秘密情報 / DPAPI / レジストリ / ファイル解析

コマンド全体目次へ戻る

このカテゴリは offline hive / NTDS / DPAPI ファイルの解析と、 remote registry・DRS・VSS からの材料取得です。boot key が SAM、LSA、 NTDS PEK の共通起点です。.reg テキストでは計算できません。

関連する技術

• DPAPI / SAM / LSA / NTDS
• パケット / レジストリ / ESE / NTFS
• DCE/RPC と NDR — rrp、drsuapi、bkrp、gkdi
• Kerberos — Key List、ticket 内 key

取得方法 (Remote Registry、VSS、DRSUAPI、WMI shadow、Key List) と decoder (SAMHashes、LSASecrets、NTDSHashes) を混ぜないでください。

コマンド一覧

コマンド	概要
dpapi.py	DPAPI のマスターキー、資格情報、Vault、CREDHIST などを解析・復号します。一部の操作ではリモートホストから材料を取得します。
dpapidump.py	リモートホストから SYSTEM の DPAPI 資格情報と SCCM クライアントの秘密情報を取得し、DPAPI_SYSTEM 鍵で復号します。
esentutl.py	ローカルの ESE／ESENT データベースからカタログ、ページ、テーブル行を読み取ります。
ntfs-read.py	NTFS ボリュームまたはイメージを読み取り専用で開き、ディレクトリの探索やファイルの抽出を行います。
reg.py	Remote Registry RPC を使い、レジストリの照会・変更・保存と、SAM／SYSTEM／SECURITY hive のバックアップを行います。
registry-read.py	ローカルのレジストリ hive を読み取り専用で開き、キーや値を調べます。SYSTEM hive から boot key も算出できます。
regsecrets.py	Remote Registry 経由で SAM ハッシュと LSA の秘密情報・キャッシュを取得します。NTDS は対象にしません。
samedit.py	ローカルの SAM hive にあるユーザーのパスワードハッシュを直接変更します。SYSTEM hive または指定した boot key を使います。
secretsdump.py	ローカルの hive／NTDS ファイルやリモートホストから、SAM、LSA、NTDS のハッシュと Kerberos 鍵などを抽出します。