Методы и программные средства, используемые для взлома парольного кэша Windows

Бесплатно!

В PWL-файле Windows 95 для шифрования используется простое гаммирование, где гамма генерируется алгоритмом RC4. Несмотря на кажущуюся надежность данного алгоритма расшифровка может быть выполнена достаточно легко даже теми, кто о нем не слышал.

Дело в том, что этим алгоритмом зашифровывается и  имя пользователя, которое размещается в PWL-файле в диапазоне адресов с 0208 по 021B. Имя же, в свою очередь, практически всегда известно либо из названия самого PWL-файла, либо из соответствующей секции конфигурирующего файла SYSTEM.INI.

Далее мы используем известное свойство обратимости логической операции XOR, по которой накладывается гамма:

(X XOR Y) XOR Y = X

Это означает, что имея в распоряжении фрагмент файла с уже наложенной гаммой и зная имя пользователя, мы можем определить саму гамму. Правда мы узнаем лишь первые 20 байт гаммы, но это дает нам возможность расшифровать по 20 байт каждого ресурса, поскольку при их шифровании гамма не меняется и остается такой же.

Если повезет, то мы можем узнать большее числа байт, принадлежащих гамме. Дело в том, что PWL-файл имеет избыточную информацию – есть указатели на начала ресурсов (021E, 0220, 0222 и т. д.), но есть и длины записей в ресурсах, поэтому зная один из параметров, можно вычислить другой.

Если в ресурсах не более одной записи, то длина ресурса есть первое слово ресурса плюс два (длина первой записи ресурса плюс длина нулевого слова). Определяя по началу и длине данного ресурса начало следующего, рассчитывается вся таблица указателей на начала ресурсов в поле 21Ch-23Dh. В результате еще 2*17 = 34 байта добавляются к рассчитанной гамме. Если в ресурсах более одной записи, то начало следующего ресурса все равно можно найти с некоторой долей вероятности (после наложения гаммы второй байт ресурса будет равен второму байту гаммы, т.к. длина записей в ресурсе редко превышает 255, а 0 XOR X = X ). Этот алгоритм реализован в известной программе Glide, которая рассчитывает 54 первых байта гаммы и расшифровывает по 54 первых байта каждого ресурса.

В PWL-файле Windows 95OSR/OSR2/98 алгоритм расшифровки ресурсов, содержащихся в нем, более сложны, поскольку система защиты была усовершенствована с учетом «прорех» в Windows 95. Поэтому здесь используется подход, традиционный для всех программ парольных взломщиков, а именно перебор возможных комбинаций символов с проверкой каждой с помощью 16-байтных массивов CryptoSign (0x252) и CheckSign (0x262) до тех пор, пока не будет найден верный пароль.

Именно такой подход реализован в программах PWLTool, PWLInside.EXE, REPWL.EXE и других, эффективность которых исследуется в данной лабораторной работе.

Детали:

Тип работы: Шпоры/шпаргалки

Предмет: Компьютерные науки

Svg Vector Icons : http://www.onlinewebfonts.com/icon Из сборника: Шпора по Windows

Год написания: 2011

Добавить комментарий

Ваш email не будет показан.

Получать новые комментарии по электронной почте. Вы можете подписаться без комментирования.