[Desarrollado] - Lab SAM bypass

Titulo del Laboratorio
Lab SAM bypass

Objetivos del laboratorio
Ingresar como administrador de una máquina xp sin conocer la contraseña y luego restaurar la constraseña para que no se note el ingreso

¿Se cumplieron los objetivos?
Completamente

Apreciación del laboratorio
No pues estuvo chevere para pasar el rato pero no tuvo mayor ciencia

Desarrollo del laboratorio y resultados
Lab SAM bypass

en mi maquina tengo WinXP SP2 al dia, pero como queria ahorrarme inconvenientes y una posible reinstalacion instale VMware workstation 5 como maquina virtual e hice una instalacion limpia de WinXP SP2 con clave de administrador (o sea que no la deje vacia) con ntfs como sistema de archivos.

Una ves instalada, en un Cd se grabo una imagen de hiren's Boot Cd y arranque la maquina virtual desde el Cd. Con NTFS dos pro se monto el disco virtual c: y se copio el archivo sam desde c:\windows\system32\config a c: con nombre sam.bak

Luego se intento borrar la clave de administrador con el software de reseteo de claves disponible en el cd, aunque el programa informo existo, la clave no fue alterada. Entonces se procedio a crear un disquete de arranque con cia commander e iniciar la maquina virtual con el disquete. Se cambio la clave de la cuenta de administrador con cia commander y se procedio a iniciar windows, como resultado, la clave de administrador fue modificada y se accedio al sistema con la clave modificada.

Se reviso el log de sucesos y de errores de windows, pero no se encontro nada extraño. Se reinicio la maquina virtual con el cd y utilizando NTFS dos pro se sobreescribio el archivo SAM con la copia tomada al inicio del procedimiento, sam.bak.

Se inicio de nuevo el sistema con windows y se accedio al sistema con la clave original de administrador. Se reviso el log de sucesos, nada sospechoso.

No he visitado el link que pusieron arriba asi que no se cual es el soft, pero yo uso uno que se llama Change NT Password, el cual es un disco de booteo de 3 1/2 que corre en entorno Linux.

Pero como aporte a lo del lab de las contraseñas ahi va este post.

Antes cabe aclarar que en un lab hay que agotar todas las herramientas que nos brinda el SO, si nos vemos atascados hay si nos podemos valer de aplicaciones o herramientas diseñadas para el caso, pero es mas gratificante hacerlo por nuestras propias manos.

Lo primero que deben tener en cuenta al momento de manipular un fichero del sistema es que no este en uso, ya que no dejara realizar niguna modificación hasta que no se haya cerrado. Para poderlos visualizar y que el explorador nos permita una manipulación previa deben ir al menú Herramientas-Opciones de carpeta.. y pasamos a la pestaña Ver. Alli debemos ubicar y seleccionar las siguientes opciones:

Mostrar todos los archivos y carpetas ocultos
Mostrar el contenido de las carpetas del sistema

Y deshabilitar la siguiente:

Ocultar archivos protegidos del sistema operativo (recomendado)

Al realizar estos cambios nos vamos a la consola del sistema e ingresamos a la carpeta del sistema (cd c:\windows\system32) y miramos solo los archivos ejecutables (dir *.exe/p) cerciorandonos de que se encuentre el at.exe, despues de encontrarlo pasaremos atrabajar con el comando attrib. Este comando sirve para añadir o quitar atributos a un archivo, para ver los atributos de los archivos damos attrib y el nombre del archivo con la extensión (attrib at.exe), miramoslas letras que preceden a la ruta del archivo:

R= Solo lectura del archivo.
A= Archivo de almacenamiento.
S= Archivos del sistema.
H= Archivo oculto.

Para poner atributos a un archivo debemos poner el comando attrib con el parámetro + y la letra que representa el atributo, luego el nombre del archivo con su extensión (Ej: attrib +H +S metasploit.exe) pero como lo que nos interesa es quitarle los atributos a los archivos que no podemos manejar, entonces cambiamos el parámetro + por -, esto hará que quitemos el atributo que queramos (Ej: attrib -S -R -H cmd.exe) pero recuerden siempre dejar el atributo A.

Luego miramos la hora del sistema, y suponiendo que son las 17:03 escriben at 17:04 /interactive "cmd.exe" con esto programamos el equipo para que a las 17:04, osea un minuto despues de darle el comando, ejecute otra consola. A las 17:04 se abrira otra consola, pero ya no se llamara cmd.exe sino svchost.exe la cual es la consola nativa del sistema. Luego cerramos la consola vieja y en la nueva escribimos taskkill /F /IM explorer.exe con esto le estamos diciendo al equipo que finalice el explorador, al darle el parametro /F le decimos que sea forzado y /IM es que cierre la aplicacion que corresponda con el nombre de la imagen "explorer.exe".

Despues de esto se cerrara el escritorio y solo quedara la ventana de la consola, en ella escribimos explorer.exe y se cargara un nuevo escritorio con una nueva configuracion, si nos fijamos el usuario se llama SYSTEM y si nos vamos a revisar las cuentas de usuario veremos que no aparece alli, y es porque este usuario es solo una cuenta fantasma que trae el Windows XP la cual posee todos los privilegios y se encuentra por encima del administrador.

Luego dan click en Incio-Ejecutar y escriben control userpasswords2, esto los llevara al control de Usuarios del equipo, alli podran borrar o cambiar la contraseñas de todos los Usuarios del equipo o borrarlas, incluyendo las del administrador.

Espero que les sea util esta alternativa al lab, que como ven solo usa herramientas del SO.

Happy Hacking...