Аналіз кешованих паролів домену

Починаючи з версії 2.0 в програмі з'явилася можливість читання кешованих записів домену. Windows використовує кешированниє записи домену для чтого, щоб мати можливість підключатися до сервера навіть якщо логон сервер з яких-небудь причин недоступний.
Плагін для роботи з кешуватися записами домену складається з трьох кроків.
Спочатку необхідно визначитися, які записи треба розшифрувати: кешированниє записи поточної операційної системи або будь-якого іншого комп'ютера.

Кешовані записи домену зберігаються в файлі реєстру SECURITY. Тому, при виборі опції читання записів зовнішнього ПК, на наступному кроці Майстра необхідно вказати шлях до цього файлу, а також до реєстру SYSTEM, який бере участь в розшифровці записів. Якщо Ви вибрали читання кешованих записів локального комп'ютера, то на другому кроці майстра програма сама виконає пошук вищевказаних файлів. Файли реєстру знаходяться в папці C: \% WINDIR% \ system32 \ config \, де% WINDIR% - каталог Windows.

Якщо читання пройшло успішно, то в фінальному діалозі ви побачите розшифровані записи домену. Кожен запис має кілька атрибутів. Наприклад, ім'я користувача, час останнього входу, членство в групах, кешированниє пароль користувача (точніше хеш).
Клацання правою кнопкою миші на списку записів відкриває контекстне меню з якого можна:

• зберегти записи з усіма атрибутами в текстовий файл
• екпортіровать хеші паролів в формат PWDUMP, * .DCC або * .PEIF файл. Врахуйте, що PWDUMP формат не зовсім коректно зберігає записи, тому краще зберігати хеши паролів в * .DCC або * .PEIF файл.
• скидати або змінювати пароль кешованої записи домену
• видаляти запис
  

Для відновлення кешованих паролів домену можна використовувати утиліту Network Password Recovery Wizard , Попередньо експортувавши хеші в один із зазначених вище форматів.