John the Ripper et mots de passe vides

[Seimu]

Bonjours à tous !


J'ai un petit problème avec l'utilisation de John the Ripper sous Kali Linux que je n'arrive pas à résoudre.

Pour faire simple j'ai récupéré un vieux PC qui m'a été donné par un club de mon école et il est protégé par un mot de passe. Je sais qu'il n'y a rien de sensible dessus car c'était un club destiné à aider les étudiants et ne contenant que des documentations (ce club étant devenu obsolète avec l'arrivée des plateformes en lignes). De plus désormais le PC m'appartient. Je me suis donc donné le défi de cracker le mot de passe de ce PC car les conditions sont déjà plus réelles que lorsque je crack mon propre ordinateur et l'exitation n'est pas la même.

Pour commencer il faut savoir que la machine tourne sous Windows 7, j'ai réussi à récupérer les fichiers SAM et SYSTEM et à extraire le tout dans un fichier contenant les hashs (il y a 3 passwords, un admin, un invité et un utilisateur). J'en suis donc à l'étape ou il faut cracker les mots de passes avec John the Ripper. Sauf que la ça bloque, il me donne directement des résultats qui sont... trois mots de passe vides. J'ai essayé d'entrer des mots de passes vides sous Windows en supposant d'abord que c'était la réponse mais non, j'ai donc essayé de plusieurs manières différentes, avec diverses combinaisons des commandes suivantes, keys étant le fichier qui contient mes hashs :

john keys
john --format=NT keys
john --format=NT-old keys
john --wordlist:/usr/share/wordlists/rockyou.txt keys
john --simple keys
...

Bref je ne me souviens pas de la liste exaustive mais j'ai tenté pleins de combinaisons mais en vain, toujours des mots de passes vides. J'ai aussi supprimé régulièrement le fichier john.pot pour pas que le soft m'indique que les mots de passe sont déjà trouvés et que donc il ne les cherche pas.

Du coup je me suis demandé si avec un autre hash ça marchait, j'en ai trouvé d'autres le net et j'ai réussi à trouver les mots de passe en moins de deux minutes.

Voici mes deux fichiers.

keys:

Administrateur:500:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0:::
Invité:501:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0:::
Club:1000:aad3b435b51404eeaad3b435b51404ee:a068b14110bd49daf4448ff4d5b38245:::

test:

bert:1011:5DF12C9F2162249EAAD3B435B51404EE:099C037B843FDCA6489B03635E87EA76:::
erik:1008:4E1FB9BDD16A8F51AAD3B435B51404EE:FDC342B83B8A552C742B013E8A1BCA99:::
ernie:1012:1B638DBD583CF83D64BBD09A598E07AD:01C4EA2C58B2A0326D5EDF613E60DCED:::
jack:1015:F41D0D9F9038C51884672E50BA7FB014:14EAE3724A706F637FFC150A085F6EB3:::
phil:1009:208752DBBBEC625EAAD3B435B51404EE:9762FAD5394D489BFD7F662E9BC13655:::
sam:1010:FA1961430A96F9BEAAD3B435B51404EE:53F0FAE7D53BBE6C90F843ECEB71DCA0:::

Voilà, quelqu'un saurait-il m'aider ou du moins me donner une piste car je sèche complètement.
Je pourrais supprimer la présence de mots de passe en bootant sur Kali mais cela ne m'interesse pas je cherche vraiment à cracker ces derniers.

[DreAmuS]

https://github.com/ctfs/write-ups-20...ics2/README.md
https://www.felixrr.pro/archives/339...d3b435b51404ee
https://hashkiller.co.uk/ntlm-decrypter.aspx

Aucun hash n'est reconnus de la Base de donnée, alors bon courage pour trouver la réponse .

[Seimu]

Effectivement je n'avais pas vu les choses sous cet angle...

Du coup qu'es-ce qui pourrait expliquer le fait d'avoir un tel hash ? Une protection supplémentaire qui falsifie le hash récupéré ? Un mot de passe beaucoup trop compliqué pour être géré par pwdump ou samdump2 ? Ou alors une erreur de ma part ?

Car j'ai testé de ne pas entrer de mot de passe et cela ne fonctionne pas.

[DreAmuS]

Ainsi, la ligne ci-dessus à partir d'un fichier du pwdump indique qu'il n'y a pas LM hash, mais qu'il ya un hachage NTLM. Typiquement, si c’est le '404ee' à la fin de la partie LM. https://fr.wikipedia.org/wiki/LM_hash

En effet, les LM hashs sont très faciles à craquer et sont maintenant considérés comme obsolètes. Le format de fichier les a gardés juste pour la compatibilité descendante.

<Username>:<User ID>:<LM hash>:<NT hash>:<Comment>:<Home Dir>:

On est donc bien sur un NTLM : https://fr.wikipedia.org/wiki/NT_Lan_Manager

Les mots de passe Windows sont accessibles dans un certain nombre de façons différentes. La façon la plus courante se fait par l’accès au fichier (SAM, Security Accounts Manager) pour obtenir les mots de passe système sous leur forme hachée avec un certain nombre d’outils différents. Alternativement, les mots de passe peuvent être lu de la mémoire qui a l’avantage de récupérer les mots de passe en texte brut et éviter l’exigence de craquage.

Certains systèmes d’exploitation tels que Windows 2000, XP et Server 2003 continuent d’utiliser ces hachages, sauf s’il est désactivé. Parfois un OS comme Vista peut stocker le hachage LM pour la compatibilité avec d’autres systèmes. En raison de nombreuses raisons ce hachage est tout simplement terrible. Il comprend plusieurs décisions de la mauvaise conception de Microsoft tels que répartir le mot de passe dans deux blocs et permettant à chacun au cassage en toute indépendance. Comme c’est le cas sur ceux que tu nous a présentés.

Grâce à l’utilisation des tables arc-en-ciel qui seront expliquées plus tard, il est trivial pour casser un mot de passe stocké dans une table de hachage LM quelle que soit la complexité. Ce hachage est ensuite stocké avec le même mot de passe calculé dans le format de hachage NT dans le format suivant : :::

Ce qui est bizarre est que tu définie ce système comme tournant sur un Seven, alors que le hashage utilise un modèle en dessous de 2009.

En termes simples, il n’y a aucune faiblesse importante dans cette table de hachage qui distingue de toute autre fonction de hachage cryptographique. Les méthodes telles que la force brutale, rainbow tables ou des listes de mots sont tenus de récupérer le mot de passe s’il est stocké uniquement dans le format de NT.

Un exemple d’un hachage NTLM sous-évaluées avec seulement la composante NT (comme vu sur les systèmes plus récents. Administrateur : 500:NO PASSWORD***:EC054D40119570A46634350291AF0F72::: à noter la chaîne « sans mot de passe » est la variable basé sur l’outil. D’autres peuvent présenter cette information comme ramenés à zéros, ou couramment tu peux voir la chaîne « AAD3B435B51404EEAAD3B435B51404EE » à la place d’aucun mot de passe. Cela signifie que le hachage LM est vide et non stocké. Les hachages sont situés dans le répertoire Windows\System32\config utilisant les fichiers SAM et SYSTEM. En outre, il est également situé dans le fichier de Registre HKEY_LOCAL_MACHINE\SAM qui n’est pas accessibles pendant l’exécution.

Enfin des copies de sauvegarde peuvent souvent être trouvées dans Windows\Repair.

Donc la méthode adapté est la rainbow table : https://hackademics.fr/forum/hacking...-dictionnaires
Voici un lien vers: http://www.ampliasecurity.com/research/wcefaq.html

Il y avait pwdump mais le log qui est en exe a depuis largement été vérolé donc je ne te le conseille pas. Pour ce qui est des autres solutions, difficile pour toi sans backdoor, Meterpreter,… placé dessus en attente.
Voilà, il ne te reste plus qu’à suivre les conseils du poste de Sakarov, de te munir d’un sacré dico et faire tourner tes CPU à Donf.

A plus, en espérant que j’ai largement répondu à ta question. Ensuite, répond juste à la mienne et soit sincère. Il est à qui ce PC ? Et pourquoi il affiche des Hash en dessous de 2009 ?

[Anonyme77]

Je dois t'avoue que je ne saurais pas t'aider sur John The Ripper.

Mais, si tu fais une recherche sur le web, je sais qu'il existe une technique pour non pas craquer mais bien contourner la sécurité de Windows *.

Pour ce faire il suffit de :
1. Booter sur un CD ou une clef USB
2. Monter le disque C Windows
3. Renommer utilman.exe (dans C:\Windows\System32) en utilman.exe.bak
4. COPIER cmd.exe dans ce dossier sous le nom utilman.exe
5. Redémarrer la machine
6. Cliquer ici :


Ça t'ouvre un shell Windows avec des droits admins

7. Créer un compte avec les droits admins via le shell (je te laisse chercher)
8. Rebooter la machine. Ton nouveau compte admin devrait alors apparaitre sur l'écran de login.

Si tu veux défaire la manip' :
1. Boot sur un bootable linux
2. Monter disque Windows
3. Renommer utilman.exe.bak en utilman.exe (écrase donc la copie de cmd qui était sous le nom utilman)
4. Reboot

[DreAmuS]

@Ano je cite Seimu :"Je pourrais supprimer la présence de mots de passe en bootant sur Kali mais cela ne m'interesse pas je cherche vraiment à cracker ces derniers." Donc, je pense qu'il souhaitait plus travailler sur le hash et bypasser en force que de contourner le problème, chose qu'il a l'air de maitriser. Ce système de travail est plus axé sur des flags de 2014. Actuellement je me prépare d'ailleurs pour des CTF à côté et il est vrai que j'approfondies mes connaissances en hashages et crypto pour ce faire. Mon point fort étant le forensic et le web (ou j'excelle actuellement).

Je vais te donner ta première leçon Ano, toujours lire attentivement l'énoncé de A à Z avant de se lancer dans une recherche. Moi en tout cas dans le médical c'est ce qu'on m'a toujours appris. Prendre mon temps, écouter, lire et réfléchir, relire voire réécouter puis finalement énoncé.

En passant, si je ne réponds plus aux postes,... Cela vient du fait que ma navigation part en sucette sur le forum (pas d'accès shout, un coup je peux écrire un message sur tels postes, un coup non,..) alors je sais certains peuvent c'est bien mais cela ne résoud pas le problème, sinon on passe tout le monde modo et voila c'est finish.

[Anonyme77]

Merci pour ma première leçon DreAmus. Mes cours m'apprennent aussi cela.
J'avoue ne pas avoir été assez attentif à son message.

Pour le forum, ce sujet n'est pas vraiment le plus adapté.
Mais je prends note et ne t'en fais pas. On est sur le coup.

[DreAmuS]

Pas de soucis Ano, je suis un peu à cran, le boulot à donf, là on m'a filé 3 jours de repos (j’en pouvais plus). Et surtout, le faîte d'être réduit à quelques sections sur le forum. Je m'excuse d'avoir été si sec avec toi Sans rancune j'espère mon ami

[Seimu]

Merci pour vous réponses !

DreAmus tu m'as beaucoup éclairé, je vais donc tenter de cracker ça avec RainbowCrack ! Si je ne me trompe pas ce sont deux hash NT que je vais devoir chercher et ils sont dans la deuxième partie de mon hash, soient les deux suivants ?

31d6cfe0d16ae931b73c59d7e0c089c0
a068b14110bd49daf4448ff4d5b38245

Je suis actuellement en train de télécharger des Rainbow Tables je mettrais donc le résultat de mes essais d'ici quelques jours (en prenant en compte que je risque de ne pas pouvoir poster une réponse immédiatement).

Par contre je n'ai pas compris en quoi WCE pouvait m'être utile puisqu'il faudrait avoir les droits admins pour l'utiliser, que je n'ai pas. Cependant une fois que j'en aurais fini avec les Rainbow Tables j'essayerais quand même de me pencher sur le sujet.

Ano quant à toi, comme l'a dis DreAmus ce n'est pas cette méthode que je voulais expérimenter, mais je ne la connaissais pas et une fois que j'aurais réussi à ma manière j'essayerais d'utiliser la tienne voir si ça peut être intéressant, donc je te remercie aussi !

Et pour répondre à ta question DreAmus, ce PC est actuellement à moi mais ce n'étais pas le cas avant, on me l'a donné il y a deux semaines. Je ne connais pas l'ancien propriétaire puisque le PC m'a été donné par un club de mon école qui l'avait lui même hérité d'un club qui n'existe plus maintenant. Pour ce qui est de la datation des hashs je n'en ai absolument aucune idée, on me l'a donné tel quel il trainait dans un placard et ils allaient le jeter, c'est pourquoi j'ai pu le récupérer. Et au passage bon courage au travail !


EDIT :
Salut !

Je reviens après quelques mois sans avoir pu réussir à résoudre mon problème (je n'ai malheureusement pas eu énormément de me consacrer à ce dernier). Du coup j'en ai conclu que mes connaissances n'étaient pas encore assez développées pour résoudre ce genre de problème, du moins pour le moment.

Du coup ce que j'ai fais c'est que sur des PCs tests j'ai pu essayer la méthode de Anonyme77 avec grand succès.

Pour passer sur un modèle réel j'ai voulu l'appliquer sur le premier PC mais cela ne fonctionnait pas : j'ai donc été très content car cette confrontation a pu me mettre face à la réalité et je me suis rendu compte qu'il fallait aller encore plus loin !

Après quelques recherches j'ai essayé la procédure suivante avec succès :
- booter sur un CD de Kali Linux
- monter le disque dur de Windows dans le répertoire /mnt/sda1/
- utiliser l'outil chntpw (chntpw -i /mnt/sda1/Windows/System32/config/sam)
On tombe sur un mode interactif et le reste ce fait facilement.

Désormais je compte formater cet ordinateur pour essayer des CDs labs dédiés aux pentests. Lorsque mes compétences auront évoluées j'espère pourvoir un jour recréer ce genre de situation et cette fois arriver à résoudre mon problème.

Je m'excuse donc de n'avoir pas répondu plus tôt et je vous remercie pour l'aide que vous m'avez fourni !

À bientôt !!