AG Test: sam

<div style="text-align: justify;"><a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEjn6W8cUQFKKpHmQwnZP4xlQMW1TnM1wg3TC9wKxtv3XOgmDEqE1GsxC6FCQzabB9IDrhMxLJz7bpQFIQLbVzx1Onf35DmgJK1_Y9TfHsequTW0z1oPAVzc7kYS-Zc0lSGCk1VGLpoMR9k/w392-h300-n-k/v.png" imageanchor="1" style="clear: right; float: right; margin-bottom: 1em; margin-left: 1em;"><img border="0" height="151" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEjn6W8cUQFKKpHmQwnZP4xlQMW1TnM1wg3TC9wKxtv3XOgmDEqE1GsxC6FCQzabB9IDrhMxLJz7bpQFIQLbVzx1Onf35DmgJK1_Y9TfHsequTW0z1oPAVzc7kYS-Zc0lSGCk1VGLpoMR9k/w392-h300-n-k/v.png" width="200" /></a>Günümüzün en çok ilgi gören bilgi güvenliği alanlarından biri olan forensic konusuna dair olan bu notta Windows XP SP3 işletim sistemine sahip bir makineye ait mevcut <b>memory dump</b> dosyası (.vmem) üzerinden <b>Volatility </b>aracı kullanılarak <b>Administrator </b>parolasının ele geçirme yöntemi açıklanacaktır. <a href="http://code.google.com/p/volatility/" target="_blank">Volatility</a> her ne kadar çok geniş kullanım seçenekleri sunsa da bu notta <b>SAM</b> ve <b>SYSTEM </b>dosyalarının yerlerinin tespiti sonrasında hashdump alınması ve sonrasında ele geçirilen hashlerin kırılması gösterilecektir.</div><div style="text-align: justify;"><a name="more"></a><blockquote class="tr_bq">"Notta incelenecek memory dump dosyasına <a href="http://wargame2k10.nuitduhack.com/epreuves/forensic/EOhpD6Ifu7/forensic2.tar.gz" target="_blank">bağlantıdan </a>erişilebilir."</blockquote></div><div style="text-align: justify;">Backtrack5 ile varsayılan olarak gelen Volatility aracına <b>-f</b> parametresi ile mevcut memory dump dosyası girdi olarak verilip <b>hivescan </b>parametresi ile <i>registry hive </i>değerlerinin fiziksel adresleri bulunabilir:</div><h4># python volatility.py -f ../xp_forensics.vmem --profile=WinXPSP3x86 hivescan</h4><div><b>hivelist </b>plugini ile sanal adresler belirlenebilir:</div><div><h4># python volatility.py -f ../xp_forensics.vmem --profile=WinXPSP3x86 hivelist<br />Volatile Systems Volatility Framework 1.4_rc1<br />Virtual     Physical    Name<br />0xe1cf9008  0x19524008  \??\C:\Documents and Settings\mr_esclave\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat<br />[...]<br />0xe15fdb60  0x0688ab60  \Device\HarddiskVolume1\WINDOWS\system32\config\software<br />0xe15ebb60  0x06708b60  \Device\HarddiskVolume1\WINDOWS\system32\config\default<br />0xe15fd008  0x0688a008  \Device\HarddiskVolume1\WINDOWS\system32\config\SECURITY<br /><span style="color: #cc0000;"><u>0xe15f2658</u> </span> 0x066cf658  \Device\HarddiskVolume1\WINDOWS\system32\config\<u><span style="color: #cc0000;">SAM</span></u><br />0xe12eb288  0x02d58288  [no name]<br /><span style="color: #cc0000;"><u>0xe1035b60 </u></span> 0x02a9fb60  \Device\HarddiskVolume1\WINDOWS\system32\config\<u><span style="color: #cc0000;">system</span></u><br />0xe102e008  0x02a99008  [no name]<br />0x8066e904  0x0066e904  [no name]</h4></div><div style="text-align: justify;">Yukarıda da görüldüğü üzere <b>SAM </b>ve <b>SYSTEM </b>dosyalarının yerleri belirlendikten sonra <b>hashdump </b>pluginine bu dosyaların adresleri verilerek Administrator hash'i elde edilebilir.</div><div><h4># python volatility.py -f ../xp_forensics.vmem --profile=WinXPSP3x86 hashdump -y 0xe1035b60 -s 0xe15f2658<br />Volatile Systems Volatility Framework 1.4_rc1<br />Administrateur:500:a94c6377a507e293d87f0f06a65161cd:ca5cf9cfc07ec43a78d00bc936242594:::</h4></div><div style="text-align: justify;">Bu noktadan sonra <b>JtR</b>, <b>Ophcrack </b>ve Rainbow Tabloları ile bu hash kırılabileceği gibi <a href="http://cracker.offensive-security.com/" target="_blank">bağlantıdan </a>erişilebilecek online siteler aracılığı ile elde ettiğimiz hash kırılabilir.</div><div class="separator" style="clear: both; text-align: center;"><a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEj6IWU6mYW9f4pMzHT_2_T8MlHgTzT9RBr1d7Fh9Gry97LZ3og0Ug0_PNuTPYeLn_dkc-TZddckVhQSidsqY2H3-hZz4FaBo3QDtiiw3NwmlhbM2WE17LNMeRyr3LdPGpjO9Cl2D6XTZjLy/s1600/Ekran+Al%C4%B1nt%C4%B1s%C4%B1.PNG" imageanchor="1" style="clear: left; float: left; margin-bottom: 1em; margin-right: 1em;"><img border="0" height="513" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEj6IWU6mYW9f4pMzHT_2_T8MlHgTzT9RBr1d7Fh9Gry97LZ3og0Ug0_PNuTPYeLn_dkc-TZddckVhQSidsqY2H3-hZz4FaBo3QDtiiw3NwmlhbM2WE17LNMeRyr3LdPGpjO9Cl2D6XTZjLy/s640/Ekran+Al%C4%B1nt%C4%B1s%C4%B1.PNG" width="640" /></a></div><div style="text-align: left;">Volatiliy için daha detaylı bilgi edinmek amacıyla aşağıdaki kaynaktan yararlanabilirsiniz.<br /><h2><a href="http://cse.spsu.edu/raustin2/coursefiles/forensics/How_to_use_Volatility_v2.pdf" target="_blank">How_to_use_Volatility_v2.pdf</a></h2></div>

Volatility ile Memory Dump Üzerinden Yerel Yönetici Parolası Ele Geçirme

Günümüzün en çok ilgi gören bilgi güvenliği alanlarından biri olan forensic konusuna dair olan bu notta Windows XP SP3 işletim sistemine sah...