WindowsXPのパスワードをOphcrackを使って解析する方法

※こちら、記事公開から3年以上経過したので、コメント機能をクローズさせていただきました。予めご了承ください。

ophcrackっていうアプリケーションがあって、これを使われるとデフォルト設定のWindowsXPに設定されているパスワードなんてのは数分で解析されてしまいます。
あなたのパソコンが万が一盗難にあったらどうしますか？

よかった・・・パスワード付けといて・・・。

なんて言っても、ちゃんとした防衛策を施していないとほとんどパスワードなんて物も意味無いわけです。ophcrackによるクラックは最近だとオーソドックスな部類に入るのかもしれませんが、以外と対策が施されている端末なんて少ない物です。
今回はophcrackを使ってどの程度まで簡単にパスワードクラック出来るかを検証します。もちろん防衛策もね。

ophcrackの使い方

下記サイトからophcrack-livecdをダウンロードします。

http://sourceforge.net/project/showfiles.php?group_id=133599

ISOファイルになっているんで適当なCD-Rにでも焼いてください。準備はこれだけでOKです。

今回検証する環境

とりあえず僕とお父さん、お姉さんの３人でパソコンを共有しているような環境設定です。それぞれのアカウントにはパスワードがかかっています。

Ophcrackを起動させる

パスワードクラッキングを行いたい端末のCDドライブに作成したCD-Rを挿入してから電源を入れます。要するにCDブートすればOKです。

※Ophcrackの起動までのプロセスは利用している端末によって微妙に異なります。CDブートからOphcrackの起動までが上手く進まない場合には、始めにコメント欄を見て同じような事例が無いか確認してみてください。

とりあえず全て起動するまで待ちます。

自動的にパスワードクラッキングを行うアプリケーションが立ち上がります。ID1004、1005はUsernameが見えませんが上からお父さん、姉ちゃんです。アプリケーション起動からtime elapsed”時間経過”という値を見て１３秒しか経っていないのですが、既にadministratorのパスワードは解析されています。強力ですね。

１４８秒経過の時点で全てのパスワードが解析完了してしまいました。

アカウント”お父さん”、”姉ちゃん”についてはアカウント名が分からなかったんですが、どの道”administrator”のパスワードが解析されていますので駄目ですね。
仮にEFS暗号をデータに適用していたとしても管理者のIDとパスワードがバレていますので無意味になります。おそらくこの後さらに保存されているデータからさらなるパスワードをクラッカーは探すか、もしくは管理者権限でログイン後、キーロガー等のタイピングを保存しておくアプリケーションを各ユーザに仕込んで重要なデータにアクセスするでしょう。

ophcrackの動作原理

ophcrackはレインボーテーブルと呼ばれている予めハッシュ値を計算したテーブル一覧を使ってパスワードを解析します。詳しい動作については下記を参照してみてください、分かりやすく説明されています。

レインボーテーブルとレインボー攻撃

攻撃者としては犯罪かもしれませんが、管理者側としてはどんな方法だとしてもクラッキングされて情報漏えいすると自分の責任になりますから注意が必要ですよね。

防衛策

今回のアタックに対する防衛策はいくつかあるんですが、要するとですね、以下のサイトを見てください。という事になります、手抜きですいません。

Windows でパスワードの LAN Manager ハッシュが Active Directory とローカル SAM データベースに保存されないようにする方法

次回は上記の詳しい実装方法と、実際にパスワード解析に失敗するかを検証してみようと思います。

続きは下記の関連記事もしくは

OphcrackでWindowsXPのパスワードを解析する その２

でどうぞ。

Ophcrackが利用できない場合(2009.01.19追記)

Ophcrackで解析が難しい場合、以下のアプリケーションでパスワードを初期化する事も検討してみてください。

https://pnpk.net/archives/730

ただしパスワードを強制的に解除した場合、EFS等で暗号化したファイルの読み込みが出来なくなったり多少不具合が発生します。

NTPWEditを利用する場合には事前にバックアップを取得した方が良いです。

OphcrackのReadMeファイル

なんだかんだReadmeに色々記載されていますのでこちらも転載しておきます。

ophcrack LiveCD 2.3.0
*********************

The ophcrack LiveCD is a bootable Linux CD-ROM containing ophcrack 3.3.0
and a set of tables (XP free small or vista free depending on the version
you downloaded). It allows for testing the strength of
passwords on a Windows machine without having to install anything on it.
Just put it into the CD-ROM drive, reboot and it will try to find a
Windows partition, extract its SAM and start auditing.

Getting it

You can download the ISO image from SourceForge mirrors.
http://ophcrack.sourceforge.net

Package

The tables are located in directory ‘tables’. Please feel free
to install ophcrack and copy the tables on your harddisk if you want to
use ophcrack outside of the LiveCD.

Release Notes

Version 2.3.0 is a stable public release. This LiveCD is based upon
Slitaz LiveCD cooking version (http://slitaz.org). This version of
Slitaz is not released as stable, so you can expect some minor issues
when playing with it. If you’re interested in Slitaz, download the latest
stable version on their website.

The LiveCD has been customized to include ophcrack 3.3.0 and free tables
set for either Windows XP or Windows Vista. Ophcrack will auto-detect
the amout of free memory and adapts its behaviour to be able to preload
all the tables it can.

A shell script launched at the beginning of the X session does the job
of finding the Windows partition and starting appropriate programs to
extract and crack password hashes. It will look for all partitions that
contains hashes. If more than one are found, you will have to choose between
them.

The shell script will try to find all the tables located on the partitions
it will detect. If you want that it detects your tables automatically, put
them in a directory called “tables” at the root of your drive/partition
(e.g. \tables\vista_special\ or \tables\vista_num\). Ophcrack should then
automatically find and use them.

If your partition is not detected, make sure your the partition containing
the hashes you want to crack is mounted and the use ophcrack ‘Load from
encrypted SAM’ function to recover your Windows hashes. Then click ‘Launch’
and the cracking process will start.

If your graphic card is not detected or you have problems launching the
LiveCD in graphic mode, try launching it in text mode.