Меню Tools

В меню Tools присутствуют следующие опции:

т Dump passwords from registry (получение паролей из системного реестра);

• SMB Packet Capture (перехват пакетов протокола 8MB);

• Run Crack (начать взлом);

• Stop Crack (остановить взлом);

• Options (параметры).

Это основное меню для использования утилиты LOphtcrack. Здесь можно вывести на экран содержимое пароля, перехватить данные в сети, настроить программу, начать и за­вершить ее работу.

Dump passwords from registry. При щелчке на этой опции появится диалоговое окно, в котором нужно будет ввести IP-адрес или NetBIOS-имя компьютера. Затем удаленном)' компьютеру отправляется вызов, по которому извлекаются хэш-коды паролей, что нахо­дятся в базе данных SAM системного реестра. Чтобы все это сделать, нужно обладать пра­вами доступа администратора. На рис. 9.2 показано диалоговое окно для получения паро­лей из реестра.

Рис. 9.2. Диалоговое окно Dump Passwords

Как правило, вводимая информация должна адресоваться главному котроллеру домена (PDC), так как именно там содержатся все учетные записи пользователей домена. В диало­говое окно вводится NetBIOS-имя компьютера или же его IP-адрес. Так как для получения хэш-кодов требуется большая пропускная способность локальной сети, рекомендуется это делать рано утром или поздно вечером, особенно если в системе много учетных записей. Если запустить программу в самый разгар рабочего дня, когда сеть весьма интенсивно ис­пользуется, то для получения результатов может понадобиться некоторое время.

Как-то раз я использовал LOphtcrack среди дня, когда был большой сетевой трафик. В течение 10 минут результата так и не последовало. Работая в Windows NT, я нажал <Ctrl+Alt+Del> для просмотра списка выполняемых задач, и обнаружилось, что программа перестала отвечать. Пришлось подождать еще около часа, и результаты наконец появи­лись. Дело в том, что если локальная сеть сильно загружена различными приложениями, то LOphtcrack получает данные довольно медленно.

Кроме того, есть ограничение на количество учетных записей, которые может обра­ботать программа, это примерно 65000 пользователей. Превышение этого числа приведет к ухудшению работы LOphtcrack.

SMB Packet Capture. Еще один способ получения паролей заключается в перехвате их кэш-кодов, когда они передаются по сети. Если хакер сможет взломать компьютер, под­ключенный к внутренней сети компании, и запустит программу-снифер с 8:00 до 10:00, то он получит большое количество паролей, потому что большинство людей регистрируются в системе примерно в этот промежуток времени. Следует заметить, подобный подход воз­можен только в сетях с концентраторами, что можно считать очередным стимулом к пе­рекоду на использование коммутаторов. Для перехвата трафика сетевой адаптер компью­тера должен быть включен в смешанный режим работы. После его включения, которое можно сделать с помощью LOphtcrack, система сможет перехватить весь трафик сегмента сети. В типичной сети Ethernet сетевые пакеты отправляются одновременно всем компь­ютерам в локальном сегменте. При этом адресат получает предназначенные ему данные, остальные же системы их отбрасывают. В смешанном режиме работы система принимает все без исключения пакеты, неважно при этом, ей они отправлены или нет. Не забывайте, что все это возможно только в сетях, основанных на концентраторах. В коммутируемых сетях пакеты отправляются непосредственно получателю, а не всем системам. Поэтому LOphtcrack в таких сетях будет показывать только данные локального компьютера.

Окно меню SMB Packet Capture выглядит, как показано на рис. 9.3. По мере получения кэш-кодов паролей, они будут показываться в диалоговом окне.

Рис. 9,3. Диалоговое окно SMB Packet Capture

Программа сканирует весь проходящий через сегмент сетевой трафик в поисках дан­ных регистрации в системе. Когда они обнаруживаются, в окно выводится следующая ин­формация: имя пользователя, IP-адрес и хэш-коды паролей. Функция перехвата пакетов начинает работу сразу после открытия окна и завершает работу после его закрытия. Для сохранения полученной информации необходимо щелкнуть на кнопке Save Capture, а для очистки содержимого экрана — на кнопке Clear Capture.

Необходимо отметить, что в окне будут выводится только хэш-коды паролей, т.е. непо­средственно взлом проводится не будет. После получения хэш-кодов, их надо сохранить в файле с расширением . 1с. Затем он загружается в LOphtcrack, где и проводится взлом для получения паролей в текстовом формате. Рекомендую использовать программу перехвата сетевых пакетов в ОС Windows 95/98/ME. Когда я пытался это сделать в Windows NT, хэш-коды вылавливались время от времени, иногда пропускались некоторые сеансы реги­страции пользователей.

Кроме того, при работе с более ранними версиями LOpthcrack необходимо удалить драйвер для работы с пакетами NDIS из таблицы протоколов.

Сеть (Network) Панели управления (Control panel). Если установлены и другие драйверы для работы с низкоуровневыми пакетами, программа также может работать неэффективно. Важное примечание: чтобы перехват пакетов был возможен, необходимо зайти в Панель управления, щелкнуть на пиктограмме Сеть и выбрать тот драйвер, который ну­жен для работы LOphtcrack.

Приведу один пример. Я использовал коммерческий сканер для поиска брешей в сети, и для него пришлось установить отдельный драйвер. Когда на том же компьютере понадо­билось использовать LOphtcrack, программа не смогла перехватить пакеты в локальной сети. Только когда был удален драйвер для сканера и перезагружен компьютер, LOphtcrad стала работать как надо. Поэтому не поленитесь проверить, какие службы и протоколы ус­тановлены в системе.

Run Crack. Название опции говорит само за себя; программа начинает взлом паролей. Чтобы все получилось должным образом, нужно загрузить хэш-коды паролей и правильно настроить систему. Если вы пользуетесь программой первый раз, внимательно просмот­рите всю информацию, которая выводится на экран, попробуйте разные опции и пара­метры. Уверен, что вы будете удивлены тому, как много паролей будет взломано и как бы­стро будут появляться результаты.

Stop Crack. Остановка процесса взлома паролей. Так как информация поступает в ре­альном времени, все уже полученные пароли будут сохранены. Это очень удобно, посколь­ку с сохраненным файлом можно начать работу в любое время. Когда запускается взлом уже частично расшифрованного файла, анализ будет проводится с того места, где он был завершен в прошлый раз.

Options. В этом диалоговом окне можно настроить различные характеристики для взлома паролей. Есть три основных опции, каждая из которых относится к отдельному типу атаки: Dictionary, Brute force и Hybrid.

Первый раздел нужен для настройки взлома с помощью словаря. Здесь можно опреде­лить, будет ли программа взламывать хэш-коды паролей LANMAN, NTLM или одновре­менно обеих систем. Рекомендуется выбрать одновременный режим.

В следующем разделе можно включить и выключить метод полного перебора, выбрать для него необходимый набор символов. Не забывайте, что чем больше будет допустимый максимум длины пароля, тем тяжелее его будет взломать и тем больше времени понадобится для этого. Нужно сперва начать с одних букв, или букв и цифр, если же ничего не обнаружит­ся, то добавить специальные символы и все начать заново. Можно использовать собствен­ный набор символов, что полезно для взлома паролей не на английском языке.

Рис. 9.4. Диалоговое окно Tools Options, в котором нахо­дятся настройки LOphtcrack

Последний раздел относится к смешанному типу атаки. Т.е. взлом производится с помощью словаря и полного пе­ребора, при этом в значащие слова добавляются случайные символы. Например, слово passwords? не удастся расшиф­ровать с помощью словаря, но смешанный способ позволит это сделать быстрее, чем простой перебор возможных ва­риантов. При смешанном типе можно определить количе­ство цифр или символов, которые будут присоединены к концу слова. Одно небольшое предупреждение: если при­соединять больше чем 3 символа, то преимущества смешан­ного типа взлома будут уже не так очевидны, времени уйдет гораздо больше и не будет гарантии, что найдутся все паро­ли, как при методе полного перебора. На рис. 9.4 показано диалоговое окно Options с его настройками для работы LOphtcrack.

Параметры в этом окне можно изменять в зависимости от нужд пользователя и типа операционной системы. Для тех, кто использует программу в первый раз или не уверен в своем выборе, по умолчанию в Options стоят самые оптимальные значения, подходящие для большинства задач. Это компромисс между эффективной работой программы и ми­нимальным временем, которое понадобится для взлома. Суда по моему опыту, базовыми настройками можно пользоваться несколько дней и найти с их помощью большинство па­ролей в системе. Взлом паролей LANMAN и NTLM с помощью словаря включен по умол­чанию. Включена и смешанная атака с двумя допустимыми символами. Включен также ре­жим полного перебора, при этом выбран набор букв и чисел.