渗透中另一种抓系统密码hash的技巧.docVIP

　 　　现在登录目标3389 后，我看好多人都已经习惯抓密码HASH 然后回来彩虹表破解出明文了，或者传个winloginhack 来记录3389 的登录密码。在我最近的几次渗透中，发现pwdump,fgdump 这类工具现在已经不免杀了，而且这类工具都是要注入到lsass.exe 进程的，遇到macfee 这类的杀毒软件，默认是绕不过去的。Winlogin 网上放出来的，经过我的测试，对WIN2008 是没有效果的。今天浏览BLOG，看到老外提到另一种抓系统密码hash 的技巧，经过实践，发现可行，分享给大家。首先使用administrator 权限登录，然后使用reg 来保存注册表中HKLM 下的SECURITY,SAM,SYSTEM,注意这里必须使用reg 的save 选项，export 选项是不行的， ? 　　reg save hklm\sam sam.hive 　　reg save hklm\system system.hive 　　reg save hklm\security security.hive 　　如图 1： 　　然后把 sam.hive,system.hive,security.hive下载回本地，打开 CAIN,在Decoders标签下，点LSA Secrets, 点+来导入 system.hive和 security.hive. 　　如图 2 　　这里一