InsidePro - Fastest passwords recovery, encryption and cryptography

[Russian]

SAMInside

Important! This program can be used only to recover your own forgotten passwords!

  • Program description
  • Data import
  • Data export
  • Passwords recovery
  • Command line parameters
  • Additional features

  • Status of the program
  • Demo-version limits
  • License agreement
  • Download the latest version
  • Technical support

  • FAQ

Program description

SAMInside program is designated to recover Windows NT/2000/XP/2003 users' passwords and has some outstanding features:

  1. The program has small size, doesn't require installation and can be run from diskette, CD/DVD-disk or USB-drive.
  2. Includes over 10 types of data import and 6 types of passwords attack:
    - Brute-force attack;
    - Distributed attack;
    - Mask attack;
    - Dictionary attack;
    - Hybrid attack;
    - Pre-calculated tables attack.
  3. Forcing program code is written completely on Assembler what lets to get extremely high speed of password forcing procedure on any processor.
  4. Program correctly extracts Windows NT/2000/XP/2003 users' names and passwords in national symbol encoding.
  5. The program is the first utility in the world which started to work with passwords encrypted by system key SYSKEY!

Data import

SAMInside has the following data import features:

  • "Import from SAM and SYSTEM registry files" - import of users' data from SAM registry file. If there's additional encryption by SYSKEY in the imported SAM file (on default enabled in Windows 2000/XP/2003), then the program will also need SYSTEM Windows registry file located at the same Windows directory there SAM file was - folder %SystemRoot%\System32\Config. Copies of these files may be also found in %SystemRoot%\Repair and %SystemRoot%\Repair\RegBack folders. (Note: %SystemRoot% - is a system directory of OS Windows, usually C:\WINDOWS\ or C:\WINNT).

  • "Import from SAM registry file and file with system key" - import of users' from SAM Windows registry file using file with system key SYSKEY.

  • "Import from PWDUMP file" - import of users' data from text file of PWDUMP program format. You can find test files with users in the SAMInside program archive.

  • "Import from *.LC file" - import of users' data from files created by L0phtCrack program.

  • "Import from *.LCP file" - import of users' data from files created by LC+4 and LC+5 programs.

  • "Import from *.LCS file" - import of users' data from files created by LC4 and LC5 programs.

  • "Import from *.HDT file" - import of users' data from projects created by Proactive Windows Security Explorer program and Proactive Password Auditor program.

  • "Import from *.LST file" - import of users' data from the LMNT.LST file, created by Cain&Abel program.

  • "Import local users ..." - import of local users' data (to do that launch the program with Administrator user's rights). The program uses the following methods to get local users:

    • 1. " ... using LSASS" - import of local users' data using connection to LSASS process.
    2. " ... using Scheduler" - import of local users' data using system utility Scheduler.

  • The program also lets to add users with known LM/NT hashes through the dialog box (Alt+Ins).
Maximal users quantity program works with is 65536.

Data export

SAMInside has the following data export features:

  • "Export users in PWDUMP file" - export all users' data to text file in the PWDUMP program format. Then you can load got file to any passwords recovery program you like.

  • "Export selected users in PWDUMP file" - export selected users' data to text file in the PWDUMP program format.

  • "Export found passwords" - export found passwords in format "User name: Password".

  • "Statistics export" - export of current program statistics to the text file.
Passwords recovery

Brute-force attack:

This kind of attack is exhaustive search of all probable password variants.

Brute-force attack also includes distributed attack. This kind of attack allows to use several different computers to recover passwords distributing passwords to process between them. This kind of attack is enabled automatically when user sets more than one computer to participate in attack. Then feature of range selection for current computer becomes available. So, to start distributed attack you need to:
  1. Run program on several computers.
  2. Choose number of computers for attack.
  3. Make the same settings for attack for all computers.
  4. Choose special range for passwords attack for each computer.
  5. Run brute-force attack on every computer.

Mask attack:

This kind of attack is used if there's any information about the password. For example:
- Password starts from the symbol combination "12345";
- First 4 symbols of the password are numbers, others are letters;
- Password has 10-symbol length and there's symbol combination "admin" in the middle of the password;
- etc.

Mask attack settings allow to form mask for passwords to attack and to set maximal length of passwords to process. Mask setting is the following: if you don't know N-symbol of the password, then set N-checkbox of mask and choose mask for this symbol in appropriate textual field. If you know any symbol of the password, enter it to N textual field and switch off mask checkbox.

Program uses the following masks:
? - any printable symbol (ASCII-codes 32...255).
A - any Latin capital (A...Z).
a - any small Latin (a...z).
S - any special symbol (!@#...).
N - any number (0...9).
1...8 - any symbol from custom symbol set; you may have up to 8 sets specified.

Dictionary attack:

Dictionary is text file consisted of commonly used passwords like
123
admin
master
etc.

Dictionary attack settings include hybrid attack, i.e. feature to append up to 2 symbols before or after the password what lets to recover passwords like "master12" or "#admin".

You can download 230 thousand words dictionary here.
You can download 4,5 millions words dictionary here.

Pre-calculated tables attack:

This type of attack uses Rainbow technology (http://www.antsight.com/zsl/rainbowcrack/) to create pre-calculated tables and may be performed on LM-hashes only.

The program supports tables generated by "rtgen.exe" v1.2 utility.

Additionally:

  • All kinds of attack (except pre-calculated tables attack) require additional specification what type of hashes (LM or NT) to use for password recovery.

  • Mark the files you're going to use for dictionary attack (in the dictionary files list) and for pre-calculated tables attack (in the tables list).

  • During attack (except pre-calculated tables attack) the program displays the following data:
    - General quantity of passwords being processed;
    - Quantity of processed passwords;
    - Time elapsed from attack start;
    - Estimated time till the end of attack;
    - Time of the end of attack;
    - Speed of current attack (passwords per second).
Command line parameters

The program may be managed using the following command line parameters:

-hidden : launch program in the hidden mode;

-noreport : prohibits program reporting the end of attack;

-import : program will perform automatic local users import on launch;

-export : program will import local users, save it to the file SAMInside.OUT and finish work;

-minimize : run the program minimized to tray.

Additional features
  • Check password for all users loaded to the program.
    Enter the password to the "Current password:" textual field and press F2. Then program will check the password for all users who have no password found.

  • "Hidden mode" of program work (Ctrl+Alt+H).
    When you choose this mode the program will disappear from display and from taskbar.
    To return from hidden mode press the same key combination.

There are also the following console utilities to work with SAM and SYSTEM Windows registry files in the program archive:

  • GetSyskey - the program extracts SYSKEY key from the SYSTEM registry file and saves it to the separate 16-byte file. This utility is BKHive analogue and works under Windows only.

  • GetHashes - the program gets users' hashes using SAM registry file and SYSKEY key. This utility is SAMDump2 analogue and works under Windows only.

Status of the program

SAMInside program is Shareware.
The personal license price is $40 USD.

To learn more about license key purchase, please visit this page.

After license purchase you shall send to Support service this data:
- Payment details (required);
- Your first and last name in Latins (required);
- Additional information for registration as your company name, etc. (not required);

After program licensing you get:
- License key for all future versions.
- Free assistance in LM-passwords recovery using pre-calculated Rainbow-tables.
- Qualified technical support on use of program and passwords recovery, including on-line tips (via ICQ).

Demo-version limits
  1. Only Latin capitals may be used for brute-force attack.
  2. Mask attack is unavailable.
  3. Only one table is available for attack with pre-calculated tables.
License agreement
  1. All rights for the program SAMInside are reserved by the author - InsidePro.

  2. Program is distributed as Demo-version with no time limitations. You may also place the distributive of Demo-version on your site, any data medium (as CD-ROM), etc., without developer notification.

  3. To use full version of SAMInside you must register your copy of the program, purchasing one or several license keys.

  4. Use of license keys by other person than registered program user, as well as distribution and publication of these keys, are illegal. Program author reserves right to revoke status of registered user from owners of these license keys.

  5. You may not modify, disassemble and decompile this software. The breach of any of these clauses automatically makes this license invalid.

  6. SAMInside is supplied "AS IS". No guaranties provided or implied. You use this program on your own risk. Author isn't liable for any data damages, or lost profit, or any else harm, caused by your use or non-use of this program.

  7. Author guarantees that the program contains no harmful codes or any other code for performing actions not declared in the program description.

  8. Use of SAMInside means accept of this agreement.

  9. If you don't accept this agreement, please, remove SAMInside files from your computer and cease using the program.
FAQ

Q1: What is SAM registry file, what is it for and where is it located?
A: So called SAM (Security Account Manager) registry file is Windows NT/2000/XP/2003 registry hive "HKEY_LOCAL_MACHINE\SAM" which is physically located in the Windows system directory, in the \System32\Config\ folder. This file is called exactly so - sam. It contains local user names and their encoded passwords (hashes).

Q2: I want to import SAM file located in the C:\WINDOWS\System32\Config\ folder but program messages access error and can't read the file. Why?
A: The matter is that files in this folder (sam, system, software and other files without extension) are Windows registry fragments, so Windows as default allows to no one to get access to these files, even to read only. To get access to SAM registry file use on of the following ways:
  • Boot under another OS (Linux, Knoppix, WinPE, etc.) at the same computer.
  • If your system disk has FAT (or FAT32) file system, then create boot diskette on computer with Windows 95/98, boot from this diskette and copy files SAM and SYSTEM to another folder or diskette.
  • If your system disk has NTFS file system, use diskette created in NTFSDos Pro program to get access to these registry files.

    • Q3: Using diskette created by NTFSDos Pro program, I got access to SAM and SYSTEM registry files, but SYSTEM file is very large so can't be saved to diskette. What shall I do?
    A: Use any DOS-archiver to compress it, for example, HA:
    - To add SYSTEM registry file to archive:
    a:\ha.exe a a:\system.ha C:\WINDOWS\System32\Config\system
    - To extract SYSTEM registry file from archive:
    ha.exe e system.ha

    Q4: Importing registry file SAM (or SYSTEM) program messages error, though I copied it from the C:\WINDOWS\System32\Config folder! Why can't I import my file?
    A: This may happen if your file format is unknown to SAMInside program. First check the signature (i.e. first 4 bytes) of your file - it shall be 'regf'. Otherwise there could happen the following:
    - You had copied the file from EFS-disk (i.e. from disk with Encrypting File System installed which supports file encryption); then your files are encoded and are pseudo-random byte array which can't be used to get required registry branches, or
    - Your files are located on NTFS-disk and you used program with bugs to copy these files; that often happens when NTFSDos program (not Pro version!) and some others are used which work incorrectly with NTFS 5.0 and higher, so better use new versions of programs to copy files.
    If your file signature is correct (i.e. it's really registry file) but program still can't import it, please, send your file to the Support service to analyze.

    Q5: What do question marks mean on unknown passwords?
    A: If LM-password and NT-password look as "???????", then the password is 1 to 7 symbols long.
    If LM-password and NT-password look as "??????????????", then the password is 8 to 14 symbols long.
    If there's no LM-password and NT-password looks as "??????????????", then the password may have any length, but usually it's more than 14 symbols.

    Q6: What algorithms are used to get LM- and NT-hashes?
    A: NT-hash formation goes this way:
  • User's password is transformed into Unicode-string.
  • MD4-hash is generated based on this string.
  • Got hash is encoded by DES algorithm, user's RID is used as a key.

    • LM-hash formation goes this way:
  • User's password is capitalized and supplied by nulls up to 14-byte length.
  • Got line is divided into 7-byte halves, and each is encoded by DES algorithm separately. Finally we get 16-byte hash (what includes two separate 8-byte halves).
  • Got hash is encoded by DES algorithm, user's RID is used as a key.

    • Q7: What's the difference between LM- and NT-passwords? Using your program I've found LM-password "ADMIN" and NT-password "Admin". What one shall I use to log in?
    A: Windows NT/2000/XP/2003 stores users' passwords encoded in two different hashes - LM and NT, which are shaped from the same password by different encryption algorithms. Windows makes no difference between LM- and NT-passwords, so in your case you will log in with any password whether it were "ADMIN", "Admin", "aDmIn", or "admin", as soon as if LM-passwords shaping is enabled, then the check is being performed by LM-hash, and any password is capitalized on its shaping, so that all passwords above will give the same LM-hash.
    If LM-hash formation is disabled, then case-sensitive NT-password is used to log in.

    Q8: My password is longer than 7 symbols, but brute-force attack can't be launched on try to set start password with more than 7-symbol length. Why? Or, the program finishes attack of all 7-symbol passwords and messages attack completion. My password is longer. Why is it so?
    A: 7 symbols isn't the program limitation, but LM-hash formation feature. For example, 9-symbol password "MARGARITA" is encoded by Windows the following way: separately first 7-symbol part of the password - "MARGARI" (getting hash "0069AD6D0FA5DD32") and second part - "TA" (getting hash "25E6C6A091DDAB09"). Result is LM-hash "0069AD6D0FA5DD3225E6C6A091DDAB09", which is stored in the SAM registry file after additional encryption. Accordingly, SAMInside program recovering LM-password analyses both 8-byte halves separately. So if you have 9-symbol password, then the program won't recover single 9-symbol password, but two different passwords 7- and 2-symbols long! At the same time SAMInside analyses both halves of initial password simultaneously, halving general time of recovery of long password. So SAMInside successfully recovers LM-passwords up to 14 symbols long by halves!

    Q9: I have short NT-password (LM-password is disabled), consisted of Latins, but the program can't find it. Why?
    A: The matter is that Windows always capitalizes password getting LM-hashes (i.e. encoding passwords "Admin", "ADMIN" and "aDmIn" will lead to the same LM-hash - you can check it using SAMInside LM/NT-hash generator). That's why recovering LM-password you can use any case letters - and program will anyway capitalize them.
    NT-password is case-sensitive, so use symbol sets consisted of both capital and small letters of alphabet when recover it.

    Q10: Importing local users "... using Scheduler" program messages error "Can't open this temporary file: ...". Why?
    A: The matter is that this import method gets HKEY_LOCAL_MACHINE\SAM\SAM Windows registry hive content using system utility Scheduler, which has default rights of SYSTEM user. But there can be closed access to this hive to read even to SYSTEM user! That can be performed by tweakers or by "manual" Windows registry settings.
    Then use another method of local users import - using connection to LSASS system process - or other utilities.

    Q11: Both local users import methods work good for me - "... using Scheduler" and "... using LSASS". What for are they both in the program at the same time then?
    A: That's especially for that case when one of them doesn't work or works incorrectly so that you could use alternative one (reason of incorrect work of import using Scheduler is described above; or, Microsoft may issue the patch to change LSASS connection process, or to prohibit such connection at all, etc.). So if one of these methods doesn't work, use another, and vice versa.

    Q12: Your program has recovered the password from the SAM registry file, but when I try to log in using this password, OS messages wrong password! What's the matter?
    A: Probably your computer is connected to network and there's domain server with Active Directory service enabled in the network. Then users' accounts are stored on the domain server, not in the SAM registry file! And SAMInside program recovers only local accounts passwords, stored in the SAM registry file.

    Q13: What is system key SYSKEY? How to import SAM registry file and file with SYSKEY properly?
    A: System key is 16 bytes used for additional Windows encryption of hashes. This key is stored in the registry. To get access to this file:
  • Using SYSKEY.EXE utility set the mode to store the key on diskette which is necessary to be used on every Windows boot. Then the file stored on the diskette will be named StartKey.key.
  • Or, use GetSyskey program (or analogue) which extracts the key from the SYSTEM registry file and saves it to the separate file. This file has 16-byte length and is used to correctly decode hashes on SAMInside menu choice "Import from SAM registry file and file with system key...".

    Q14: How to use SAMInside brute-force attack on multiprocessor computers?
    A: You can successfully use the program on multiprocessor computers (if your Windows core supports multiprocessing, certainly), and all processors will work, so general speed of passwords recovery will grow accordingly to number of processors.
    For example, your computer has two processors. Then you need to create two folders and place one copy of SAMInside program to each of them. Then do the same settings for brute-force attack for both programs and use distributed attack. To do that set quantity or participating computers equal to quantity of processors (2, in our case). Then define first range of passwords for one program, and the second - for another, and run attack in each program copy. As a result, both programs will work on different processors, and each will work with maximal processor speed.

    Q15: Does your program recover Active Directory passwords?
    A: No, it doesn't. SAMInside recovers only local users passwords stored in the SAM registry file.

    Q16: Is there any way to simplify adding of users' symbol sets to the brute-force attack and mask attack?
    A: Yes. To do it right click to recall context menu on according textual field. This menu contains not only standard commands (like 'Copy', 'Cut', etc.) but also commands for quick paste of different symbol sets.

    • Copyright ©2002-2005, InsidePro. All rights reserved.


InsidePro - Восстановление паролей, криптография и шифрование

[English]

SAMInside

Внимание! Данная программа может использоваться исключительно для восстановления своих собственных забытых паролей!

  • Описание программы
  • Импорт данных
  • Экспорт данных
  • Восстановление паролей
  • Параметры командной строки
  • Дополнительные возможности программы

  • Статус программы
  • Ограничения Demo-версии
  • Лицензионное соглашение
  • Скачать последнюю версию
  • Техническая поддержка

  • FAQ

Описание программы

Программа SAMInside предназначена для восстановления паролей пользователей Windows NT/2000/XP/2003 и имеет ряд особенностей, выгодно отличающих ее от аналогичных программ:

  1. Программа имеет небольшой размер, не требует инсталляции и может запускаться с дискеты, с CD/DVD-диска или с внешнего USB-диска.
  2. Программа содержит свыше 10 видов импорта данных и позволяет использовать 6 видов атаки для
восстановления паролей пользователей:
- Атака полным перебором;
- Атака распределенным перебором;
- Атака по маске;
- Атака по словарю;
- Гибридная атака;
- Атака по предварительно рассчитанным Rainbow-таблицам.
  3. Код перебора паролей в программе полностью написан на языке Ассемблер, что позволяет получать очень высокую скорость перебора паролей на всех процессорах.
  4. Программа корректно извлекает имена и пароли пользователей Windows NT/2000/XP/2003 в национальных кодировках символов.
  5. Программа стала первой в мире утилитой, которая начала работать с паролями, зашифрованными системным ключом SYSKEY!
Импорт данных

Программа SAMInside имеет следующие возможности для импорта данных:

  • "Import from SAM and SYSTEM registry files" - импорт пользователей из файла SAM реестра Windows. Если в загружаемом файле SAM используется дополнительное шифрование ключом SYSKEY (а в Windows 2000/XP/2003 такое шифрование включено принудительно), то программе дополнительно потребуется файл SYSTEM реестра Windows, располагающийся в той же директории Windows, что и файл реестра SAM, а именно - в каталоге %SystemRoot%\System32\Config. Также копии этих файлов могут находиться в каталогах %SystemRoot%\Repair и %SystemRoot%\Repair\RegBack. (Примечание: %SystemRoot% - системная директория Windows, обычно это каталог C:\WINDOWS\ или C:\WINNT).

  • "Import from SAM registry file and file with system key" - импорт пользователей из файла реестра SAM с использованием файла с системным ключом SYSKEY.

  • "Import from PWDUMP file" - импорт пользователей из текстового файла в формате программы PWDUMP. В архиве с программой SAMInside вы можете найти тестовые файлы подобного формата.

  • "Import from *.LC file" - импорт пользователей из файлов, создаваемых программой L0phtCrack.

  • "Import from *.LCP file" - импорт пользователей из файлов, создаваемых программами LC+4 и LC+5.

  • "Import from *.LCS file" - импорт пользователей из файлов, создаваемых программами LC4 и LC5.

  • "Import from *.HDT file" - импорт пользователей из проектов, создаваемых программами Proactive Windows Security Explorer и Proactive Password Auditor.

  • "Import from *.LST file" - импорт пользователей из файла LMNT.LST, создаваемого программой Cain&Abel.

  • "Import local users ..." - импорт пользователей с локального компьютера (для этого программу нужно запустить под пользователем с правами Администратора). В программе используются следующие методы получения локальных пользователей:
    1) " ... using LSASS" - импорт локальных пользователей, используя подключение к процессу LSASS.
    2) " ... using Scheduler" - импорт локальных пользователей с использованием системной утилиты Scheduler.

  • Также программа позволяет добавлять пользователей с известными LM/NT-хэшами через диалоговое окно (Alt+Ins).
При этом максимальное количество пользователей, с которыми работает программа - 65536.

Экспорт данных

Программа SAMInside имеет следующие возможности для экспорта данных:

  • "Export users in PWDUMP file" - экспорт всех пользователей в текстовый файл в формате программы PWDUMP. Далее вы можете загружать полученный файл в любую удобную для вас программу для восстановления паролей.

  • "Export selected users in PWDUMP file" - экспорт выделенных пользователей в текстовый файл в формате программы PWDUMP.

  • "Export found passwords" - экспорт найденных паролей в формате "User name: Password".

  • "Statistics export" - экспорт текущей статистики программы в текстовый файл.
Восстановление паролей

Атака полным перебором:

Данный вид атаки представляет собой полный перебор всех возможных вариантов паролей.

Атака полным перебором также включает в себя атаку распределенным перебором. Данный вид атаки позволяет использовать для восстановления паролей несколько компьютеров, распределив между ними обрабатываемые пароли. Этот вид атаки включается автоматически, когда пользователь устанавливает количество компьютеров, участвующих в атаке, более одного. После этого становится доступной возможность выбора диапазона паролей для атаки на текущем компьютере. Таким образом, чтобы начать атаку распределенным перебором, вам необходимо:
  1. Запустить программу на нескольких компьютерах.
  2. Выбрать во всех экземплярах программы нужное количество компьютеров для атаки.
  3. Установить одинаковые настройки для перебора на всех компьютерах.
  4. Выбрать для каждого компьютера свой диапазон перебора паролей.
  5. Запустить на каждом компьютере атаку полным перебором.

Атака по маске:

Данный вид атаки используется, если есть определенная информация о пароле. Например:
- Пароль начинается с комбинации символов "12345";
- Первые 4 символа пароля - цифры, остальные - латинские буквы;
- Пароль имеет длину 10 символов и в середине пароля есть сочетание букв "admin";
- И т.д.

Настройки перебора по маске позволяют сформировать маску для перебираемых паролей, а также установить максимальную длину перебираемых паролей. Установка маски заключается в следующем - если вы не знаете N-й символ пароля, то включите N-й флажок маски и в соответствующем текстовом поле укажите маску для этого символа. Если же вы заранее знаете определенный символ пароля, то впишите его в N-е текстовое поле и снимите флажок маски.

В программе используются следующие символы маски:
? - Любой печатаемый символ (ASCII-коды символов 32...255).
A - Любая заглавная латинская буква (A...Z).
a - Любая строчная латинская буква (a...z).
S - Любой специальный символ (!@#...).
N - Любая цифра (0...9).
1...8 - Любой символ из соответствующего пользовательского набора символов.

Атака по словарю:

Словарь - это текстовый файл, состоящий из часто употребляемых паролей типа
123
admin
master
и т.д.

Настройки атаки по словарю также включают и гибридную атаку, т.е. возможность добавлять к проверяемым паролям до 2 символов справа и слева, что позволяет восстанавливать такие пароли как "master12" или "#admin".

Английский словарь на 230 тысяч слов вы можете скачать здесь.
Английский словарь на 4,5 миллиона слов вы можете скачать здесь.

Атака по предварительно рассчитанным таблицам:

Данный вид атаки использует Rainbow-технологию (http://www.antsight.com/zsl/rainbowcrack/) для создания предварительно рассчитанных таблиц и может производиться только по LM-хэшам.

Программа поддерживает таблицы, сгенерированные утилитой "rtgen.exe" версии 1.2.

Дополнительно:

  • Для всех видов атаки (кроме атаки по таблицам) необходимо дополнительно указать - по каким хэшам (LM или NT) восстанавливать пароли.

  • Для атаки по словарю (в списке файлов словарей) и для атаки по Rainbow-таблицам (в списке файлов таблиц) необходимо отметить галочками те файлы, которые предполагается использовать в атаке.

  • Во время атаки (кроме атаки по таблицам) программа показывает следующую информацию:
    - Общее количество паролей для текущей атаки;
    - Количество обработанных паролей;
    - Время, прошедшее с начала атаки;
    - Время, оставшееся до конца атаки;
    - Время окончания атаки;
    - Скорость текущей атаки (паролей в секунду).

    • Параметры командной строки

    Программой можно управлять, используя следующие параметры командной строки:

    -hidden : запуск программы в скрытом режиме;

    -noreport : запрещает программе выдавать сообщения об окончании атаки;

    -import : при загрузке программа сразу же выполнит автоматический импорт локальных пользователей;

    -export : программа выполнит импорт локальных пользователей, сохранит результаты в файл SAMInside.OUT и завершит работу;

    -minimize : запуск программы с минимизацией в трей.

    Дополнительные возможности программы
    • Проверка пароля на всех пользователях, загруженных в программу.
      Для этого в текстовом поле "Current password:" введите нужный пароль и нажмите F2. После этого программа проверит данный пароль на всех пользователях, пароль к которым еще не найден.

    • "Скрытый режим" работы программы (Ctrl+Alt+H).
      При выборе этого режима программа исчезнет с экрана и с панели задач.
      Для возврата из скрытого режима нажмите эту же комбинацию клавиш.

    Также в архиве с программой находятся следующие консольные утилиты для работы с файлами реестра SAM и SYSTEM:

    • GetSyskey - программа извлекает из файла реестра SYSTEM системный ключ SYSKEY и сохраняет его в отдельный 16-байтовый файл. Данная утилита представляет собой аналог программы BKHive и работает только под Windows.

    • GetHashes - программа извлекает хэши пользователей из файла реестра SAM, используя файл с ключом SYSKEY. Данная утилита представляет собой аналог программы SAMDump2 и работает только под Windows.

    Статус программы

    Программа SAMInside имеет статус Shareware.
    Стоимость одной лицензии - 500 рублей.

    С вариантами покупки лицензионного ключа вы можете ознакомиться здесь.

    После оплаты лицензии вам необходимо отправить в Службу поддержки следующие данные:
    - Информацию о платеже (обязательная информация);
    - Ваше имя и фамилию (обязательная информация);
    - Дополнительную информацию для регистрации - например, название вашей компании и т.п. (необязательная информация).

    После лицензирования программы:
    - Вы получите лицензионный ключ, позволяющий использовать все последующие версии программы бесплатно.
    - Вам будет оказана бесплатная помощь по восстановлению LM-паролей с использованием Rainbow-таблиц.
    - Вы получаете квалифицированную техническую поддержку по использованию программы и восстановлению паролей, включая поддержку On-line (по ICQ).

    Ограничения Demo-версии
    1. В атаке полным перебором можно использовать только заглавные латинские буквы.
    2. Недоступна атака по маске.
    3. В атаке по предварительно рассчитанным таблицам доступна атака только по одной таблице.
    Лицензионное соглашение
    1. Все права на программу SAMInside принадлежат автору - InsidePro.

    2. Программа распространяется в виде Demo-версии, которую Вы можете использовать неограниченно долго. Также Вы можете размещать неизмененный дистрибутив Demo-версии программы на своем сайте, каких-либо носителях информации (CD-ROM, к примеру) и т.п. без уведомления разработчика.

    3. Для использования же полнофункциональной версии программы SAMInside Вам необходимо зарегистрировать свою копию программы, оплатив стоимость лицензионного ключа (или нескольких лицензионных ключей).

    4. Использование лицензионных ключей лицами, не являющимися зарегистрированными пользователями программы, а также распространение и публикация лицензионных ключей являются незаконными. Автор программы оставляет за собой право лишать статуса зарегистрированного пользователя владельцев этих лицензионных ключей.

    5. Вы не можете модифицировать, дизассемблировать и декомпилировать данное программное обеспечение. Нарушение любого из этих требований ведет к автоматическому прекращению действия этой лицензии.

    6. SAMInside поставляется по принципу "как есть" ("AS IS"). Никакие гарантии не предусмотрены и не подразумеваются. Вы используете программу на собственный риск. Автор не несет ответственности за потерю данных, повреждения, упущенную прибыль или иной ущерб при использовании или неиспользовании Вами этой программы.

    7. При этом автор гарантирует, что программа не содержит в себе вредоносного кода или иного кода, предназначенного для выполнения других функций, кроме оговоренных в описании программы.

    8. Использование SAMInside означает принятие Вами лицензионного соглашения.

    9. Если Вы не согласны с условиями данной лицензии, пожалуйста, удалите файлы программы SAMInside с Ваших носителей информации и прекратите использование программы.
    FAQ

    Q1: Что такое файл реестра SAM, зачем он нужен и где он расположен?
    A: Так называемый файл реестра SAM (Security Account Manager) представляет собой раздел "HKEY_LOCAL_MACHINE\SAM" реестра Windows NT/2000/XP/2003, который физически расположен в системном каталоге Windows, в папке \System32\Config\. Этот файл так и называется - sam. В данном файле находятся имена локальных пользователей данного компьютера и их зашифрованные пароли (хэши).

    Q2: Я хочу загрузить в программу файл SAM, расположенный в каталоге C:\WINDOWS\System32\Config\, но программа SAMInside не может его прочитать и информирует об ошибке при доступе к этому файлу. Почему?
    A: Дело в том, что файлы в этом каталоге (sam, system, software и другие файлы без расширений) - это фрагменты реестра Windows и операционная система по умолчанию никому не дает к ним доступа, даже на чтение. Получить доступ к файлу реестра SAM на локальном компьютере можно следующими способами:
  • Загрузиться, используя другую операционную систему (Linux, Knoppix, WinPE и пр.) на этом же компьютере.
  • Если ваш системный диск имеет файловую систему FAT (или FAT32), то на компьютере с Windows 95/98 создайте загрузочную дискету, загрузитесь с нее и скопируйте файлы реестра SAM и SYSTEM в другой каталог или на дискету.
  • Если ваш системный диск имеет файловую систему NTFS, то для доступа к файлам реестра используйте дискету, созданную в программе NTFSDos Pro.

    • Q3: Используя дискету, созданную в программу NTFSDos Pro, я получил доступ к файлам реестра SAM и SYSTEM, но файл SYSTEM имеет очень большой размер и не помещается на дискету, что делать?
    A: Используйте любой DOS-архиватор для его сжатия, например HA:
    - Добавление файла SYSTEM в архив:
    a:\ha.exe a a:\system.ha C:\WINDOWS\System32\Config\system
    - Извлечение файла SYSTEM из архива:
    ha.exe e system.ha

    Q4: При импорте файла реестра SAM (или файла SYSTEM) программа сообщает об ошибке, несмотря на то, что я копировал его из каталога C:\WINDOWS\System32\Config. Почему я не могу загрузить свой файл в программу?
    A: Такая ситуация возникает, если формат загружаемого вами файла неизвестен программе SAMInside. В первую очередь посмотрите на сигнатуру (т.е. первые 4 байта) своего файла, она должна быть такая - "regf". Если это не так, то возможно у вас произошла одна из следующих ситуаций:
    - Вы скопировали файл с EFS-диска (т.е. с диска, на котором установлена Encrypting File System, поддерживающая шифрование файлов); в этом случае ваши файлы зашифрованы и представляют собой псевдослучайный набор байтов, которые не могут использоваться для получения нужных данных из реестра.
    - Ваши файлы расположены на NTFS-диске и вы использовали для их копирования программу, которая работает с ошибками; такая ситуация часто происходит при использовании программы NTFSDos (не версии Pro!) и ряда других программ, которые некорректно работают с NTFS 5.0 и выше, поэтому для копирования файлов используйте более новые версии программ.
    Если же у вашего файла сигнатура правильная (т.е. он действительно является файлом реестра), но программа не может импортировать из него данные, то пришлите свой файл в Службу поддержки для анализа.

    Q5: Что означают знаки вопроса у неизвестных паролей?
    A: Если LM-пароль и NT-пароль выглядят как "???????", то пароль имеет длину от 1 до 7 символов.
    Если LM-пароль и NT-пароль выглядят как "??????????????", то пароль имеет длину от 8 до 14 символов.
    Если LM-пароль отсутствует, а NT-пароль выглядит как "??????????????", то пароль может иметь любую длину, но чаще всего его длина превышает 14 символов.

    Q6: Какие алгоритмы используются при получении LM- и NT-хэшей?
    A: Формирование NT-хэша происходит так:
  • Пароль пользователя преобразуется в Unicode-строку.
  • Генерируется MD4-хэш на основе данной строки.
  • Полученный хэш шифруется алгоритмом DES, при этом в качестве ключа используется RID пользователя.

    • Формирование LM-хэша происходит так:
  • Пароль пользователя преобразуется в верхний регистр и дополняется нулями до длины 14 байт.
  • Полученная строка делится на две половинки по 7 байт и каждая из них по отдельности шифруется алгоритмом DES. В итоге получаем хэш длиной 16 байт (состоящий из двух независимых половинок длиной по 8 байт).
  • Полученный хэш шифруется алгоритмом DES, при этом в качестве ключа используется RID пользователя.

    • Q7: В чем разница между LM- и NT-паролями? Я нашел с помощью вашей программы LM-пароль "ADMIN", а NT-пароль - "Admin". Какой из них мне использовать для входа в систему?
    A: В Windows NT/2000/XP/2003 пароли пользователей хранятся в зашифрованном виде в двух различных хэшах - LM и NT, которые формируются из одного и того же пароля, но используя разные алгоритмы шифрования. Для Windows LM- и NT-пароли равнозначны и в данном случае вы войдете в систему с любым паролем - "ADMIN", "Admin", "aDmIn" или "admin", т.к. если в системе разрешено формирование LM-паролей, то проверка происходит по LM-хэшу, а при его формировании любой пароль переводится в верхний регистр и все вышеприведенные пароли будут давать одинаковый LM-хэш.
    Если же формирование LM-хэша отключено, тогда для входа в систему используется регистрозависимый NT-пароль.

    Q8: Мой пароль имеет длину более 7 символов, но при попытке установить начальный пароль больше 7 символов атака полным перебором (по LM-хэшам) не запускается, почему? Или же программа заканчивает перебирать все 7-символьные LM-пароли и сообщает, что атака закончена. Почему, ведь у меня пароль длиннее?
    A: 7 символов - это не ограничение программы, а особенность формирования LM-хэшей. К примеру, 9-символьный пароль "MARGARITA" Windows шифрует так: отдельно первую 7-символьную часть пароля - "MARGARI" (получая хэш "0069AD6D0FA5DD32") и отдельно вторую часть - "TA" (получая хэш "25E6C6A091DDAB09"). В результате получается LM-хэш "0069AD6D0FA5DD3225E6C6A091DDAB09", который после дополнительного шифрования и хранится в файле реестра SAM. Соответственно, программа SAMInside при восстановлении LM-паролей анализирует обе 8-байтовые половинки LM-хэша по отдельности. В итоге, если у вас пароль длиной 9 символов, то программа восстанавливает не один пароль длиной 9 символов, а два разных пароля длиной 7 и 2 символов! При этом SAMInside при атаке анализирует обе половинки исходного пароля одновременно, уменьшая общее время восстановления длинного пароля ровно в 2 раза. Так что, SAMInside успешно восстанавливает LM-пароли длиной до 14 символов, но по его половинкам!

    Q9: У меня короткий NT-пароль (LM-пароль отсутствует), состоящий из латинских букв, но программа его не находит, почему?
    A: Дело в том, что Windows при получении LM-хэшей всегда преобразует пароль в верхний регистр (т.е. при шифровании паролей "Admin", "ADMIN" и "aDmIn" на выходе будет один и тот же LM-хэш - вы можете проверить это, используя генератор LM/NT-хэшей в SAMInside). Поэтому и при восстановлении LM-пароля вы можете использовать символы любого регистра - программа все равно преобразует их в заглавные.
    А NT-пароль является регистрозависимым, поэтому при его восстановлении используйте наборы символов, состоящие как из заглавных, так и из строчных символов нужного алфавита.

    Q10: При импорте локального SAM-файла методом "... using Scheduler" программа сообщает об ошибке "Can't open this temporary file: ..." почему?
    A: Дело в том, что этот метод получает содержимое раздела HKEY_LOCAL_MACHINE\SAM реестра Windows, используя системную утилиту Scheduler, которая по умолчанию имеет права пользователя SYSTEM. Но на некоторых компьютерах доступ на чтение этой ветки реестра закрыт даже пользователю SYSTEM! Это делается либо программами-твикерами, либо "ручными" настройками реестра Windows. В этом случае используйте метод получения локальных пользователей через подключение к системному процессу LSASS или же используйте сторонние утилиты.

    Q11: У меня работают оба метода получения локальных пользователей - и "... using Scheduler", и "... using LSASS". Зачем тогда в программе присутствуют два этих метода одновременно?
    A: Это сделано специально для того, чтобы если один из этих методов не сработает или же будет работать с ошибками, то у вас всегда был альтернативный способ получения локальных пользователей (причина, по которой не работает импорт с использованием программы Scheduler, описана выше; другая причина - Microsoft может выпустить заплатку, после которой подключение к процессу LSASS станет происходить другими методами или же будет запрещено совсем и пр.). Таким образом, если не сработает один метод импорта локальных пользователей, используйте другой метод и наоборот.

    Q12: Ваша программа восстановила пароль из файла реестра SAM, но когда я пытаюсь войти с ним в Windows, то ОС сообщает, что пароль неверный! В чем дело?
    A: Возможно, ваш компьютер является сетевым и в локальной сети присутствует сервер домена с включенной службой Active Directory. В этом случае учетные записи пользователей хранятся на сервере домена, а не в файле SAM. А программа SAMInside восстанавливает пароли только к локальным учетным записям, которые хранятся в файле реестра SAM.

    Q13: Что такое системный ключ SYSKEY? Как правильно выполнять импорт файла реестра SAM и файла с ключом SYSKEY?
    A: Системный ключ - это 16 байт, которые используются для дополнительного шифрования хэшей в Windows. Данный ключ хранится в реестре. Получить доступ к этому ключу можно следующими способами:
  • С помощью утилиты SYSKEY.EXE установить такой режим, при котором ключ будет сохраняться на дискете, которую необходимо использовать каждый раз при загрузке Windows. В этом случае файл, сохраненный на дискете, будет называться StartKey.key.
  • Использовать программу GetSyskey (или другую, аналогичную ей), которая извлекает данный ключ из файла реестра SYSTEM и сохраняет его в отдельный файл. Этот файл имеет длину 16 байт и используется для декодирования хэшей при выборе следующего пункта меню программы SAMInside - "Import from SAM registry file and file with system key...".

    Q14: Как использовать атаку полным перебором в SAMInside на многопроцессорных компьютерах?
    A: Вы вполне успешно можете использовать программу на многопроцессорных компьютерах (конечно, если само ядро Windows поддерживает многопроцессорность), при этом будут работать все процессоры и общая скорость восстановления паролей возрастет пропорционально количеству процессоров.
    Например, ваш компьютер имеет два процессора. Тогда вам необходимо создать две папки и скопировать в каждую из них по одному экземпляру программы SAMInside. Затем установите в обеих программах одинаковые настройки атаки полным перебором и используйте атаку распределенным перебором. Для этого установите количество компьютеров, участвующих в переборе, равное количеству процессоров (в нашем случае - 2). Затем установите для одной программы первый диапазон паролей, а для другой - второй диапазон и запустите атаку в каждом экземпляре программы. В результате обе программы будут работать на разных процессорах, причем каждый экземпляр программы будут работать с максимальной скоростью для данного процессора.

    Q15: Восстанавливает ли программа Active Directory-пароли?
    A: Нет, не восстанавливает. SAMInside восстанавливает только пароли локальных пользователей, хранящиеся в файле реестра SAM.

    Q16: Можно ли как-то упростить создание пользовательских наборов символов в настройках атаки полным перебором и атаки по маске?
    A: Да, можно. Для этого вызовите контекстное меню, нажав правую кнопку мыши над соответствующим текстовым полем. Данное меню наряду со стандартными командами ("Копировать", "Вырезать" и пр.) будет также содержать и команды для быстрой вставки различных наборов символов.

    • Copyright ©2002-2005, InsidePro. All rights reserved.