Восстанавливаем доступ к заблокированным учетным записям Windows. Обзор программ Elcomsoft System Recovery и Reset Windows Password! Или как узнать пароль Windows, не оставляя следов взлома учётной записи Видео о продукте

Восстанавливаем доступ к заблокированным учетным записям Windows

Безмалый В.Ф.

Microsoft Security Trusted

Не так давно мне принесли чужой ноутбук, хозяин которого забыл пароль входа в свою учетную запись Microsoft Account. С одной стороны – ничего страшного, можно сменить on-line. Но как оказалось, по какой-то неизвестной мне причине сделать он этого не смог и попросил меня просто сбросить его пароль на ноутбуке. Достаточно тривиальная задача, я был в этом уверен, ведь рано или поздно всем нам приходится сталкиваться с тем, что нужно восстанавливать забытый или утерянный пароль для входа в систему.

Вместе с тем я столкнулся с сложностью ы том, что на компьютере используется UEFI и диск уже отформатирован именно под такую загрузку.

То есть вроде как существует целый ряд инструментов, а воспользоваться мне нечем, тем более что инструмент, к которому я привык - Elcomsoft System Recovery, в тот момент еще не поддерживал загрузку и работу с UEFI.

Зная, что это в принципе достаточно широко известная проблема, тем более что до 40% обращений в службы технической поддержки связаны с забытыми или утерянными паролями для входа в систему, я решил обратиться к разработчикам в компанию Elcomsoft. В ответ мне была любезно предоставлена для тестирования новая версия продукта. Что сказать?

С помощью данного приложения вы сможете мгновенно вернуть доступ путем сброса паролей или разблокирования учетных записей, поддерживая как локальные учетные записи (включая Microsoft accounts), так и записи на контроллере домена. Но главное, что сегодня этот инструмент уже может обращаться с UEFI. На всякий случай повторим что значит эта аббревиатура.

Что такое UEFI

Система BIOS, разработанная свыше тридцати лет назад, уже лет пятнадцать считается реликтом, однако достаточно долго не было соответствующих альтернатив.

Система UEFI (Unified Extensible Firmware Interface) появилась в далеком 1998 году как Intel Boot Initiative. В 2005 году был специально создан консорциум UEFI Forum, основными членами которого помимо Intel, стали AMD, Apple, IBM, Microsoft и ряд других.

В отличие от загрузочного кода BIOS, который всегда жестко прошит в соответствующем чипе на системной плате, куда более обширные по размеру коды UEFI находятся в специальной директории /EFI/, место физического расположения которой может быть самым разнообразным - от микросхемы памяти на плате или раздела на жестком диске компьютера и до внешнего сетевого хранилища.

Стандартно, разметка диска при применении UEFI выглядит следующим образом.

Рисунок 1 Создание структуры разделов в разметке GPT на ПК с UEFI

Рисунок 2 Диск 0 Разметка под GPT

Для нас основной проблемой будет то, что загрузочный диск под Elcomsoft System Recovery просто не увидит данный жесткий диск.

Именно поэтому была создана новая версия ESR с поддержкой UEFI. Фактически, если исходить из набора функций, мы имеем перед собой все тот же набор, но уже созданный на базе загрузки под Windows 10 с поддержкой UEFI.

Elcomsoft System Recovery позволяет сбросить пароли к учётным записям, в то же время включая ряд атак, с помощью которых в ряде случаев за короткое время могут быть найдены оригинальные пароли.

Elcomsoft System Recovery разблокирует учётные записи Администратора и других пользователей в системах Windows Windows 7, Windows 8/8.1, Windows 10, а также множество устаревших систем, включая Windows Vista, Windows XP, Windows 2000 и Windows NT, включая все серверные редакции. Поддерживаются как 32-битные, так и 64-битные версии.

Как это работает?

Для создания EsrBoot диска вы должны запустить соответствующее программное обеспечение, в котором вам предложат либо создать загрузочную флешку либо iso-образ загрузочного диска.

Рисунок 3 Создание загрузочной флешки

По окончании форматирования и копирования вы получите загрузочную флешку.

После загрузки, в случае если вам необходим драйвер для IDE/SCSI/RAID жестких дисков, вы можете его загрузить.

Рисунок 4 Загрузите необходимый драйвер

После загрузки вы должны выбрать с какой учетной записью (локальной или доменной) вы хотите работать.

Рисунок 5 Выбор дальнейших действий

Для моей задачи потребовалось управление локальной учетной записью. Поэтому я сохранил резервную копию SAMи сохранил для будущей расшифровки дамп хэша SAM.

А после этого просто сбросил пароль учетной записи, вернее заменил его другим, ведь уверенно знал, что EFS-шифрование хозяин не применял.

Рисунок 6 Изменение SAM

Рисунок 7 Изменить пароль

Рисунок 8 Редактор базы SAM

Естественно необходимо вспомнить о возможностях данного ПО.

Возможности Elcomsoft System Recovery

• Готов к загрузке – базируется на системе Windows PE (Preinstallation Environment)
• Восстановление или сброс паролей к учётным записям как Администратора, так и всех других пользователей
• Восстановление оригинальных паролей (в некоторых случаях), обеспечивающее доступ к данным, зашифрованным с использованием EFS
• Разблокирование учётных записей (имеющих статус locked или disabled)
• Поднятие привилегий (до уровня администратора) для любой учётной записи
• Доступ к учётным записям, у которых истёк срок действия пароля
• Поддержка широкого спектра аппаратного обеспечения; нативная поддержка файловых систем FAT, FAT32 и NTFS
• Привычный графический интерфейс Windows – легко и удобно использовать
• Поддержка всего спектра операционных систем вплоть до Windows 10 и Windows Server 2012
• Поддержка американской, русской и других локализованных версий Windows; работа с именами пользователей и паролями на всех языках
• Автоматическое определение всех установленных копий Windows
• Возможность выгрузки хэшей паролей (для дальнейшего анализа и восстановления) как из локального реестра, так и из Active Directory

Если на исследуемом ПК нет данных, зашифрованных с помощью EFS, то самым простым вариантом будет сброс пароля для восстановления доступа. Проще всего сменить пароль для данной учетной записи, более того, при этом вам не нужно знать оригинальный. А кроме того нет необходимости проводить атаки для восстановления пароля, ведь это может быть, как затратным по времени и ресурсам, так и не гарантировать результат вообще. Гораздо проще задать новый. Еще раз повторю, у вас на ПК не должно быть EFS-шифрования.

Если же вам по какой-то причине нужен сохраненный пароль, то в составе ESR есть средства для восстановления. Более того, вы не нуждаетесь в том, чтобы задавать специальные параметры. ПО умеет проводить как простой перебор возможных паролей, так и проверку по спискам наиболее часто используемых паролей. Если же атака не удалась, вы сможете извлечь хеши паролей и сохранить их для последующего исследования.

Кроме того, необходимо знать, что Elcomsoft System Recovery позволяет не только восстанавливать или сбрасывать пароли, но поможет и при некоторых других проблемах, связанных с доступом в систему. Например:

• Присвоить привилегии Администратора учётной записи любого пользователя
• Разблокировать учётную запись (которая была явно заблокирована Администратором, или после нескольких неудачных попыток ввода пароля)
• Сбросить или поменять пароль к учётной записи пользователя
• Показать список всех учётных записей в системе, выделив те, у которых есть привилегии Администратора
• Показать список привилегий пользователя
• Найти учётные записи с пустым паролем
• Мгновенно восстановить пароли к некоторым специальным/системным учетным записям (например, IUSR_, HelpAssistant и т.д.)
• Создать резервные копии файлов SAM/SYSTEM (и при необходимости восстановить из них – например, после входя в систему с новым паролем или после повышения привилегий)

Таким образом, в руки исследователя приходит новый, весьма интересный инструмент, позволяющий решать задачи по восстановлению паролей.

Filed under: ИТ-безопасность , Статьи , IT-Security , Windows 10 , Windows 8

Для сброса / восстановления пароля администратора мы рекомендуем использовать

Ниже мы приводим еще одну пошаговую инструкцию по восстановлению (изменению / сбросу) пароля администратора с использованием загрузочного ISO образа Elcomsoft System Recovery. Способ значительно более сложный, для продвинутых пользователей.

Важно: Если ваш VDS использует драйвера Virtio (почти все новые VDS с Windows 2008 из наших шаблонов ОС) - измените тип контроллера HDD на "по умолчанию" в . Если этого не сделать, то LiveCD "не увидит" жесткий диск сервера и у вас ничего не получится. Не забудьте изменить тип контроллера обратно после сброса пароля.

Шаг 2. Откройте VNC консоль и инициируйте перезагрузку вашего VDS сервера.

Шаг 3. Для загрузки с ISO нужно нажать клавишу F12 сразу после того, как появится сообщение "Press F12 for boot menu "затем ввести номер варианта DVD/CD (обычно 1) и затем нужно обязательно успеть нажать пробел или другую клавишу сразу же после начала загрузки VDS (когда появляется приглашение "Press any key to boot from CD....", иначе сервер продолжит загрузку с жесткого диска!

Шаг 4. Дождитесь пока сервер загрузится с подключенного ISO образа, затем выберите "I accept the agreement ", и нажмите кнопку "ОК ":

Шаг 5. В следующем окне убедитесь, что в списке дисков есть HDD вашего сервера. Если HDD дисков подходящего размера нет - скорее всего вы не изменили тип контроллера HDD как описано в начале инструкции и система "не видит" ваши диски. Если диски есть в списке - нажмите кнопку "Next":

Шаг 7. Убедитесь, что папка Windows обнаружена. Если у вас несколько систем - можете выбрать нужную вручную (учтите, что буква диска будет отличаться!) иначе оставьте "Auto selection". Cнимите галочку "Test short andsimple....", затем нажмите кнопку "Next":

Шаг 8. Открывается список учетных записей на сервере. Дважды кликаем по administrator (или любой другой, пароль которой хотите изменить):

Шаг 9. В открывшемся окне вводим новый пароль (пароль обязательно должен быть сложным! Если указать простой пароль, то войти в систему, скорее всего, будет не возможно!). Если при этом "печатаются только цифры" - проверьте, что бы на вашем(!) компьютере была включена английская раскладка, а не русская. Убедитесь, что стоит галочка "Administrator account" и НЕ стоят "Account is disabled" и "Account is locked out". Нажимаем кнопку "Apply", дальше будет предложено сохранить резервную копию SAM файла (не обязательно, можно отвечать "No"):

Шаг 10. Подтверждаем понимание того, что будет утерян доступ ко всем личным сертификатам, зашифрованным файлам и т.д., нажимаем "Yes":

Шаг 11. Появится сообщение о том, что данные пользователя изменены и хотим ли мы перезагрузить систему. Отвечаем "Yes" и VDS перезагрузится в обычную систему:

Шаг 12. После завершения загрузки вы можете войти в систему с новым паролем. Не забудьте отключить ISO образ в панели управления и вернуть режим контроллера HDD, если вы его изменяли.

Внимание: Если у вас что-то не получается или идет не так - вы можете

Стандартная ситуация - админ заблокировал многие функции пользователя компьютера. Что же делать, как сбросить или узнать пароль администратора Windows ? Для сброса или смены пароля администратора или пользователя Windows предлагается множество вариантов, одним из которых являются средства программы ERD Commander. Однако, Ваше вмешательство в безопасность компьютера будет вскрыто сразу при очередном посещении ПК системным администратором. Гораздо привлекательным является вариант вскрытия пароля администратора, вход в Windows под его паролем, внесение нужных изменений или снятия нужной информации, доступной только админу компьютера и благополучный выход из системы без следов своего посещения. Программа Elcomsoft System Recovery Professional прекрасно справляется с этими и многими другими функциями, касающимися учетных записей админов и пользователей. С помощью нее можно узнать пароль администратора Windows 7, XP, 2000, Server (сервер) 2003 и 2008. Программа платная, однако не сложно найти ее "определенную" версию в сети. Давайте рассмотрим пошагово, как можно узнать пароль Windows с ее помощью, так же другие ее возможности.

Снимаем пароль Windows - Elcomsoft System Recovery Professional

Снимаем пароль Windows следующим образом. Потратив некоторое время на поиск образа программы Elcomsoft System Recovery Professional, мы его скачали и записали на диск . Далее настраиваем BIOS на загрузку с привода и загрузившись с диска получаем первое окно. Выбираем нужный язык, соглашаемся с условиями лицензии и двигаемся вперед "ok"

Здесь, скорее всего, в большинстве случаев ничего делать не надо и мы продолжаем движение "Далее".

Так как наша цель - узнать пароль Windows, то здесь мы оставляем все без изменений и идем к следующему пункту.

На этой стадии нам предлагается выбрать директорию Windows системы с которой мы работаем. Если на компьютере в разных логических разделах или на одном установлено несколько операционных систем, то нам необходимо знать, какая именно относится к нашей системе (Windows, Windows 0 и т.д.). Но в большинстве случаев установлена одна операционная система, поэтому и выбора не будет. Оставляем настройки по умолчанию и переходим, собственно к самому интересному.

После непродолжительной работы программы по определению паролей, статусов и прочих атрибутов учетных записей, программа выдаст нам окно с паролями всех пользователей и администратора, исследуемой операционной системы Windows. Здесь мы можем переписать все интересующие пароли и выйти из программы - "Закрыть". Однако, при желании поработать с какой-либо учетной записью, нам нужно ее выделить и нажать "Далее", перейдя к следующему окну редактирования параметров учетной записи.

В этом окне видно, какие действия мы можем предпринять для изменения параметров и пароля учетной записи администратора (пользователя): изменение пароля, поднятие привилегии учетной записи до статуса админа, разблокирование учётной записи, имеющих статус "disabled" или "locked". Программа поддерживает любые файловые системы, определяет пароли, написанные на всех языках, которые локализованы в OS Windows. С помощью программы можно узнать пароль администратора на Windows 7, NT 4.0, Windows Vista, 2003 Server, 2000, XP и Windows 2008 Server.

Согласившись с возможными проблемами мы получаем последнее перед перезагрузкой компьютера окно.

Если же на стадии просмотра всех паролей Вы нажмете "Закрыть", то получите следующее окно. Если речь идет только о том, чтобы узнать пароль Windows, целесообразно не рисковать возможными проблемами, а уже спокойно зайти с вскрытым паролем админа и уже из-под системы выполнить все необходимые изменения над учетными записями. Ну, а если речь идет о разблокировании учетной записи или у нее истек срок действия пароля, то здесь уже ничего не поделаешь.

Смена пароля любого пользователя Windows с помощью ERD Commander

В этом видео уроке показано, как с помощью загрузочного диска ERD Commander 2007 сменить пароль любого пользователя Windows, в том числе и администратора.

Если все же Вам не удалось сменить пароль администратора, то всегда можно вызвать мастера компьютерного сервиса для разблокирования компьютера.

Материал оказался полезным? Кликните кнопку -

Elcomsoft System Recovery поставляется в виде программы, которая позволяет быстро создать загрузочный диск (CD или USB). Вы сможете создавать загрузочные устройства для компьютеров с 32- и 64-разрядные BIOS, а также для всех устройств с 32- и 64-разрядными UEFI.

Система Windows PE предоставляет удобный и привычный интерфейс Windows. Никаких скриптов, никакой командной строки, никаких сложных настроек!

Elcomsoft System Recovery поддерживает широчайший спектр аппаратного обеспечения, включая контроллеры SATA, SCSI и RAID от большинства производителей. Даже в том случае, если используется какой-то экзотический контроллер, вы можете подгрузить необходимый драйвер (обычно поставляется вместе с оборудованием) с CD или флеш-диска.

В отличие от других продуктов, использующих собственный код надёжность и совместимость которого не гарантируется, Elcomsoft System Recovery включает нативную (от Microsoft) поддержку всех файловых систем Microsoft: FAT, FAT32 и NTFS.

Если на компьютере нет данных, зашифрованных с использованием EFS, сброс пароля является самым быстрым и эффективным способом восстановления доступа. Elcomsoft System Recovery позволяет поменять пароль на любой другой – при этом не нужно знать оригинальный. Нет необходимости производить сложные атаки для восстановления пароля (которые к тому же не гарантируют результат) – проще задать новый.

Пароли SYSKEY использовались в старых версиях Windows в качестве дополнительного уровня защиты. Если пароль SYSKEY установлен, он запрашивался на этапе загрузки системы ещё до того, как система запросит пароль от учётной записи пользователя. Пароли SYSKEY активно использовались мошенниками-вымогателями; в результате разработчики Microsoft исключили возможность установки таких паролях в операционных системах Windows 10 и Windows Server 2016 (сборка 1709). Пользователи более старых версий Windows всё ещё могут пострадать от действий мошенников. Elcomsoft System Recovery позволяет найти или сбросить пароли SYSKEY, восстановив работоспособность системы.

Для случаев, если сохраненный в системе пароль всё-таки нужен, в Elcomsoft System Recovery есть средства для его восстановления. При этом не нужно задавать никакие специальные параметры - мы уже подготовили для вас ряд эффективных атак, включающий как перебор «в лоб», так и проверку наиболее часто используемых паролей – при этом они занимают всего несколько минут, а вероятность восстановления очень высока.

Elcomsoft System Recovery знает, где система хранит системные пароли и как они зашифрованы, и в ряде случаев может вытащить их мгновенно.

Если же пароль оказался длинным и сложным, шансы на восстановление всё равно есть. В ESR доступна атака по словарю, позволяющая использовать любой словарь (к примеру, содержащий пароли пользователя с других устройств) и до 4 уровней мутаций.

В сложных случаях программа позволяет извлечь хэши паролей (как для локальных пользователей, так и для пользователей в домене, т.е. из базы Active Directory) и сохранить их в файле, чтобы потом можно было провести более продвинутые атаки уже на другом компьютере. Мы рекомендуем использовать для этого наше решение – мощный инструмент, масштабируемый на сети из тысяч компьютеров, с аппаратным ускорением с использованием видеокарт NVIDIA.

В Windows 8 появилась возможность авторизоваться онлайн -- с использованием учетной записи Microsoft (Live!); этот же механизм теперь активно используется и в Windows 10. Аутентификация происходит на серверах Microsoft; однако, в Elcomsoft System Recovery есть возможность подменить сохраненный в системе хэш пароля для таких учетных записей и временно переключить для них аутентификацию на локальную.

В дополнение к сбросу пароля, в продукте есть возможность экспортировать хэши паролей таких учетных записей, что дает возможным (в точности как для локальных записей) восстановить оригинальные пароли (например, с помощью Elcomsoft Distributed Password Recovery . Имея пароль к учетной записи Microsoft, появляется возможность доступа к другим сервисам Microsoft, привязанным к данной учетной записи: Skype, Hotmail, OneDrive и другим. Кроме того, появляется и доступ к облачным резервным копиям Windows Phone и Windows 10 Mobile, детальной информации о пользователе, списку привязанных устройств (включая их текущее местоположение), а в некоторых случаях и к истории посещений, закладкам, введенным в браузере данным, и даже сохраненным паролям к онлайн-сервисам и социальным сетям. Наконец, в учетной записи может храниться резервный ключ восстановления для дисков, зашифрованных с помощью BitLocker.

Elcomsoft System Recovery создаёт резервные копии всех системных файлов, в которых производятся изменения – при необходимости можно будет откатиться назад, вернув систему в исходное состояние.

Видео о продукте