在某些情形下,通过磁盘复制机将物理计算机的磁盘进行拷贝,形成raw文件,这时需要对其硬拷贝的磁盘文件进行查看和获取密码,通过实际测试,可以通过AccessData FTK Imager加载磁盘文件进行查看,同时还可以通过StarWindConverter将raw文件转换为vmdk文件后,通过创建虚拟机加载该磁盘文件再现还原镜像。
1.1.1安装AccessData FTK Imager软件
FTK Imager 是免费的镜像工具,功能强大,支持几十种镜像格式,E01、DD、L01、DMG、VMDK、VHD、AD1,使用过程中几乎没有遇到挂在不了的镜像格式。FTK Imager强大之处还在于可以获取当前内存镜像、获取受保护的文件,例如直接获取当前系统的注册表文件。其公司网站为:https://accessdata.com。安装过程很简单,根据提示进行安装即可。
1.1.2加载镜像文件
运行AccessData FTK软件,单击菜单中的“File”-“Image Mounting”,如图1所示,在Image中选择需要加载的镜像文件,在Mount Method中选择相应的方法,如果仅仅是取证则选择只读,否则选择可写。然后单击“Mount”加载镜像文件到磁盘。
![f779fd7cc15e8b93b53f0088068b970d.png](https://i-blog.csdnimg.cn/blog_migrate/430b70c57608c86dfb1d168a6318e421.jpeg)
图1加载镜像文件
1.1.3访问逻辑磁盘并提取相应文件
1.替换讲述人utilman.exe或者sethc.exe
到G:WindowsSystem32下,找到utilman.exe或者sethc.exe,选择重命名,如图2所示,会弹出文件访问拒绝窗口,其原因是对该磁盘文件无授权,需要进行授权。
![8432a9d5f42cd1935d11c21b8a420ba5.png](https://i-blog.csdnimg.cn/blog_migrate/3ad84402340d720feac4bd3bed960d88.jpeg)
图2文件拒绝访问
2.给程序授权
重新选择程序,选择“属性”-“安全”-“高级”-“所有者”-“编辑”-“其他用户或组”,将本地计算机账号添加在其中,如图3所示,然后再回到“安全”属性窗口,添加本地账号到组和用户中,并设置添加账号完全控制权限,如图4所示。也可以给整个磁盘更改所有者权限和文件权限。
![5bfb220737a678e8d3e851154656b6c1.png](https://i-blog.csdnimg.cn/blog_migrate/e7a16aaf4d8549b235af42a746241df2.jpeg)
图3更改所有者权限
![9959c7ec57c15634d74b305851fdd031.png](https://i-blog.csdnimg.cn/blog_migrate/ed762933f5fad14f1f336d2e451471f6.jpeg)
图4更改程序权限
3.重命名程序并替换
将系统盘下的utilman.exe和sethc.exe复制到其他地方,使用系统的cmd.exe文件替换utilman.exe和sethc.exe。
1.1.4提取SAM、SECURITY和SYSTEM文件
到G:WindowsSystem32config文件夹下,将SAM、SECURITY和SYSTEM文件复制出来,然后利用saminside进行导入,如图5所示,导入时,选择导入SAM文件,程序会提示依次导入SAM、SECURITY和SYSTEM文件,导入成功后,会显示其密码值。在本例中由于其密码强大比较高,使用了各种方法都没有将其密码破解成功。
![88b52f2c416ea1d6a22c552585ee4869.png](https://i-blog.csdnimg.cn/blog_migrate/50ec5e604d4dce28ae07aa0abc1301e3.jpeg)
图5提取windows账号哈希值
1.1.5转换镜像文件为VMware格式
1.卸载镜像文件
在AccessData FTK程序中,选择刚才加载的镜像文件和磁盘,选择unmount卸载镜像文件加载。
2.将raw文件进行重命名
将磁盘镜像文件重命名为img文件。原来的文件后缀为.raw文件。
3. StarWindConverter转换img为vmdk文件
运行StarWindConverter将img文件转换为vmdk格式文件,通过vmware创建新的虚拟机来使用该文件,记得一定要自定义安装虚拟机,然后在磁盘中选择加载vmdk文件。
4.修改虚拟机启动项
经过上面的步骤后,可以通过正常启动虚拟机来仿真系统,但有时候可能无法破解系统密码,这时候就需要在虚拟机启动的瞬间按下“F2”快捷键在BIOS中设置启动选项,允许光盘和U盘启动,利用cdlinux、bt5、pe启动光盘等启动系统,进入后通过替换sethc.exe、magnify.exe、osk.exe、utilman.exe成cmd.exe程序在启动时,通过粘滞键和放大镜以及讲述人辅助程序来激活cmd.exe,通过net user test test123 /add以及net localgroup administrators test /add命令新增加一个用户来登录系统,当然也可以选择PE启动光盘直接清除系统密码。