SAM的散列存储密解密算法以及SYSKEY的计算.docVIP

SAM中存放在密码散列这是大家都知道的，但是其密码存放在对应相对SID的V键下面却是一种加密的形式，如何通过这个加密的串计算出密码散列了，大家用PWDUMP3这样的工具可以导出散列来，主要原理是系统空间会存在一个sampsecretsessionkey，PWDUMP3就是拷贝一个服务到对方机器上，读出这个lsass进程空间的sampsecretsessionkey再进行解密的，其实这个sampsecretsessionkey的生成也是非常复 杂的，我们这里做一个比PWDUMP3更深入的一个探讨和分析，sampsecretsessionkey的计算与生成，这样我们就能在直接从物理文件中计算出sampsecretsessionkey，来解密注册表中的密码散列，对于一个忘记密码的系统或一个不知道用户口令但已经获得磁盘的系统有这重要意义，这样我们完全就能通过注册表文件的分析来解密注册表中的密码散列。 通过分析，我们发现以前在NT中常说的SYSKEY在W2K系统的这个过程中起着非常重要的作用，其实SYSKEY已经做为W2K的一个固定组件而存在了，我们下面给出一个整个过程： 系统引导时： 计算获得SYSKEY 读取注册表中的SAM\SAM\Domains\Accoun\V中保存的KEY信息（一般是最后的0X38字节的前0X30字节） 使用SYSKEY和F键的前0X10字节，与特殊的