенацию с обратным порядком символов (roottoor)

При установленном флажке дополнительно проверяется конкатенация слов словаря с обратным порядком символов слов словаря.

• конкатенацию обратного порядка символов (toorroot)

При установленном флажке дополнительно проверяется конкатенация обратного порядка символов слов словаря со словами словаря.

• усеченное слово (passw)

При установленном флажке дополнительно проверяются усеченные до заданного количества символов слова словаря.

• слово без гласных, за исключением заглавной (psswrd, accss)

При установленном флажке дополнительно проверяются слова словаря без гласных, за исключением заглавной, по заданным гласным.

• слово без гласных (psswrd, ccss)

При установленном флажке дополнительно проверяются слова словаря без всех гласных по заданным гласным.

• транслитерацию букв (parol)

При установленном флажке дополнительно проверяется транслитерация букв по заданной таблице транслитерации.

• замену латинской раскладкой (gfhjkm)

При установленном флажке дополнительно проверяются слова словаря с замененными буквами языка локализации на латинские буквы по заданной раскладке клавиатуры.

• замену раскладкой локализации (зфыыцщкв)

При установленном флажке дополнительно проверяются слова словаря с замененными латинскими буквами на буквы языка локализации по заданной раскладке клавиатуры.


Параметры гибридной атаки

Для задания параметров гибрида атаки по словарю и последовательного перебора выберите в меню Сеанс команду Параметры и в диалоговом окне Параметры перейдите на вкладку Гибридная атака.

Гибридная атака

• Выполнять гибридную атаку

При установленном флажке в сеансе аудита выполняется гибридная атака.

• Добавлять справа к слову символы

Справа от слов словаря или их модификаций добавляется заданное количество символов.

• Добавлять слева к слову символы

Слева от слов словаря или их модификаций добавляется заданное количество символов.


Параметры атаки последовательным перебором

Для задания параметров атаки последовательным перебором выберите в меню Сеанс команду Параметры и в диалоговом окне Параметры перейдите на вкладку Атака последовательным перебором.

Атака последовательным перебором

• Выполнять атаку последовательным перебором

При установленном флажке в сеансе аудита выполняется атака последовательным перебором.

Набор символов

Задается набор символов, по которому будет выполняться последовательный перебор.

• Стандартный набор

В качестве набора символов из списка может быть выбран один из стандартных наборов.

• Пользовательский набор

Задается пользовательский набор символов. Набор символов не должен содержать повторяющиеся символы, так как в этом случае последовательный перебор будет нерациональным из-за повторения комбинаций. Для открытия предварительно сохраненного в файле набора нажмите кнопку Открыть и выберите файл, содержащий набор символов. Для сохранения пользовательского набора нажмите кнопку Сохранить как и задайте имя файла.

Диапазон комбинаций

Задается диапазон комбинаций последовательного перебора.

• Использовать часть комбинаций

При установленном флажке используется часть комбинаций последовательного перебора.

• Начальная комбинация

Задается начальная комбинация последовательного перебора. Ее задание возможно при установленном флажке Использовать часть комбинаций. Начальная и конечная комбинации должны образовывать правильный диапазон, т.е. начальная комбинация должна идти ранее конечной.

• Конечная комбинация

Задается конечная комбинация последовательного перебора. Ее задание возможно при установленном флажке Использовать часть комбинаций. Начальная и конечная комбинации должны образовывать правильный диапазон, т.е. начальная комбинация должна идти ранее конечной.

Известная информация

Задается известная информация о пароле. Задание известной информации позволяет сократить число комбинаций, которые необходимо перебрать, уменьшив время на определение паролей.

• Известна длина пароля

При установленном флажке предоставляется возможность задать количество символов в пароле.

• Известны символы или регистр символов

При установленном флажке нажмите кнопку Символы и задайте известные символы пароля и регистр символов пароля.

Прочее

• Номер части последовательного перебора

При восстановлении паролей по PwDump-файлу по LM-хэшам может быть задан номер части последовательного перебора, если перебор при этом состоит из двух частей.


Прочие параметры

Для задания прочих параметров выберите в меню Сеанс команду Параметры и в диалоговом окне Параметры перейдите на вкладку Прочие.

Прочие

• Автосохранение результата

Задается интервал времени в минутах, через который автоматически сохраняется результат восстановления в процессе выполнения сеанса аудита. При выборе нулевого значения автосохранение производиться не будет. Сохранение результатов восстановления выполняется в начале сеанса аудита, в конце сеанса аудита, при нахождении пароля или его половины, при автосохранении и при явном выборе пользователем сохранения результатов в файле.

• Устанавливать при импорте значения по умолчанию

При установленном флажке при импорте устанавливаются значения по умолчанию параметров атаки по словарю и гибридной атаки. При сброшенном флажке сохраняются параметры, заданные в предыдущем сеансе аудита.


Последовательности клавиш

Для задания последовательностей клавиш выберите в меню Сеанс команду Параметры, в диалоговом окне Параметры перейдите на вкладку Атака по словарю и нажмите кнопку Задать. В диалоговом окне Последовательности клавиш задаются последовательности клавиш, используемые в качестве словаря в атаке по словарю и гибридной атаке.

Последовательности клавиш

• Стандартные последовательности

В качестве последовательностей клавиш могут быть выбраны стандартные последовательности.

• Пользовательские последовательности

Задаются пользовательские последовательности клавиш. Для открытия предварительно сохраненных в файле последовательностей нажмите кнопку Открыть и выберите файл, содержащий последовательности клавиш. Для сохранения последовательностей клавиш нажмите кнопку Сохранить как и задайте имя файла.


Файлы словарей

Для задания файлов словарей выберите в меню Сеанс команду Параметры, в диалоговом окне Параметры перейдите на вкладку Атака по словарю и нажмите кнопку справа от поля для ввода имен и путей файлов словарей. В диалоговом окне Файлы словарей задаются файлы словарей, используемые в качестве словарей в атаке по словарю и гибридной атаке.

Файлы словарей

Предоставляется возможность задать список файлов словарей, которые будут последовательно использованы в указанном порядке. Для замены текущего элемента списка нажмите кнопку Заменить. Для добавления нового элемента списка нажмите кнопку Добавить. Для удаления текущего элемента списка нажмите кнопку Удалить. Для удаления несуществующих путей нажмите кнопку Удалить неверные пути.


Гласные

Для задания гласных выберите в меню Сеанс команду Параметры, в диалоговом окне Параметры перейдите на вкладку Атака по словарю и нажмите кнопку Гласные. В диалоговом окне Гласные задаются гласные, используемые в атаке по словарю и гибридной атаке.

Гласные

• Стандартные гласные

В качестве гласных могут быть выбраны стандартные гласные.

• Пользовательские гласные

Задаются пользовательские гласные. Для открытия предварительно сохраненных в файле гласных нажмите кнопку Открыть и выберите файл, содержащий гласные. Для сохранения гласных нажмите кнопку Сохранить как и задайте имя файла.


Таблица транслитерации

Для задания таблицы транслитерации выберите в меню Сеанс команду Параметры, в диалоговом окне Параметры перейдите на вкладку Атака по словарю и нажмите кнопку Таблица. В диалоговом окне Таблица транслитерации задается таблица транслитерации, используемая в атаке по словарю и гибридной атаке.

Таблица транслитерации

• Стандартная таблица

В качестве таблицы транслитерации из списка может быть выбрана одна из стандартных таблиц.

• Пользовательская таблица

Задается пользовательская таблица транслитерации. Для открытия предварительно сохраненной в файле таблицы нажмите кнопку Открыть и выберите файл, содержащий таблицу транслитерации. Для сохранения таблицы транслитерации нажмите кнопку Сохранить как и задайте имя файла. Для замены текущего элемента списка нажмите кнопку Заменить. Для добавления нового элемента списка нажмите кнопку Добавить. Для удаления текущего элемента списка нажмите кнопку Удалить. Для очистки списка нажмите кнопку Очистить.


Раскладка клавиатуры

Для задания раскладки клавиатуры выберите в меню Сеанс команду Параметры, в диалоговом окне Параметры перейдите на вкладку Атака по словарю и нажмите кнопку Раскладка. В диалоговом окне Раскладка клавиатуры задается раскладка клавиатуры, используемая в атаке по словарю и гибридной атаке.

Раскладка клавиатуры

• Стандартная раскладка

В качестве раскладки клавиатуры из списка может быть выбрана одна из стандартных раскладок.

• Пользовательская раскладка

Задается пользовательская раскладка клавиатуры. Для открытия предварительно сохраненной в файле раскладки нажмите кнопку Открыть и выберите файл, содержащий раскладку клавиатуры. Для сохранения раскладки клавиатуры нажмите кнопку Сохранить как и задайте имя файла. Для очистки раскладки клавиатуры нажмите кнопку Очистить.


Символы пароля и регистр символов пароля

Для задания символов пароля и регистра символов пароля выберите в меню Сеанс команду Параметры, в диалоговом окне Параметры перейдите на вкладку Атака последовательным перебором и нажмите кнопку Символы. В диалоговом окне Символы пароля и регистр символов пароля задаются известные символы пароля и регистр символов пароля.

Символы пароля

Задаются известные символы пароля. Информация об известных символах пароля используется в атаке последовательным перебором.

Регистр символов пароля

Задается регистр символов пароля. Информация о регистре символов пароля используется в атаке по словарю, гибридной атаке, атаке последовательным перебором при восстановлении паролей по NT-хэшам или NT-запросам/ответам. Для задания всем флажкам состояния, соответствующего неизвестному регистру, нажмите кнопку Неизвестный регистр. Для задания всем флажкам состояния, соответствующего нижнему регистру, нажмите кнопку Нижний регистр. Для задания всем флажкам состояния, соответствующего верхнему регистру, нажмите кнопку Верхний регистр.


Разбиение на части

Для разбиения последовательного перебора на части после открытия файла сеанса или импорта выберите в меню Файл команду Разбить на части. В диалоговом окне Разбиение на части задаются параметры разбиения на части.

Разбиение на части

• Набор символов

Отображается набор символов, по которому будет выполняться последовательный перебор. Задание набора символов производится в диалоговом окне Параметры на вкладке Атака последовательным перебором.

• Последняя комбинация

Отображается последняя комбинация последовательного перебора. До начала сеанса аудита последняя комбинация совпадает с начальной. Задание начальной комбинации производится в диалоговом окне Параметры на вкладке Атака последовательным перебором.

• Конечная комбинация

Отображается конечная комбинация последовательного перебора. Задание конечной комбинации производится в диалоговом окне Параметры на вкладке Атака последовательным перебором.

• Префикс имени файла

Задается префикс имени каждого из файлов частей.

• Количество частей

Задается количество частей, на которое нужно разбить последовательный перебор.

Для разбиения последовательного перебора на части нажмите кнопку Разбить. Для очистки списка нажмите кнопку Очистить. Для сохранения файлов частей нажмите кнопку Сохранить в папке и выберите папку.

При восстановлении паролей по PwDump-файлу по LM-хэшам возможна ситуация, когда одной части соответствуют два файла. При этом номера частей в списке совпадают, имя первого файла оканчивается на "a", имя второго файла оканчивается на "b". Суммарное количество комбинаций этих двух файлов равно количеству комбинаций файла любой другой части.

Откройте полученные файлы сеансов на разных компьютерах и выполните аудит. После окончания аудита произведите объединение частей.


Объединение частей

Для объединения частей выберите в меню Файл команду Объединить части. В диалоговом окне Объединение частей задаются параметры объединения частей.

Объединение частей

• Префикс имени файла

Задается префикс имени каждого из файлов частей.

• Папка с файлами

Задается имя папки с файлами частей.

Объединяемые файлы частей могут быть получены разбиением последовательного перебора на части.


Вычисление хэшей

Для вычисления хэшей выберите в меню Файл команду Вычислить хэши. В диалоговом окне Вычисление хэшей вычисляются LM- и NT-хэши по паролю, LM- и NT-ответы по паролю и запросу сервера. Вычисление хэшей может быть использовано для выполнения аудита паролей без предварительного импорта информации об учетных записях пользователей из операционной системы.

Вычисление хэшей

• Имя пользователя

Задается имя пользователя. Имя может содержать до 20 символов в верхнем или нижнем регистре. Имена не могут состоять только из точек или пробелов, а также содержать следующих символов:

\  /  "  [  ]  :  |  <  >  +  =  ;  ,  ?  *  @

• Пароль

Задается пароль пользователя. Пароль пользователя может содержать до 128 символов.

• Запрос сервера

Задается запрос сервера. Запрос сервера содержит 8 байт, т.е. 16 шестнадцатеричных цифр.

Для вычисления хэшей и заполнения списков нажмите кнопку Вычислить. Для очистки списков нажмите кнопку Очистить. Для сохранения хэшей в файл нажмите соответствующую LM- и NT-хэшам или LM- и NT-запросам/ответам кнопку Сохранить как и задайте имя файла.