chntpw

Récupération
d’identifiants

Istace Emmanuel
Prérequis
Vous pouvez soit :

- Système linux installé sur la machine

o Dans ce cas il est nécessaire de télécharger et installer (via votre gestionnaire
de paquet ou les sources) les programmes suivants :
 Chntpwd
 Drivers ntfs rw
- Pas de système installé
o Télécharger le un liveCD contenant des outils de forensic dont voici les
principaux :
 OphCrack : http://ophcrack.sourceforge.net/
 Bakctrack : http://www.backtrack-linux.org/
 TRK : http://trinityhome.org/
o Cet article est base sur la version 3.4 – build 372 de TRK.

Reset password
La manipulation pour éditer la sam est simple :

1. Monter le disque contenant le système Windows

2. Lister et éditer les users
3. Ecrire les modifications

Mount Disk
Il est important de savoir si oui ou non le système est installé sur un système de fichier NTFS
ou FAT. Dans le cas du fat un simple mout –o rw suffit tandis que pour le ntfs il faudra être
attentif aux drivers utilisés par votre système pour gerer le ntfs.

Voici les deux cas sous TRK :

~# mount –o ro /dev/sda1 /mnt0/

~# modprobe fuse
~# ntfsmount /dev/sda1 /mnt0/

Si vous Montez la partition ntfs sans les drivers rw compatibles les changements ne pourront
être appliqués !
Ensuite nous allons nous rendre là où se trouve le fichier SAM

~# cd /mnt0/Windows/System32/config

Reset Windows Password – Istace Emmanuel – http://istacee.wordpress.com

Manage User
Nous allons maintenant activer le compte admin et reseter le user toto.
Premièrement listons les utilisateurs présent dans la SAM

~# chntpw –l SAM

chntpw version 0.99.6 080526 (sixtyfour), (c) Petter N Hagen

Hive <SAM> name (from header): <\SystemRoot\System32\Config\SAM>
ROOT KEY at offset: 0x001020 * Subkey indexing type is: 666c <lf>
Page at 0x10000 is not 'hbin', assuming file contains garbage at end
File size 262144 [40000] bytes, containing 7 pages (+ 1 headerpage)
Used for data: 262/54952 blocks/bytes, unused: 26/6264 blocks/bytes.

* SAM policy limits:

Failed logins before lockout is: 0
Minimum password length : 0
Password history count : 0
| RID -|---------- Username ------------| Admin? |- Lock? --|
| 01f4 | Administrateur | ADMIN | dis/lock |
| 01f5 | Invité | | dis/lock |
| 03e9 | Toto | ADMIN | |

On vois donc 3 users, Adminnistrateur, Invité et Toto, les deux premiers étant locké.

Reset Windows Password – Istace Emmanuel – http://istacee.wordpress.com

Activate User
Nous allons activer Administrateur dans un premier temps avec son RID en hexadecimal
(précédé de 0x donc). Ce qui doit être saisi est mis en rouge

~ # chntpw –u 0x1f4 SAM

chntpw version 0.99.6 080526 (sixtyfour), (c) Petter N Hagen

Hive <SAM> name (from header): <\SystemRoot\System32\Config\SAM>
ROOT KEY at offset: 0x001020 * Subkey indexing type is: 666c <lf>
Page at 0x10000 is not 'hbin', assuming file contains garbage at end
File size 262144 [40000] bytes, containing 7 pages (+ 1 headerpage)
Used for data: 262/54952 blocks/bytes, unused: 26/6264 blocks/bytes.

* SAM policy limits:

Failed logins before lockout is: 0
Minimum password length : 0
Password history count : 0
| RID -|---------- Username ------------| Admin? |- Lock? --|
| 01f4 | Administrateur | ADMIN | |
| 01f5 | Invité | | dis/lock |
| 03e9 | Toto | ADMIN | |

---------------------> SYSKEY CHECK <-----------------------

SYSTEM SecureBoot : -1 -> Not Set (not installed, good!)
SAM Account\F : 0 -> off
SECURITY PolSecretEncryptionKey: -1 -> Not Set (OK if this is NT4)
Syskey not installed!
RID : 0500 [01f4]
Username: Administrateur
fullname:
comment : Compte d'utilisateur d'administration
homedir :

User is member of 1 groups:

00000220 = Administrateurs (which has 2 members)

Account bits: 0x0210 =

[X] Disabled | [ ] Homedir req. | [ ] Passwd not req. |
[ ] Temp. duplicate | [X] Normal account | [ ] NMS account |
[ ] Domain trust ac | [ ] Wks trust act. | [ ] Srv trust act |
[X] Pwd don't expir | [ ] Auto lockout | [ ] (unknown 0x08) |
[ ] (unknown 0x10) | [ ] (unknown 0x20) | [ ] (unknown 0x40) |

Failed login count: 0, while max tries is: 0

Total login count: 22

- - - - User Edit Menu:

1 - Clear (blank) user password
2 - Edit (set new) user password (careful with this on XP or Vista)
3 - Promote user (make user an administrator)
4 - Unlock and enable user account) [seems to be locked]
q - Quit editing user, back to user select
Select: [q] > 4
Unlocked!

Hives that have changed:

# Name
0 <SAM>
Write hive files? (y/n) [n] : y
0 <SAM> - OK

Reset Windows Password – Istace Emmanuel – http://istacee.wordpress.com

Reset user password
Maintenant, resetons toto.

~ # chntpw –u 0x3e9 SAM

chntpw version 0.99.6 080526 (sixtyfour), (c) Petter N Hagen

Hive <SAM> name (from header): <\SystemRoot\System32\Config\SAM>
ROOT KEY at offset: 0x001020 * Subkey indexing type is: 666c <lf>
Page at 0x10000 is not 'hbin', assuming file contains garbage at end
File size 262144 [40000] bytes, containing 7 pages (+ 1 headerpage)
Used for data: 262/54952 blocks/bytes, unused: 26/6264 blocks/bytes.

* SAM policy limits:

Failed logins before lockout is: 0
Minimum password length : 0
Password history count : 0
| RID -|---------- Username ------------| Admin? |- Lock? --|
| 01f4 | Administrateur | ADMIN | |
| 01f5 | Invité | | dis/lock |
| 03e9 | Toto | ADMIN | |

---------------------> SYSKEY CHECK <-----------------------

SYSTEM SecureBoot : -1 -> Not Set (not installed, good!)
SAM Account\F : 0 -> off
SECURITY PolSecretEncryptionKey: -1 -> Not Set (OK if this is NT4)
Syskey not installed!

RID : 1001 [03e9]

Username: Toto
fullname:
comment :
homedir :

User is member of 1 groups:

00000220 = Administrateurs (which has 2 members)

Account bits: 0x0214 =

[ ] Disabled | [ ] Homedir req. | [X] Passwd not req. |
[ ] Temp. duplicate | [X] Normal account | [ ] NMS account |
[ ] Domain trust ac | [ ] Wks trust act. | [ ] Srv trust act |
[X] Pwd don't expir | [ ] Auto lockout | [ ] (unknown 0x08) |
[ ] (unknown 0x10) | [ ] (unknown 0x20) | [ ] (unknown 0x40) |

Failed login count: 0, while max tries is: 0

Total login count: 2

- - - - User Edit Menu:

1 - Clear (blank) user password
2 - Edit (set new) user password (careful with this on XP or Vista)
3 - Promote user (make user an administrator)
(4 - Unlock and enable user account) [seems unlocked already]
q - Quit editing user, back to user select
Select: [q] > 1
Password cleared!

Hives that have changed:

# Name
0 <SAM>
Write hive files? (y/n) [n] : y
0 <SAM> - OK

Reset Windows Password – Istace Emmanuel – http://istacee.wordpress.com

Clean finish
Enfin il ne nous reste plus qu’a démonter les partitions et quitter :

~# cd /
~# umount /mnt0/
~# init 6

Reset Windows Password – Istace Emmanuel – http://istacee.wordpress.com