Remplacer les informations d'identification du domaine mis en cache dans la ruche de sécurité
Windows stocke les hachages (NTLM) des mots de passe des utilisateurs locaux dans le SAM ruche. En démarrant à partir d'un système en direct (par exemple), on peut non seulement extraire ces hachages pour la fissuration hors connexion, mais également simplement remplacer le hachage avec celui d'un mot de passe connu (par exemple, chntpw à Kali Linux est un outil qui excelle à cette tâche). De même, on peut transformer un utilisateur normal en un utilisateur administrateur et activer/désactiver les utilisateurs. Jusqu'ici tout va bien.
De manière similaire, mais différente, les hachages de mot de passe des comptes de domaine des utilisateurs qui ont déjà été connectés sur l'ordinateur sont stockés dans la ruche SECURITY rude afin qu'un utilisateur puisse se connecter même lorsqu'il est hors du réseau . Les outils tels que cachedump peuvent extraire ces hachages pour la fissuration hors connexion. Cependant, en raison de l'algorithme de hachage différent utilisé, la plupart des outils (tous?) Pouvant remplacer les hachages dans SAM ne peuvent pas faire la même chose dans SECURITY.
Maintenant ma question : est-il possible de remplacer le hachage de mot de passe mis en cache d'un utilisateur de domaine avec celui d'un mot de passe connu, afin de redémarrer le système et de vous connecter avec le mot de passe connu (points bonus pour les réponses spécifique à Windows 10, au cas où il existe des différences pour les versions précédentes)? Cela suppose bien sûr que l'appareil est désactivé du réseau afin que Windows ne puisse pas vérifier le mot de passe en ligne avec le contrôleur de domaine.
Windows ne cache pas l'ensemble du hachage d'un login de domaine. Par Windows Internals, Partie 1, 6ème édition :
Remarque MSV1_0 ne cache pas l'intégralité du mot de passe de l'utilisateur dans le registre car cela permettrait à une personne ayant un accès physique au système de compromettre facilement le compte de domaine d'un utilisateur et Accédez aux fichiers cryptés et aux ressources réseau que l'utilisateur est autorisé à accéder. Au lieu de cela, il met en cache la moitié du hachage. Le demi-hachage mis en cache est suffisant pour vérifier que le mot de passe d'un utilisateur est correct, mais il n'est pas suffisant d'accéder aux touches EFS et d'authentifier en tant qu'utilisateur sur un domaine, car ces actions nécessitent le hachage complet. Ref: Page 559