פריצה וגילוי סיסמה של משתמש בוונדוס 10 עם mimikatz

תמלול ההרצאה: פריצה וגילוי סיסמה של משתמש בוונדוס 10 עם mimikatz

הטקסט המלא של הדקות הראשונות בהרצאה «פריצה וגילוי סיסמה של משתמש בוונדוס 10 עם mimikatz» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

1. 00:02

   שלום לכולם, ברוכים הבאים להרצאה איך לגלות את הסיסמה של משתמש, לא לאפס אותה, לא להחליף אותה, לגלות מה הסיסמה, מה מורבה בתוך הדיסק. אז בואו נעשה עכשיו משתמש חדש וניתן לו סיסמה פשוטה ונעשה עוד משתמש עם סיסמה מורכבת.

2. 00:24

   אז אני עושה פה סיסמה פשוטה, אתם לא יודעים מהי, ונעשה עוד אחד עם סיסמה מורכבת. איפה הסיסמאות האלו שמורות בארדיס כדי לגלות אותן?

3. 00:36

   הן שמורות בקונן סי בווינדוס סיסטם 32 קונפיג זאת התיקייה פה שמורים כל הרג'יסטרי נכון כל ההגדרות של רג'יסטרי שמורות כאן ויש לנו פה את הלוקל סיסטם אקאונט וגם סם בתוך קובץ סם פה שמורים הרג'יסטרי עם כל השמות והסיסמאות עכשיו איך המחשב ניגש לקובץ הזה הוא לא סתם ניגש לקובץ הזה כמו אקסל הוא ניגש אליו דרך רג'יסטרי.

4. 01:06

   למעשה ווינדוס טוען את הקובץ הזה לתוך הרג'יסטרי שלו וזה נמצא ב-HKEY LOCAL MACHINE SAM. פה נמצאות כל הסיסמאות, עכשיו תגידו למה אני לא רואה אותם?

5. 01:20

   למה אנחנו לא רואים אותם? כי אין לנו הרשאות. כמו שיש הרשאות על הקובץ גם יש הרשאות על רג'יסטרי. אנחנו יכולים לבוא ל-PERMISSIONS להרשאות ולראות שכרגע יש הרשאות לסיסטם על הכל, אבל לאדמיניסטרטור אין read אז אנחנו נוסיף לעצמנו read למה אנחנו יכולים להוסיף לעצמנו read כי אנחנו

6. 01:42

   אדמיניסטרטורים אז הוספנו לעצמנו הרשאה ובואו נעשה לעצמנו ב-advanced שההרשאה הזאת read גם תעבור לכל הילדים replace all child objects תחליף אצל כל הילדים את ההרשאות וככה אני אקבל בעצם read Enable Inheritance, ותאשר הורשה מהאבא.

7. 02:08

   אוקיי, בואו ננסה לראות. אסביר refresh. הנה, כל הילדים קיבלו, ומה אנחנו רואים פה? User 1 הוא 03EA, 03EA זה זה, ופה שמורה הסיסמה שלו.

8. 02:24

   למעשה, ה-registry טוען את המידע מקובץ Sam. אז אנחנו רואים פה את הסיסמה. עכשיו תגידו, איפה הסיסמה? איך אפשר לקרוא את זה? סיסמה שמורה בארדיסק לא בצורה גלויה, כי אחרת כל אחד יכול להיכנס ולהציץ, היא שמורה אחרי הערבול חד-כיווני.

9. 02:44

   מה זה ערבול חד-כיווני? זה נקרא hash, hash function. יש לנו מילה, נניח, Fox, מעבירים אותה דרך פונקציית hash, יוצא דבר כזה.

10. 02:53

    אז למעשה הווינדוס שומר סיסמאות בארדיסק אחרי הערבול החד-כיווני הזה, שאי אפשר להחזיר אחורה. תשאלו אותי למה?

11. 03:03

    כדי שמישהו לא יתחכם כמוני וייכנס ויראה את הסיסמאות של משתמשים ויוכל לעשות בשמם פעולות בארגון או במחשב יוכל להתחזות זה למנוע התחזות אז המחשב מראש אומר אני לא שומר את הסיסמה של היוזר אני שומר רק את התוצאה של ההאש עכשיו תשאלו אותי כשבן אדם יכניס שם לסיסמה איך הוא ידע שהסיסמה נכונה אם אין לו את הסיסמה

12. 03:27

    התשובה היא מאוד פשוטה כשאני מזין בכניסה למחשב את הסיסמה הוא לוקח את הסיסמה שכרגע האזנתי מעביר אותה דרך האש עוד פעם דרך אותה פונקציה ורואה האם התוצאה הזאת של הערבול מהסיסמה שכרגע הכנסתי שווה לתוצאה של הערבול ששמורה לו בארדיסק הוא למעשה משווה ערבול מול ערבול

13. 03:50

    אבל מישהו שלא הקיש את הסיסמה הנכונה הערבולים יהיו שונים ואם מישהו יגנוב את הארדיסק הוא יקבל רק את הערבול ואי אפשר להחזיר את הערבול חזרה ערבול האש אפשר להשוות רק מול האש אי אפשר להחזיר אחורה ככה Windows פועל, הוא לוקח את ה-hash שלי ששמור אצלו בדיסק,

14. 04:09

    משווה מול ה-hash שהבאתי לו כרגע, אני עשיתי לוגין, התוכנה של הלוגין לוקחת את מה שאני מכניס לה ביוזרניים ופסוורד בפסוורד, מכניסה לפונקציית ערבול, ואז בודקת האם התוצאה של הערבול הנוכחי שלי שווה ל-hash ששמור בדיסק.

15. 04:27

    משווים hash ל-hash. בתוך Windows לא שמורה סיסמה בצורה גלויה. יש פה הסבר בדיוק איך זה עובד, מבחינה מתמטית זה נקרא ערבול חי עד כיווני אתה יכול להכניס לתוכו טקסט אתה יכול להכניס לתוכו קובץ אתה יכול להכניס לתוכו אז תמיד יצא לך ערבול באורך קבוע וככה בודקים בעצם שקובץ אקזה לא השתנה זאת אומרת אם אני אלך להוריד משהו באינטרנט אתם תראו שליד קובץ שאני

16. 04:55

    מוריד באינטרנט כתוב לי מה הה שלו ואני יכול לקחת את הקובץ שכרגע הורדתי להעביר אותו דרך הש ולהשוות האם הערבול שלי שווה לערבול של היצרן אותם דוגמה אם אני רוצה קאלי דאונלוד להוריד נניח קאלי תראו יש תוכנה של קאלי ולידה יש האשים למה כדי שאני אוכל לקחת את הקובץ שאני הולך להוריד עכשיו אתם רואים אני הולך להוריד איזשהו קובץ להעביר את הקובץ הזה דרך האש שנקרא שעה 256

17. 05:24

    ולראות האם התוצאה שלי שווה לתוצאה שלו אם התוצאות הן אותן תוצאות זה אומר שהורדתי את הקובץ העיקורי מהיצרן יש לנו האש קאלק לדוגמה כלקולטור