Как получить хэш-пароль из файла SAM с помощью regedit

Question

Я пытаюсь получить хэши паролей из файла SAM некоторое время. Я не хочу загружать программу, которая получит ее для меня; во-первых, потому что я хочу сделать это сам, а во-вторых, потому что все, что я загрузил, были вредоносными программами.

Довольно скоро я понял, что не могу получить доступ к SAM в реестре во время входа в свою учетную запись (это admin), поэтому я решил поменять «utilman.exe» на копию «cmd.exe» и таким образом, я могу получить доступ к SAM как к «системе» при выходе из моей учетной записи.

Мне удалось экспортировать все SAM на мой рабочий стол, как файл «.reg», так и файл «.txt». Проблема в том, что ... Я не знаю, с чего начать поиск хэша паролей. Интересно, что при открытии версии «.txt» я понял, что при изменении «.reg» версии на файл «.txt» это отличается. Пример показан здесь:

00000000 07 00 01 00 00 00 00 00 - 98 00 00 00 02 00 01 00 ................ По умолчанию текстовая версия

[HKEY_LOCAL_MACHINE \ SAM \ SAM] "C" = hex: 07,00,01,00,00,00,00,98,00,00,00,02,00,01,00, 01,00,14,80,78,00,00, \ Регистрационный файл изменен на txt

Любая помощь будет очень признательна. Что касается намерений, я просто пытаюсь поэкспериментировать с окнами. :) ...

Answer 1

Это помогло мне нагрузок. Здесь вы можете увидеть хеш пароля LM (Lan Manager) и хэш NT. Я нашел их в своем реестре и нашел это точно.

EDIT

Как найти расположение значений во втором квартале от первого (для автоматизированных программ). Так, первая коробка всегда будет выглядеть (Workstations будучи в 0078, например), но второй будет иметь разные значения и быть в разных местах, так что он работает так:

Выберите первые 4 байта, например: 90 01 00 00

Reverse им, например: 00 00 01 90 Примечание: я не изменял вокруг значений, просто порядок байт так 90 еще 90, а не 09)

Decimal новообращенный 00000190 в шестнадцатеричном, чтобы получить BE

Hex конвертировать BE для получения 190

Hex преобразования (снова) 190, чтобы получить 400 (который в настоящее время наша десятичное значение)

Добавить CC (Decimal ГК является 204) в десятичной форме, 204 и 400, чтобы сделать 604 (ПРИМЕЧАНИЕ: CC должен быть добавлен к каждому уравнению, которое вы делаете, иначе он не будет работать)

От шести до десятичного 604 для получения 25C. Затем, если вы посмотрите на второй блок, это 0258, 0259, 025A, 025B, 025C. Тогда значение 025C (25C).