其他分享
首页 > 其他分享> > 系统提权和日志管理

系统提权和日志管理

作者:互联网

windows密码文件破

 

windows系统存储密码的文件在c:\windows\system32\config\SAM文件中

但是是以Hash来存储的。

 

LM-Hash,Win9x系统采用,安全性比较差。

NTLM-Hash,Win2000之后的系统采用。

Win7/2008之前的系统同时采用这两种方式存储密码;

Win7/2008之后的系统只采用NTLM-Hash。

 

GetHashes

只能获取WinXP/2003以下系统的用户密码Hash值,已经比较过时了。

 

Quarks PwDump

支持XP/2003/Vista/7/2008/8/2012

使用这样的软件可以破解得到本地账户的hash值,我们可以通过菜刀连上服务器再上传QuarksPwDump.exe,在命令行里运行

但是出现了DNS服务器对区域没有权威的问题

 

 

原来是因为我是从文件夹里面直接打开cmd的,会缺少权限,所以才会这样,还是老老实实打开cmd,

输入命令QuarksPwDump.exe -dhl 就是会把local的账户hash给dump(倾倒)下来

 

 

 

 

下面就看得到该主机的账号和对应密码的hash了

 

 

 

然后呢 我们再在这个网站上https://www.objectif-securite.ch/ophcrack破解hash值,成功得到win7的密码

 

 

然后我试了一下win10系统,目前这个软件是dump不出来的。

 

 

 

建立简单的隐藏账号

在创建账号的时候加上$符号,这样可以简单隐藏 net user 命令查看不到

 

但是呢 我们可以在图像界面用户组里面看到,所以说这个手段还是不够隐蔽

 

 

常常使用注册表来创建相当于是administrator的clone账号,为什么这么说呢?

 

我们使用whoami /all

 

 

 

 

 

SID:系统为每个用户账号建立一个唯一的安全标识符(Security Identifier,SID),在Windows系统内部核心,是利用SID而不是账户名称来表示或识别每个用户。

 

 

 

 这就相当于我们每个人的身份证号一样,是唯一的。

RID:红色箭头所指的最后一位 1003便是RID。

RID是500的SID是系统内置Administrator账户,即使重命名,其RID仍保持为500不变。

RID为501的SID是Guest账户, 后来新建的用户账户的RID都是从1000开始。

 

那么我们打开注册表,regedit,HKEY_LOCAL_MACHINE\SAM\SAM]目录下,SAM肯定是和用户账号相关的

 

 

但是这里到SAM文件夹就啥也没有了,我们查看权限

 

 

 管理员用户是没有权限控制的,system才有,我们勾选上权限就可以看见了

 

 

 

这里管理员的注册表键值类型是0x1f4,也就是500这里是RID

 

 

 

 再看看我们之前查看的用户0x3eb,果然也是1003

 

 

 

 

 

如何隐藏hack$用户呢,我们先把对应的账户文件夹注册表导入下来,然后删掉hack$用户

 

 

 

 

 

 

 

 

 

接着再导入这两个注册表文件

 

 

接着再 检查一下是否还看得见这个用户

 

 

 

 

现在是找不到hack$这个用户了,那么我们如何添加到管理员组中去,而且net user localgroup administrators 查不到呢?

这就要说到SID了,我们为什么说前面clone管理员账户呢,我们hack$账号使用管理员账号的SID这样就相当于clone了

 

 

复制所选16进制,然后粘贴到我们hack$账号的F注册表上,这样我们hack$账号就成功clone了!

 

 

标签:账号,注册表,系统,用户,提权,SID,hack,日志,RID
来源: https://www.cnblogs.com/byErichas/p/14761498.html