Взлом паролей Windows

Размещено на http://www.allbest.ru/

Министерство транспорта Российской Федерации

Федеральное агентство путей сообщения

Самарская государственная академия путей сообщения

Кафедра Мехатроника в автоматизированных производствах

Лабораторная работа №1

по дисциплине «Методы средства защиты компьютерной информации»

на тему «Взлом паролей Windows»

Выполнили:

студенты группы 1331

Кислина Н.С.

Кулаков О.А.

Проверил:

Тюмиков Д.К.

Самара 2007

Цель

Взломать пароль Windows.

Задачи

Ш Ознакомиться с возможностями программы NT Passworder 1.1.

Ш Рассмотреть все программы позволяющие взломать пароль Windows;

Теоретическое введение

Проблему безопасности компьютерных сетей надуманной не назовешь. Практика показывает: чем масштабнее сеть и чем более ценная информация доверяется подключенным к ней компьютерам, тем больше находится желающих нарушить ее нормальное функционирование ради материальной выгоды или просто из праздного любопытства. Идет постоянная виртуальная война, в ходе которой организованности системных администраторов противостоит изобретательность компьютерных взломщиков. Основным защитным рубежом против злонамеренных атак в компьютерной сети является система парольной защиты, которая имеется во всех современных программных продуктах. В соответствии с установившейся практикой, перед началом сеанса работы с операционной системой пользователь обязан зарегистрироваться, сообщив ей свое имя и пароль. Имя требуется для идентификации пользователя, а пароль служит подтверждением правильности произведенной идентификации. Информация, введенная пользователем в диалоговом режиме, сравнивается с той, что имеется в распоряжении операционной системы. Если проверка дает положительный результат, то пользователю становятся доступны все ресурсы операционной системы, связанные с его именем.

Что такое парольный взломщик. Наиболее эффективным является метод взлома парольной защиты операционной системы (в дальнейшем - ОС), при котором атаке подвергается системный файл, содержащий информацию о легальных пользователях и их паролях. Однако любая современная ОС надежно защищает пользовательские пароли, которые хранятся в этом файле, при помощи шифрования. Кроме того, доступ к таким файлам, как правило, по умолчанию запрещен даже для системных администраторов, не говоря уже о рядовых пользователях операционной системы. Тем не менее, в ряде случаев злоумышленнику удается путем различных ухищрений получить в свое распоряжение файл с именами пользователей и их зашифрованными паролями. И тогда ему на помощь приходят так называемые парольные взломщики - специализированные программы, которые служат для взлома паролей операционных систем.

Решение

Задача 1:

1.Рассмотрим программу NT Passworder. Программа NT Passworder предназначена для восстановления забытых паролей в Windows NT/2000/XP/2003. Пароли восстанавливаются путем перебора заданных пользователем символов. Предоставляется возможность выбора скорости перебора, а также сохранения результатов. Для восстановления паролей не требуются привилегии администратора, то есть пароль может быть восстановлен в любой учетной записи пользователя.

Поэтому для того, чтобы взломать пароль необходимо загрузиться под любой другой операционной системой и запустить программу NT Passworder, которая сначала определяет пользователя с администраторскими правами, а затем вычисляет его пароль.

Интерфейс программы NT Passworder представлен на рис.1.

Рис. 1. Интерфейс программы NT Passworder

Задача 2:

1.Получение хэшей паролей из файла SAM. Учетные записи пользователей, содержащие в том числе имя пользователя и его пароль, хранятся в реестре Windows NT, а именно в той его части, которая находится в файле SAM (Security Account Manager - диспетчер защиты учетных записей). Этот файл можно найти на диске в каталоге %systemroot%\system32\config, на диске аварийного восстановления системы или на резервной магнитной ленте.

1)К файлу SAM в каталоге %systemroot%\system32\config нельзя получить доступ, пока Windows NT загружена, так как он открыт операционной системой. Если имеется физический доступ к машине, необходимо загрузиться, например, с дискеты и, предварительно запустив обеспечивающую доступ к разделам с NTFS программу, например, NTFSDOS или NTFS for Windows 98, скопировать файл SAM. Затем нужно воспользоваться L0phtCrack+ для импорта файла SAM. Можно использовать и L0phtCrack или саму программу SAMDump для извлечения хэшей паролей из файла SAM, но в этом случае все нелатинские буквы в полученном PwDump-файле будут искажены.

2)Другой способ получить файл SAM, причем этот способ не требует перезагрузки машины, - это копирование его из каталога %systemroot%\repair или с диска аварийного восстановления. Каждый раз, когда создается диск аварийного восстановления с помощью программы RDISK, файл SAM запаковывается и сохраняется в файл "sam._". Этот файл может быть распакован командой "expand sam._ sam". Недостатком этого способа является то, что с момента создания диска аварийного восстановления пароли могли измениться и, возможно, файл "sam._" содержит устаревшие данные. В программе L0phtCrack+ имеется возможность импорта файла SAM и из файла "sam._", избавляющая от использования программы expand.

3)Файл SAM также копируется на магнитную ленту, когда создается полная резервная копия. Если имеется доступ к резервной магнитной ленте, можно восстановить файл SAM из %systemroot%\system32\config на другую машину и затем извлечь из него хэши паролей. Недостатком и этого способа также является то, что с момента последнего сеанса создания резервной копии пароли могли измениться. пароль windows обнаружение взлом

4)Существует служебная программа SYSKEY, входящая в Service Pack, начиная с Service Pack 3 по последний на настоящий момент Service Pack 6a. Если служебная программа SYSKEY активизирована, то файл SAM дополнительно шифруется и хэши паролей не могут быть извлечены вышеупомянутым способом. SYSKEY может использоваться в одном из 3х вариантов:

*сгенерированный ключ шифрования записывается на локальный жесткий диск в зашифрованном виде;

*сгенерированный ключ шифрования записывается на дискету, которая должна быть вставлена во время загрузки операционной системы;

*для получения ключа шифрования берется пароль, выбранный администратором и вводимый во время загрузки операционной системы.

5)Если Вы имеете административные права, то можете получить хэши паролей из реестра методом pwdump как с помощью L0phtCrack+, так и с помощью L0phtCrack или самой программы pwdump (автор Jeremy Allison). Если удаленный доступ к реестру разрешен, то можно сделать это и по сети. В противном случае Вы должны физически присутствовать на локальной машине.

6)Если программа SYSKEY активизирована, хэши паролей дополнительно еще шифруются и поэтому не могут быть получены описанным выше способом. В том случае, если программа SYSKEY активизирована, но Вы имеете административные права, то можете получить хэши паролей из реестра методом pwdump2 как с помощью L0phtCrack+, так и с помощью самой программы pwdump2 (автор Todd A. Sabin). Использование метода pwdump2 возможно только на локальной машине.

2.Перехват аутентификационных пакетов в сети. Даже если программа SYSKEY установлена и запущена, но не имеется никакого доступа по сети к реестру или физического доступа, не стоит отчаиваться. Существует еще один способ получения хэшей паролей - перехват аутентификационных пакетов в сети (sniffing (англ.) - вынюхивание). Дело в том, что клиентская машина обменивается с сервером аутентификационными пакетами каждый раз, когда требуется подтверждение прав пользователя. Нужно, чтобы Ваша машина находилась в сегменте пользователя или ресурса, к которому он обращается. Программа для перехвата аутентификационных пакетов (sniffer (англ.) - нюхатель), встроенная в L0phtCrack, работает только на машинах с Ethernet-адаптером, но зато и в Windows NT, и в Windows 95/98. L0phtCrack надо оставить запущенной на некоторое время, например на рабочий день, и она соберет достаточное количество хэшей паролей.

Для препятствования получения хэшей паролей этим способом фирмой Microsoft было разработано расширение существующего механизма аутентификации, называемое NTLMv2. Его использование становится возможным после установки Service Pack, начиная с Service Pack 4 по последний на настоящий момент Service Pack 6a.

3.Определение паролей. После того, как хэши паролей получены в виде PwDump- (passwords dump (англ.) - дамп паролей) или Sniff-файла, необходимо загрузить их в L0phtCrack+ и начать взлом паролей.

Каждая строка PwDump-файла имеет следующий формат:

"ИмяПользователя: RID: LanMan Hash: NT Hash: ПолноеИмя, Описание: Основной Каталог Пользователя: "Каждая из 7-символьных половин пароля шифруется независимо от другой в LanMan Hash по алгоритму DES, NT Hash получается в результате шифрования всего пароля по алгоритму MD4. LanMan Hash содержит информацию о пароле без учета регистра, а NT Hash - с учетом регистра. Поэтому взлом сначала осуществляется по LanMan Hash, а после нахождения LanMan-пароля используется и NT Hash для определения NT-пароля.

Каждая строка Sniff-файла имеет следующий формат:

"ИмяПользователя: 3: Server Challenge: LanMan Response: NT Response".

LanMan Response получается в результате шифрования LanMan Hash, NT Response - в результате шифрования NT Hash. Шифрование выполняется по алгоритму DES таким образом, что определить и LanMan-, и NT-пароль можно только при проверке всего пароля. Поэтому на определение паролей по Sniff-файлу потребуется значительно больше времени.

4.Дополнительные возможности получения информации о паролях. Если в сети есть машины с установленными на них операционными системами Windows for Workgroups или Windows 95/98, то имеются дополнительные возможности получения информации о паролях.

Во-первых, по умолчанию в этих операционных системах выполняется кэширование паролей пользователей на диск в файлы %windir%\<ИмяПользователя>.pwl (PassWords List (англ.) - список паролей). Пароли хранятся в зашифрованном виде, причем регистр букв игнорируется (всегда используются большие буквы). Следует учитывать, что алгоритм шифрования паролей, начиная с Windows 95, OSR2 был изменен, так как была исправлена обнаруженная ошибка. Поэтому расшифровать старые PWL-файлы значительно проще. Для этого могут быть применены программы Glide, PWL_Key, PwlHack, PwlTool. Для взлома же новых PWL-файлов можно использовать уже упоминавшиеся PwlHack или PwlTool.

Во-вторых, также при разрешенном кэшировании паролей, с момента входа и регистрации пользователя в Windows и до момента выхода пароли можно определить, запустив программу PwlView. Она показывает кэшируемые пароли на локальной машине для текущего пользователя, используя стандартные, но недокументированные функции API.

Если пользователь Windows NT является одновременно пользователем Windows for Workgroups или Windows 95/98 и будет определен его пароль (как пользователя Windows for Workgroups или Windows 95/98), в котором, как уже упоминалось ранее, содержатся только большие буквы, то с помощью L0phtCrack+ пароль Windows NT может быть определен практически мгновенно.

Вывод

В результате выполнения лабораторной работы было изучено, как формируются пароли и где они хранятся, а также различные способы взлома паролей Windows. Кроме того, было осуществлено практическое применение программы NT Passworder и доказано, что взломать пароль - это реально.

Список литературы

1. Дж. Макнамара Секреты компьютерного шпионажа тактика и контрмеры, - М., БИНОМ. Лаборатория знаний, 2004.

2. http://www.webinfa.ru

3. http://www.sysinternals.com

4. http://www.microsoft.com

5. http://www.atstake.com

6. www.bezpeka.com

Размещено на Allbest.ru