Como volcar hashes de contraseñas en windows con samdump2
Como volcar hashes de contraseñas en windows con samdump2
Esta herramienta está diseñada para volcar hashes de contraseñas de Windows 2K/NT/XP desde un archivo SAM, utilizando la clave de arranque syskey del subárbol del sistema.
Este paquete también proporciona la funcionalidad de bkhive, que recupera la clave de arranque syskey de un subárbol del sistema de Windows NT/2K/XP.
Syskey es una función de Windows que añade una capa de cifrado adicional a los hashes de contraseñas almacenados en la base de datos SAM.
Como instalar: sudo apt install samdump2
# samdump2 -h
Samdump2 es una herramienta utilizada para extraer los hashes de contraseñas de Windows de los archivos SAM (Security Accounts Manager) y SYSTEM. Es una herramienta común en el ámbito de la seguridad y el pentesting, especialmente en sistemas operativos como Kali Linux.
Aquí tienes una guía básica de cómo utilizar samdump2:
1. Entender los archivos necesarios
Para que samdump2 funcione, necesitas dos archivos clave de un sistema Windows:
SAM (Security Accounts Manager): Este archivo contiene las bases de datos de las cuentas de usuario, incluyendo los hashes de las contraseñas.
SYSTEM: Este archivo contiene el
syskey, que es la clave utilizada para cifrar los hashes en el archivo SAM.
Ambos archivos se encuentran típicamente en la siguiente ruta en un sistema Windows:
C:\Windows\System32\config
2. Obtener los archivos SAM y SYSTEM
No puedes simplemente copiar los archivos SAM y SYSTEM de un sistema Windows en ejecución porque están bloqueados por el sistema operativo. Necesitas un método para acceder a ellos sin que el sistema esté activo. Algunas formas comunes de hacerlo son:
Iniciar desde un Live CD/USB: Puedes arrancar el ordenador con un Live CD o USB de Linux (como Kali Linux) para acceder a la partición de Windows.
Conectar el disco duro a otro ordenador: Puedes extraer el disco duro del ordenador Windows y conectarlo a otro ordenador como un disco secundario.
Utilizar herramientas de "shadow copy": Algunas herramientas pueden crear una copia de estos archivos mientras el sistema está en funcionamiento.
3. Sintaxis básica de samdump2
Una vez que tengas acceso a los archivos SAM y SYSTEM, la sintaxis básica para usar samdump2 es la siguiente:
samdump2 [opciones] SYSTEM_FILE SAM_FILE
Ejemplo práctico:
Supongamos que has montado la partición de Windows en /mnt/windows y que los archivos se encuentran en la ruta estándar. El comando para extraer los hashes sería:
samdump2 /mnt/windows/Windows/System32/config/SYSTEM /mnt/windows/Windows/System32/config/SAM
4. Opciones comunes
samdump2 tiene algunas opciones que pueden ser útiles:
-o <archivo>: Escribe la salida en un archivo en lugar de mostrarla en la pantalla.-h: Muestra la ayuda y las opciones disponibles.
Ejemplo con salida a un archivo:
Si quieres guardar los hashes en un archivo llamado hashes.txt, el comando sería:
samdump2 -o hashes.txt /mnt/windows/Windows/System32/config/SYSTEM /mnt/windows/Windows/System32/config/SAM
5. ¿Qué hacer con los hashes?
El resultado de samdump2 son los hashes de las contraseñas, no las contraseñas en texto plano. Estos hashes son una versión cifrada de la contraseña original. Para descifrarlos y obtener la contraseña real, necesitarás una herramienta de cracking de contraseñas, como John the Ripper o Hashcat.
Ejemplo de cómo usar John the Ripper:
Una vez que tienes el archivo hashes.txt, puedes usar John the Ripper para intentar descifrar las contraseñas:
john hashes.txt
O, para un ataque de diccionario:
john --wordlist=/ruta/a/tu/diccionario.txt hashes.txt
Es importante recordar que el uso de estas herramientas para fines no autorizados es ilegal. Esta información está destinada a profesionales de la seguridad y usuarios autorizados.
