PasswordOne

LmB · Inscrit le: 22 Mai 2008 Messages: 3

Bonjour,

J'ai un portable que je connecte parfois au réseau de mon entreprise.
Le compte utilisé alors ne se retrouve pas dans la base SAM/SYSTEM, comme pour tous les comptes locaux (j'ai le mot de passe admin si nécessaire), mais semble-t-il dans un fichier ntds.dit.
Une recherche de ce fichier ne donne rien.

Mes questions sont donc :
- y a-t-il un moyen simple de retrouver le mot de passe de ce compte avec des outils sous DOS* : outil soit pour trouver directement ce mot de passe, soit pour trouver/copier et mettre sur une autre machine le fameux fichier ?
- dans cette deuxième option, quel outil permet d'analyser ce fichier (un peu à la manière de LC4/LC5 ou Ophcrack).

*un peu à la manière d'obtenir les fichiers SAM et SYSTEM. Bien qu'ayant le mot de passe admin (c'est ma machine), je ne souhaite pas entrer de cette manière. Ou encore un genre de Ophcrack CD Live mais pour les comptes de domaines à trouver en local ...

Merci

Lo

Scroll3D · Inscrit le: 11 Avr 2007 Messages: 16

Bonjour,

Regarde le sujet suivant car j'ai l'impression que tu parles du même sujet que ce que je (me) posais comme question :
http://www.passwordone.com/component/option,com_forum/Itemid,26/page,viewtopic/t,203/

Je n'ai pas la solution, mais je vais explorer ta piste avec Google où j'ai déjà vu qu'il y avait pas mal de résultats sur ce fichier "ntds.dit" dont tu parles, par exemple (1e réponse google) :
---------------------------------------
Le Directory Information Tree
Dans NT 4.0, la base de données SAM (Security Accounts Manager) contient toutes les informations sur les utilisateurs, les ordinateurs et les groupes pour un domaine.
La base de données SAM étant une ruche de la base de Registre, elle se trouve limitée par l'évolutivité même du registre.
Dans les contrôleurs de domaines Windows 2000, le Directory Information Tree (DIT) ou arborescence d'information d'annuaire remplace la SAM. Le DIT est basé sur le moteur de base de donnée Microsoft Jet et est identique à celui qu'utilise Exchange Server.
Le fichier ntds.dit, qui se trouve dans le dossier %systemroot%\ntds est l'équivalent Windows 2000 du fichier SAM. C'est lui qui stocke la plupart des données de l'annuaire.
En général, le DIT est plus grand que la SAM car Active Directory contient plus d'informations et de types d'objets que le service d'annuaire de NT 4.0 . Dans un domaine, le contenu du fichier ntds.dit se duplique dans tous les contrôleurs de domaines.

Le DIT stocke la plupart des informations de l'annuaire dans le fichier ntds.dit. Il est répliqué sur les contrôleurs de domaine.
---------------------------------------
A suivre ...

LmB · Inscrit le: 22 Mai 2008 Messages: 3

Hello,

Exact, c'est le même problème : le mot de passe de son compte réseau.
Ce compte (et son mot de passe associé) sont bien stocké en local puisque on peut démarrer une session sans être connecté au réseau.
Mais à la lecture de la réponse, le double hacjhage MD4/MD5 m'inquiète un peu sur la possibilité d'obtenir ce mot de passe...

Je continue mes recherches aussi.

LmB · Inscrit le: 22 Mai 2008 Messages: 3

Piste actuellement suivie :

Je me suis connecté en local avec le compte admin (donc pas en mode déconnecté avec mon compte réseau sur le domaine).
J'ai installé Cain et Abel.
Et là, je visualise tous les comptes y compris les comptes réseaux.
Pour trouver le mot de passe associé, soit force brute (prévoir plusieurs jours/semaines selon votre machine et la longueur du mot de passe) ou utiliser des "rainbows tables", qui sont des tables contenant tous les mots de passe précalculés (donc gain de temps). Attention, ces tables font rapidement plusieurs dizaines de Giga.
Etape en cours : récupération des tables RT (presque terminée) et lancement de calcul.
A suivre

PasswordOne

Bonjour LmB,

Super étude Wink

Il me tarde d'avoir tes comparaisons.

ov_ni

Bonjour,

Je suis actuellement entrain de réaliser un audit de robustesse de mots de passe session user dans mon entreprise.

J'ai enfin réussi à faire une copie du fichier ntds.dit avec la collaboration de l'administrateur domaine AD.

Vu la sensibilité de notre système, l'administrateur ne m'autorise pas à le décrypter de mon poste de travail de peur que les utilitaires pwdump John et compagnie n'infecte le réseau. Il m'autorise en revanche sous sa surveillance de le décrypter à partir d'une machine isolée du réseau.

Ainsi, je dispose d'OPhcrack comme outil mais avant, il me faut le convertir en pwdump file pour que Ophcrack puisse faire son travail.

Je n'ai pas trouvé le moyen de transformer ou d'exporter un pwdump file à partir de ntds.dit.

Je vous remercie de me dire quelle est la solution.

PasswordOne

ov_ni,

pwdump doit être utiliser directement depuis le contrôleur de domaine sans affecter le réseau !
Ainsi tu récupéreras le hash de l'ensemble des comptes du domaine.
Ensuite avec ton fichier texte tu pourras utiliser ophcrack depuis un autre poste.