笔者在管理本单位的计算机时，发现某计算机使用了Windows自身附带的文件加密方式，一旦用户忘记或者不知道原来的用户名和密码，这些加密文件就将无法打开。尤其是在员工离职后，如果交接存在问题，有些资料就无法再打开。
抱着研究的态度，笔者试用了多种方法，最后发觉远程获取用户的密码其实非常简单。
运行环境和所需软件：
操作系统：Windows 2000 Professional
软件：PWDUMP4.0.exe、Findpass.exe、Pulist.exe和LC5.0
具有复制文件到远程计算机的权限，或者有账号可以登录该计算机。
说明：笔者是域管理员，因此可以在本地域服务器上添加用户名和密码，也具有进入远程计算机（用户计算机）的条件。
用PWDUMP4获取密码
获取密码过程
（1）获取SAM文件
首先，利用PWDUMP4获取机器上的SAM文件，然后使用LC5.0软件来分析获取的SAM文件，并将用户的密码分析出来。
说明：Windows NT/2000是使用SAM来保存用户和密码信息的，SAM通常保存在“Winntsystem32config”目录下，攻击者在拿到SAM文件后用LC5.0软件可以很轻易地破出密码来，尤其是密码强度比较低的情况下。而SYSKEY可以对SAM进行加密并将用户密码的加密键扩展为128位，从而增大破解的难度。
用法如下：
PWDUMP4 [Target|/l][/s:share][/o:outputFile] [/u:userName]
说明：
[Target]：标计算机的名称或者ip地址
[/l]：在本地机器上运行
[/s:share]：用来共享文件
[/o:outputFile]：将SAM文件输出到给定的文件中。
[/u:userName]：使用用户名和密码登录远程计算机。
例如，在本地机器192.168.1.100上获取SAM文件，可以使用命令：
PWDUMP4.exe /l /o:192.168.1.100.SAM
说明：此命令表示在本地机器上抓取密码信息，并在本地计算机上生成一个“192.168.1.100.SAM”文件。
又如，在远程计算上获取SAM文件，可以使用命令：
PWDUMP4.exe 192.168.1.100 /o:192.168.1.100.SAM /u:admin
说明：该命令是在本地机器获取远程机器的密码文档信息。其中，192.168.1.100为远程计算机的IP地址，不过其“/u：”后跟的必须是具有管理员的权限，且在随后必须输入正确的密码才能获取，如图1所示。
（2）破解SAM文件
单击“开始”→“程序”→“LC5”→“LC5”，运行LC5程序，然后在菜单中选择“Session”→“import”→“Import from file”→“From PWDUMP file”，选择一个SAM文件，然后单击菜单上面的三角 形执行按钮进行密码分析。
如果机器性能好，要不了多少时间，密码就会浮出水面了。如图2所示。
说明：PWDUMP4是一个用来抓取Windows NT/2000/XP用户密码信息的工具，但对于Windows 2003 Server无效。
防范建议
对于入侵者来讲，入侵系统成功得到一个shell后，添加一个具有超级权限的用户是相当简单的事情，但是如果使用自己添加的用户再次进行登录很容易被管理员或者用户发现。
而利用PWDUMP4.0则完全不同，只需要登录对方计算机运行一下该命令，然后使用LC分析SAM密码信息，获得管理员或者用户正常登录时使用的密码，这样就安全多了，想在系统中做点什么都可以。
所以，对于此类窃取密码的方法，我们平时还是要特别防范的。
◆ 关闭远程注册服务（Remote Registry Services）,PWDUMP4.0就无法对您系统的密码进行Dump了。要知道，在Windows 2000中，该服务默认是打开的，但这项服务是极其危险的。
◆ 最好在个人计算机上安装防火墙，或者使用“IPSec”等工具自行制定安全策略。
◆ 养成定期更改密码的好习惯，并设置一个不容易破解的密码。
◆ 定期查看系统中所有用户的权限及其所在组,一旦发现有不明用户则需要提高警惕。
◆ 定期使用“net user 用户名”命令查看用户密码更改信息及其最后一次登录时间。如果跟自己最后一次登录时间不一致，呵呵，那您就自己看着办好了。
◆ 尽量不要在同一台机器上给多个用户权限，一旦某一个用户具有登录该机器的权限，那么他就可能利用该PWDUMP和LC软件获取该计算机所有用户的SAM信息并分析出所有用户的密码。
◆ 使用“SYSKEY”命令进行再次加密。关于该命令的详细使用方法，大家可以查看Windows中的帮助文件。
用findpass和pulist获取密码
获取过程
（1）获取PID、机器名称和当前登录用户名。将findpass.exe和pulist.exe这两个软件复制到对方机器上，首先运行pulist.exe，可以查看系统当前正在运行的进程，在其中找到Winlogon.exe所在的进程ID号,即PID号。本例中的PID为184。如图3所示。
（2）移动鼠标查看User信息，使用pulist.exe后可以找到形如“AAdministrator”的User信息。
（3）使用findpass.exe命令获取密码信息，使用方法为：
findpass.exe 机器名称 用户名 PID
在本例中使用的命令为：
findpass.exe A administrator 184
如果在自己的机器上运行该命令，可以直接使用findpass.exe命令，后面不跟任何参数。破解结果如图4所示。
防范建议
这种方法需要在对方机器（远程计算机）上执行，执行完毕后可以很容易删除该软件，使得查找起来相当困难。所以，我们要尽量做到未雨绸缪。
◆ 设定安全策略，启用系统的审核机制。
◆ 养成查看“事件查看器”的习惯，分析不平常事件和不正常时间系统所运行的程序等。
◆ 定期杀毒，并将杀毒软件设为自动监控，一旦入侵者将该软件复制到系统中，杀毒软件一般都能识别。可惜，如果入侵者对findpass.exe进行二次或者多次的加壳后，杀毒软件就无能为力。
◆ 仍然是设置健壮的密码并不定期进行更换。系统中设置的用户越少越好。
文章转载地址：http://www.365master.com/kt_article_show.php?article_id=1833&categ_code=10041003
