Password Recovery Software

Windows Password Recovery - анализ CREDHIST

CREDHIST - файл истории паролей, выполненный в виде цепочки, каждое звено которой представляют собой хэши предыдущих паролей пользователя. Каждый раз, когда пользователь меняет свой пароль, хэш старого пароля добавляется к концу файла и шифруется новым паролем. Поэтому, чтобы расшифровать все хэши в цепочке, необходимо знать текущий пароль пользователя.

Кроме хэшей, в цепочках хранится другая служебная информация, анализ которой и является целью данной утилиты.
 

Выбираем файл CREDHIST

И приступаем к анализу содержимого

На скриншоте видно, что уникальный идентификатор CREDHIST - 93c85e9c-130e-4ede-9063-576492e41a1d. Именно к этому идентификатору (GUID) прикреплены все мастер ключи пользователя в системе. Число звеньев в цепи хэшей - 2.

Далее в таблице подробно описаны атрибуты и их значения для каждого звена нашего CREDHIST.
 

Описание атрибутов

• dwVersion - версия структуры данных
• guidLink - уникальный идентификатор текущего звена
• dwNextLinkSize - размер следующего звена
• dwLinkType - тип звена
• algHash - алгоритм хэширования, который используется при расшифровке звена
• dwPbkdf2IterationCount - количество итераций в алгоритме генерации ключа PKCS#5 PBKDF2
• dwSidSize - размер описателя безопасности (SID) владельца
• algCrypt - алгоритм шифрования
• dwShaHashSize - размер SHA1 хэша
• dwNtHashSize - размер NTLM хэша
• pSalt - соль, используемая при шифровании
• sidUser - SID владельца данных
• pShaHash - SHA1 хэш
• pNtHash - NTLM хэш

Для подбора оригинального пароля CREDHIST, щелкните правой кнопкой на списке атрибутов и в появившемся контекстном меню выберите пункт 'Использовать словарь для проверки пароля...'. Можно проверять пароль как текущей выбранной записи, так и всех записей. При этом время проверки будет увеличено пропорционально количеству записей (т.е. цепочек).

Смотрите сравнительную таблицу скорости подбора оригинального пароля CREDHIST. Скорость измерена для одном ядре процессора Intel Q8400 2.66GHz для ОС, настроенные по умолчанию (например,в Windows 7 количество раундов в PBKDF2 может быть иным).