第一次思考题

1.windows登录的明文密码，存储过程是怎么样的，密文存在哪个文件下，该文件是否可以打开，并且查看到密文？

答：存储过程：一.windows的明文密码是通过LSA进行存储加密的，用户输入密码后，密码信息会交给lsass进程。在这个过程中，会存一份明文密码，并将其加密成NTLM Hash。加密后的密码哈希值会与存储在SAM数据库中的哈希值进行比较认证

二.SAM是系统级文件，权限很高，一般无法直接打开该文件，但是可以通过特殊的工具打开

2. 我们通过hashdump 抓取出 所有用户的密文，分为两个模块，为什么？ 这两个模块分别都代表什么？

答：LMhash：LM哈希是Windows早期版本中使用的一种较弱的哈希算法。当用户的密码长度小于15个字符时，Windows会首先将其转换为大写，然后使用LM哈希算法进行处理。然而，由于LM哈希算法存在已知的安全漏洞，因此现代Windows系统默认禁用了LM哈希，或者仅当密码长度超过14个字符时才使用它。在某些情况下，如果LM哈希被禁用或未使用，这个模块的值可能会显示为固定的值，就表示LM哈希为空或未使用。现代的Windows系统一般会使用更安全的NTLM hash；NTLM hash：它是Windows系统中更为常用的哈希算法，用于存储用户的密码信息，与LM哈希不同，NT哈希没有长度限制，并且使用了更安全的加密算法。因此，在大多数情况下，NT哈希是更可靠和安全的密码存储方式。

3. 为什么第一个模块 永远是一样的aad3？

答：因为 早期版本 的Windows使用了一种名为LAN Manager Hash（ LM Hash ）的加密方法。 由于LM Hash使用的 DES加密算法安全性较低 ，较容易被破解，微软在新的Windows版本中 默认禁用了LM Hash ，但出于兼容性考虑，系统仍然会生成一个固定的LM Hash值。

4. 这两个模块的加密算法有什么不同，如何加密的？

答：NTLM（NT LAN Manager）算法是现代化的加密方法，使用更安全的单向哈希函数（如MD4或MD5）来存储和验证用户密码。LM（LAN Manager）算法是早期使用的较为简单的DES算法，对密码进行分割并分别进行加密

不同：NTLM算法会对用户密码进行单向哈希后，再进行加盐等操作，得到密文存储在系统中。而LM算法会将用户密码分成7个字符一个块，补齐为14个字符，然后分别进行DES加密生成两个7字节的密钥块，最后将这两个密钥块合并得到最终的密文。