0

こんにちは、レジストリ値を読み取る前に、Windows がレジストリ値の整合性チェックをどのように実行するのか疑問に思っています。

Windows レジストリでキャッシュされたドメイン資格情報を変更しているときに、これらの値を次のキー HKEY_LOCAL_MACHINE\SECURITY\CACHE\NL$1 ... NL$10 から取得しました。

NL$KM キー値でデコードし、保存されたパスワード ハッシュをダンプしました。そして、ハッシュを自分の新しく生成されたハッシュに変更したいと思います。しかし、Windowsは少しトリッキーで、検証のために最終的なチェックサム検証を追加しましたが、よくわかりません。したがって、システムがドメインに接続されていないときに、ハッシュを変更し、システムをオフラインで動作させる方法はあります。

これを行うためのコードは次のとおりです。

キャッシュの暗号化または復号化を行う方法は、Windows OS のバージョンによって異なります

int cryptData(LPBYTE in,LPBYTE out,DWORD dataSize,CRYPT_KEYS *keys,CRYPT_TYPE cType) {
 RC4_KEY rc4_ctx;
 AES_KEY aes_ctx;
 BYTE aes_iv[16];

 RtlMoveMemory(aes_iv,keys->aes_iv,sizeof(keys->aes_iv));

 switch(cType) {
  case ENCRYPT:
   if(keys->version<6) {
    HMAC(EVP_md5(),keys->nl$km,sizeof(keys->nl$km),keys->hmac_message,sizeof(keys->hmac_message),keys->rc4_key,NULL);
    RC4_set_key(&rc4_ctx,MD5_DIGEST_LENGTH,keys->rc4_key);
    RC4(&rc4_ctx,dataSize,in,out);
   }
   else {
    AES_set_encrypt_key(keys->nl$km,128,&aes_ctx);
    AES_cbc_encrypt(in,out,dataSize,&aes_ctx,aes_iv,AES_ENCRYPT);
   }    
   break;
  case DECRYPT:
   if(keys->version<6) {
    HMAC(EVP_md5(),keys->nl$km,sizeof(keys->nl$km),keys->hmac_message,sizeof(keys->hmac_message),keys->rc4_key,NULL);
    RC4_set_key(&rc4_ctx,MD5_DIGEST_LENGTH,keys->rc4_key);
    RC4(&rc4_ctx,dataSize,in,out);
   }
   else {
    AES_set_decrypt_key(keys->nl$km,128,&aes_ctx);
    AES_cbc_encrypt(in,out,dataSize,&aes_ctx,aes_iv,AES_DECRYPT);
   }
   break;
  }
return 0;

}

新しいパスワード ハッシュを生成するには: [FYI: 信頼できる]

 HashGen hash(username,password,this->getOSVersion());

古いパスワード ハッシュを新しいパスワード ハッシュに置き換えて、再度暗号化します。

 RtlMoveMemory(decipheredData,hash.getHashDigest(),NTLM_HASH_SIZE);
 RtlZeroMemory(cipheredData,cachedAccount->cacheSize);

 cryptData(decipheredData,cipheredData,cachedAccount->cacheSize,&keys,ENCRYPT);
 RtlMoveMemory(cachedAccount->cache+96,cipheredData,cachedAccount->cacheSize-96);

それらをすべてレジストリに書き戻します。

 HKEY    hOpenedKey;
 DWORD   status,nMaxLength; 
 if( ERROR_SUCCESS == RegOpenKeyEx(HKEY_LOCAL_MACHINE,L"security\\cache",0,KEY_WRITE,&hOpenedKey) ) {
  int status = RegSetValueEx(hOpenedKey,L"nl$1",0,REG_BINARY,cachedAccount->cache,cachedAccount->cacheSize ); 
  if( status != ERROR_SUCCESS ) { 
   printf("cache Update failed ...");
   RegCloseKey( hOpenedKey );
  }
  else {
   RegCloseKey( hOpenedKey );
   printf("cache Updated successfully ...");
  }
 }
4

1 に答える 1

1

unenc セクションと末尾に 1 つずつ、2 つのチェックサムがあります。

于 2014-12-19T21:53:07.487 に答える