Fragmento De Hacking
Páginas: 15 (3546 palabras)
Publicado: 23 de julio de 2015
Cómo extraer una contraseña en un equipo o un controlador de dominio
Este capítulo nos permitirá demostrar que es posible cambiar la contraseña de un usuario sin tener conocimiento de la antigua contraseña, extraer las contraseñas guardadas en un equipo local o un controlador de domino. Es también posible escuchar las conversaciones de red para recuperar las informaciones de autenticación sinnecesidad de acceder directamente al sistema o descifrar una contraseña interceptada aunque esté protegida.
Vamos a empezar por modificar la contraseña de un usuario sin saber la antigua. A decir verdad, es el usuario quien la va a cambiar. Para ello, vamos a encapsular el siguiente script con una de las técnicas vistas en el capítulo anterior, es decir, entregar a nuestra víctima un documento, unaaplicación o un zip trampa con un pequeño trozo de código.
Aquí tiene el script si va a modificar una aplicación o un controlador.
Aquí, la línea de código si modifica un documento de Office:
El resto de los pasos han sido explicados en el capítulo anterior, que puede tomar como referencia. Una vez el documento o la aplicación ejecutada, la contraseña del usuario se cambiará en el dominio. Si lacontraseña local debe modificarse, quite /Domain al final de la línea de comandos.
1. Herramientas de extracción de contraseñas de sesión
a. La SAM en detalle
Las contraseñas están encriptadas y guardadas en un sitio adonde no se puede acceder directamente con cuentas de usuarios o de administradores. Solo la cuenta de sistema tiene permiso para buscar información allí. Este sitio es la SAM(Security Account Management) para las cuentas locales y el Active Directory para los usuarios del dominio. En las versiones de Windows anteriores a Vista, la contraseña se guardaba en LanManager, un sistema muy débil. Desde Vista, el sistema guarda un hash de la contraseña usando MD4.
Al abrir una sesión local, la contraseña que el usuario teclea en la ventana de inicio de sesión es resumida ycomparada con la que se encuentra guardada en la SAM. En ningún momento la contraseña se encuentra en texto plano.
¿Pero realmente qué es la SAM? ¿Dónde se almacena? ¿Cómo se puede acceder a ella?
La SAM es un fichero de registro que sirve para almacenar las contraseñas, así como otras informaciones de los usuarios locales: %systemroot%\system32\config\SAM
El fichero forma parte, como otros ficheros delregistro del equipo, de una carpeta de sistema.
Offline, arrancando con un medio oficial de Windows, es posible leer el fichero SAM o robarlo para crackearlo más tarde. Puede acceder también con los permisos de sistema creando un servicio o adquiriendo los privilegios de sistema en el PC. Entonces puede leer la parte del registro que guarda estas contraseñas con regedit en su equipo actual. Paraobtener los permisos de sistema en un equipo, vaya al capítulo Tomar el rol de administrador o de sistema.
Seguidamente, puede ver un ejemplo sobre un sistema sin necesidad de reinicio usando los privilegios de sistema:
Encontrará datos como las contraseñas cifradas y las informaciones sobre los grupos de seguridad en el registro: SAM\SAM\Domains\Account\Users
Gracias a los permisos de sistema,puede ver elementos que normalmente no puede ver un usuario, como por ejemplo, en la imagen siguiente, para el usuario Admin, el valor 0x3e8, que corresponde a su RID, es decir, 1006 en decimal.
La contraseña, así como otras informaciones para Admin, se encuentran en la clave de registro: HKLM\SAM\SAM\Domains\Account\Users\000003E8
La clave V, llamada V-Block, almacena la contraseña del usuario,así como informaciones sobre su perfil.
Este bloque contiene el hash de la contraseña, pero el contenido se encuentra cifrado en DES y usa dos claves derivadas del RID del usuario para protegerlo.
La cuenta de sistema tiene acceso a las contraseñas en forma de resumen. Si desea extraerlas automáticamente, tendrá que crear una aplicación, como un servicio, que pueda obtener estos permisos.
b....
Este capítulo nos permitirá demostrar que es posible cambiar la contraseña de un usuario sin tener conocimiento de la antigua contraseña, extraer las contraseñas guardadas en un equipo local o un controlador de domino. Es también posible escuchar las conversaciones de red para recuperar las informaciones de autenticación sinnecesidad de acceder directamente al sistema o descifrar una contraseña interceptada aunque esté protegida.
Vamos a empezar por modificar la contraseña de un usuario sin saber la antigua. A decir verdad, es el usuario quien la va a cambiar. Para ello, vamos a encapsular el siguiente script con una de las técnicas vistas en el capítulo anterior, es decir, entregar a nuestra víctima un documento, unaaplicación o un zip trampa con un pequeño trozo de código.
Aquí tiene el script si va a modificar una aplicación o un controlador.
Aquí, la línea de código si modifica un documento de Office:
El resto de los pasos han sido explicados en el capítulo anterior, que puede tomar como referencia. Una vez el documento o la aplicación ejecutada, la contraseña del usuario se cambiará en el dominio. Si lacontraseña local debe modificarse, quite /Domain al final de la línea de comandos.
1. Herramientas de extracción de contraseñas de sesión
a. La SAM en detalle
Las contraseñas están encriptadas y guardadas en un sitio adonde no se puede acceder directamente con cuentas de usuarios o de administradores. Solo la cuenta de sistema tiene permiso para buscar información allí. Este sitio es la SAM(Security Account Management) para las cuentas locales y el Active Directory para los usuarios del dominio. En las versiones de Windows anteriores a Vista, la contraseña se guardaba en LanManager, un sistema muy débil. Desde Vista, el sistema guarda un hash de la contraseña usando MD4.
Al abrir una sesión local, la contraseña que el usuario teclea en la ventana de inicio de sesión es resumida ycomparada con la que se encuentra guardada en la SAM. En ningún momento la contraseña se encuentra en texto plano.
¿Pero realmente qué es la SAM? ¿Dónde se almacena? ¿Cómo se puede acceder a ella?
La SAM es un fichero de registro que sirve para almacenar las contraseñas, así como otras informaciones de los usuarios locales: %systemroot%\system32\config\SAM
El fichero forma parte, como otros ficheros delregistro del equipo, de una carpeta de sistema.
Offline, arrancando con un medio oficial de Windows, es posible leer el fichero SAM o robarlo para crackearlo más tarde. Puede acceder también con los permisos de sistema creando un servicio o adquiriendo los privilegios de sistema en el PC. Entonces puede leer la parte del registro que guarda estas contraseñas con regedit en su equipo actual. Paraobtener los permisos de sistema en un equipo, vaya al capítulo Tomar el rol de administrador o de sistema.
Seguidamente, puede ver un ejemplo sobre un sistema sin necesidad de reinicio usando los privilegios de sistema:
Encontrará datos como las contraseñas cifradas y las informaciones sobre los grupos de seguridad en el registro: SAM\SAM\Domains\Account\Users
Gracias a los permisos de sistema,puede ver elementos que normalmente no puede ver un usuario, como por ejemplo, en la imagen siguiente, para el usuario Admin, el valor 0x3e8, que corresponde a su RID, es decir, 1006 en decimal.
La contraseña, así como otras informaciones para Admin, se encuentran en la clave de registro: HKLM\SAM\SAM\Domains\Account\Users\000003E8
La clave V, llamada V-Block, almacena la contraseña del usuario,así como informaciones sobre su perfil.
Este bloque contiene el hash de la contraseña, pero el contenido se encuentra cifrado en DES y usa dos claves derivadas del RID del usuario para protegerlo.
La cuenta de sistema tiene acceso a las contraseñas en forma de resumen. Si desea extraerlas automáticamente, tendrá que crear una aplicación, como un servicio, que pueda obtener estos permisos.
b....
Leer documento completo
Regístrate para leer el documento completo.