18 de abril de 2009

Sam Cracking

¿Sábes cómo se entra aquí?

Respuesta: No lo se, pero estoy seguro que el Tio Sam si.

Si hay una combinación de herramientas dentro del mundo del Cracking que tiene historia y de la que “casi” todo el mundo ha oído hablar es la de Pwdump + L0pthcrack, con una extraes los hash de la SAM de Windows (del que estés usando o de uno remoto), y con la otra aplicas ataques por fuerza bruta (principalmente). Forman parte del “kit de herramientas” con el que todo white/black hat va tirando en el día a día.

La sintaxis de Pwdump es muy sencilla, con un sencillo “Pwdump nombre_maquina –u nombre usuario” puedes extraer de la SAM todos los hash (de los que ya hablamos), siempre y cuando dispongas de permisos claro (esto si tienes acceso físico no es un problema, como ya sabemos). El resultado te lo muestra en pantalla:

También puede ser redireccionado a un fichero, el cual puede servir como entrada para L0pthcrack. Ahora bien, esta última herramienta cuyo soporte  era labor de Symantec ya no es mantenida (desde el 2006), por lo que voy a aprovechar para presentaros su homóloga, el Opthcrack:

Aparte de aceptar el fichero de salida de Pwdump, puede obtener directamente el SAM por ella misma y mostrarte los usuarios del sistema, si tienen contraseña y el hash de la misma. Si queremos “recuperarlas” tendremos que bajarnos las Rainbow Tables por ejemplo de aquí (válidas para Windows XP). Con todo ello solo debemos seleccionar la opción de “Crack” y a los pocos minutos (dependiendo de la robustez de las contraseñas estas pueden tardar más tiempo o no llegar a ser extraídas de forma razonable) tendremos el premio:

Por que un olvido lo puede tener cualquiera, y si aun así no lo conseguimos, siempre nos quedará el Hiren's Boot :-P

Salu2

3 comentarios:

eduardo abril dijo...

Sí, la verdad es que es divertido ver como las contraseñas caen en un par de minutos. La que has usado tú en el ejemplo es relatívamente débil, pero en mis auditorías yo he reventado así passwords parecidas a esta "j8L$pmx9**" en tiempos records ...

Y lo mejor es que, como todos ordenadores son clonados, tienes la passwd del admin local en toda la empresa xD

Saludos,

Popotxo dijo...

Muy chulo GigA :-)
L0phtCrack vuelve enseguida
"In January 2009, L0phtCrack was acquired by the original authors, Zatko, Wysopal, and Rioux from Symantec. L0phtCrack 6 is scheduled to be released at the SOURCE Boston Conference on March 11, 2009. L0phtCrack 6 contains support for 64-bit Windows platforms as well as upgraded rainbow tables support"
http://www.l0phtcrack.com

GigA ~~ dijo...

*eduardo

Desde luego el termino "robustez" de una contraseña merece ser reanalizado :D Y lo de la pass replicada pues ya sabes que "no debería" pero para eso estamos nosotros, para corregirlo :-P

*Popotxo
Gracias por el aporte!!No tenía ni idea de que L0pthCrack volvía a la carga, estaremos atentos para poder probarlo, ya que parece que todavía no es descargable :-p

Salu2!