Windows中获取用户密码

目录

Windows中对用户密码的处理

LM-hash

NTLM-hash

复制SAM文件

抓取明文密码或密码Hash

使用 mimikatz 抓取内存中的密码

使用mimikatz读取域控上所有域用户的Hash值

使用PowerShell命令抓取内存中的密码

PwDump7抓取密码Hash

QuarksPwDump抓取密码Hash

通过SAM和System文件读取密码Hash

使用mimikatz离线读取lsass.dmp文件

从快照内存中读取密码

管理员如何防止主机密码被抓取(KB2871997补丁)

---

Windows中对用户密码的处理

Windows系统使用两种方法对用户的密码进行哈希处理，它们分别是 LAN Manager（LM）哈希和 NT LAN Manager（NTLM）哈希。所谓哈希（hash），就是使用一种加密函数对其进行加密。这个加密函数对一个任意长度的字符串数据进行一次数学加密函数运算，然后返回一个固定长度的字符串。

现在已经有了更新的 NTLMv2 以及 Kerberos(域环境) 验证体系。Windows加密过的密码口令，我们称之为Hash，Windows的系统密码hash默认情况下一般由两部分组成：第一部分是 LM-hash，第二部分是 NTLM-hash。在windows2000以后的系统中，第一部分的 LM-hash 都是空值，因为LM-hash可以很容易的破解，所以windows2000之后这个值默认为空，所以第二部分的NTLM-hash才真正是用户密码的哈希值。

通