Windows SAM文件与NTLM Hash提取解密实战：从原理到防御

1. 项目概述：从SAM文件到NTLM Hash的攻防实战

在Windows系统的安全领域，本地用户凭证的存储机制一直是一个核心且敏感的话题。无论是渗透测试人员进行授权评估，还是系统管理员进行应急响应，理解并掌握如何从Windows系统中提取和解密用户密码哈希（Hash）都是一项至关重要的技能。这不仅仅是攻击者的“武器库”，更是防御者进行安全加固和事件溯源必须了解的“内功心法”。

本次实战的核心目标，是深入Windows 10系统的“心脏地带”——SAM文件，完整地走一遍从物理文件获取到最终还原出NTLM Hash的每一步。NTLM Hash是Windows网络认证的基石，它并非明文密码，而是密码经过特定算法（NT LAN Manager）处理后的固定长度字符串。系统在验证密码时，会将用户输入的密码计算成Hash，再与存储的Hash进行比对。因此，获取了Hash，在某种程度上就等于掌握了对应账户的“钥匙”，可以用于离线破解（如彩虹表、暴力破解）或在特定场景下进行“哈希传递”攻击。

整个过程可以形象地比喻为打开一个层层嵌套的保险箱。最外层的保险箱是操作系统本身的访问权限，我们需要绕过它拿到SAM和SYSTEM这两个核心文件。打开后，里面是一个用“系统密钥”加密的小盒子（即SAM数据库）。我们用SYSTEM文件里的信息配出“系统密钥”打开这个小盒子，发现里面每个用户的密码（NTLM Hash）还被各自的“用户锁”（基于RID等）再次锁住。最终，我们需要用正确的“钥匙”序列，一层层解开这些锁，才能拿到最终的NTLM Hash。

重要提示：本文所有技术内容仅限用于授权的安全测试、教育培训及个人在完全可控的实验室环境（如虚拟机）中进行学习研究。未经授权对他人系统进行此类操作是非法行为，将承担严重的法律后果。

1.1 核心概念解析：SAM、NTLM Hash与Syskey

在开始动手之前，我们必须先厘清几个核心概念，明白我们要对付的究竟是什么。

SAM文件 ：全称Security Account Manager，即安全账户管理器。它是一个存储在注册表 HKEY_LOCAL_MACHINE\SAM 下的数据库文件，物理位置通常为 C:\Windows\System32\config\SAM 。这个文件负责存储本地所有用户的账户信息，包括用户名、RID（相对标识符）以及至关重要的、经过加密的用户密码哈希。由于它的敏感性，在系统运行时，该文件被系统进程独占锁定，无法直接读取或复制。

NTLM Hash ：这是Windows用于网络认证的密码哈希格式。当你输入密码“P@ssw0rd”时，系统会将其转换为Unicode格式，然后通过MD4算法计算出一个16字节（32位十六进制字符）的哈希值，例如 8846F7EAEE8FB117AD06BDD830B7586C 。这个哈希值就是NTLM Hash。系统在认证时，对比的是哈希值，而非明文密码，这在一定程度上提升了安全性。

Syskey ：从Windows NT 4.0 SP3引入的安全机制，被称为“SAM数据库加密密钥”。它的引入是为了给SAM文件中的数据增加一层额外的加密保护。Syskey本质上是一个128位的密钥，它被加密后拆分存储在同目录下的 SYSTEM 注册表文件（对应 HKEY_LOCAL_MACHINE\SYSTEM ）中。 这是整个解密链条的第一个关键点 ：要解密SAM中的数据，你必须同时拥有SAM文件和SYSTEM文件。单独一个SAM文件是无法解密的，因为它缺少了打开第一道锁的“Syskey”。

RID ：相对标识符，是每个用户账户的唯一数字ID。例如，内置管理员账户的RID是500，普通用户通常从1000开始递增。在解密用户哈希时，RID是计算用户专属解密密钥的重要组成部分。

理解了这些，我们的任务路径就清晰了：获取锁定的SAM和SYSTEM文件 -> 从中提取出加密数据 -> 利用SYSTEM文件还原出Syskey -> 用Syskey和其他参数解密出每个用户的NTLM Hash。

2. 实战环境准备与文件获取

理论清晰后，我们进入实战环节。第一步，也是最具挑战性的一步：如何获取被系统锁定的SAM和SYSTEM文件。

2.1 环境搭建：创建安全的实验靶机

强烈建议在虚拟机中进行所有操作 。我使用的是VMware Workstation，安装了一个纯净的Windows 10专业版虚拟机。这样做有几个好处：一是操作完全隔离，不会影响宿主机；二是可以方便地创建快照，随时回滚到操作前的状态；三是可以模拟“离线”环境，即关闭虚拟机后对虚拟磁盘文件进行操作。

在虚拟机中，我创建了两个测试用户：

• AdminUser : 密码设置为 P@ssw0rd123! ，这是一个强密码，用于后续验证解密出的Hash是否正确。
• TestUser : 密码设置为 123456 ，这是一个弱密码，用于演示在线破解的容易程度。

实操心得 ：虚拟机快照是你的“后悔药”。在进行关键步骤（如尝试修改注册表、加载hive）之前，务必创建一个快照。一旦操作失误导致系统无法启动，可以瞬间恢复。

2.2 绕过系统锁定：多种文件提取方法详解

在系统运行时， C:\Windows\System32\config\ 目录下的SAM、SYSTEM等文件被系统内核独占锁定，常规的复制粘贴会提示“文件正在被使用”。我们需要用一些“技巧”来获取它们。

2.2.1 方法一：利用注册表备份与卷影副本（推荐）

这是最安全、对系统影响最小的方法，利用了Windows Volume Shadow Copy Service（卷影复制服务）。

1. 以管理员身份打开命令提示符（CMD）或PowerShell 。
2. 创建卷影副本 ：执行以下命令，为C盘创建一个快照点。

   vssadmin create shadow /for=C:
   

   命令成功后会返回一个影子副本的ID（如 {xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx} ）和存储位置（如 \\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy1 ）。
3. 从卷影副本中复制文件 ：

   copy \\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy1\Windows\System32\config\SAM C:\Temp\SAM
   copy \\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy1\Windows\System32\config\SYSTEM C:\Temp\SYSTEM
   

   这里将文件复制到了 C:\Temp 目录，你可以指定任何有写入权限的路径。
4. 删除卷影副本（清理） ：

   vssadmin delete shadows /for=C: /quiet
   

为什么这种方法最稳妥？ 因为它不直接接触被锁定的原始文件，而是操作其在一个时间点上的“影子”，完全避免了因文件占用导致失败或系统异常的风险。这是专业渗透测试和取证中的标准做法。

2.2.2 方法二：从Windows PE或Linux Live环境访问

如果你能接触到物理机，或者虚拟机可以挂载其他启动介质，这是最直接的方法。

1. 准备一个Windows PE启动U盘或一个Linux Live USB（如Kali Linux）。
2. 从该介质启动目标计算机。
3. 此时原系统的Windows并未运行，因此 C:\Windows\System32\config\ 目录下的文件未被锁定，可以直接复制出来。

注意事项 ：此方法需要重启目标系统，可能不适用于所有场景（如需要保持目标在线的测试）。在虚拟化环境中，你可以直接将虚拟硬盘文件（ .vmdk , .vhd ）挂载到另一个虚拟机或宿主机上进行读取。

2.2.3 方法三：使用NinjaCopy等高级工具

对于高级用户，可以使用像 Invoke-NinjaCopy 这样的PowerShell脚本。它利用Windows的NTFS底层API，直接读取磁盘扇区，绕过文件锁定。但这种方法更复杂，且可能被安全软件标记为恶意行为。

踩坑记录 ：早期我曾尝试在运行中的系统里直接使用 reg save 命令备份SAM和SYSTEM的注册表单元，命令如下：

reg save hklm\sam C:\sam.save
reg save hklm\system C:\system.save

理论上这是可行的，但在某些高版本Windows 10/11上，即使以管理员身份运行，执行 reg save hklm\sam 也会直接失败并提示“访问被拒绝”。这是因为微软进一步收紧了对SAM注册表项的实时访问权限。因此， 方法一（卷影复制）是目前最通用可靠的方案 。

成功执行后，你应该在目标目录（如 C:\Temp ）下获得 SAM 和 SYSTEM 两个没有扩展名的文件。这两个文件就是我们后续所有操作的“原料”。

3. 核心工具链选择与初步解析

有了原始文件，我们不需要从零开始编写解析代码，可以借助安全社区成熟的强大工具。选择合适的工具能事半功倍。

3.1 工具选型：Impacket vs Mimikatz

主流工具主要有两个方向：Python系的 Impacket 和Windows原生工具 Mimikatz 。

• Impacket (secretsdump.py) ：这是一个Python脚本集合， secretsdump.py 是其中的明星工具。它完全离线工作，只需要SAM和SYSTEM文件，就能自动完成Syskey计算、数据解析、哈希解密的全流程，并最终输出所有用户的NTLM Hash。 它的优势在于跨平台（Windows/Linux/macOS均可运行）、脚本化、输出清晰，且整个过程在内存中完成，不依赖目标系统状态。 对于本次实战的学习和理解整体流程而言，Impacket是最佳选择。
• Mimikatz ：这是一个功能极其强大的Windows安全工具，以其“从内存中提取明文密码”的能力而闻名。它也可以从SAM/SYSTEM文件中提取哈希（命令如 lsadump::sam /sam:sam.save /system:system.save ）。 它的优势在于与Windows系统深度集成，功能繁多。但劣势是通常需要在本机运行，且会被几乎所有杀毒软件猛烈查杀。

我们的选择 ：为了专注于原理学习和流程复现，我们将主要使用 Impacket 的 secretsdump.py 作为核心工具。同时，为了更深入地理解其内部步骤，我们也会辅以一些手动解析和验证的方法。

3.2 搭建Impacket工作环境

1. 安装Python ：确保你的分析机（可以是宿主机或另一个Linux虚拟机）安装了Python 3.6或更高版本。
2. 安装Impacket ：最方便的方式是通过pip安装。

   pip install impacket
   

   安装完成后， secretsdump.py 等脚本通常会出现在Python的Scripts目录下（如 C:\Python3xx\Scripts\ 或Linux的 ~/.local/bin/ ），你可以将其路径加入系统环境变量，或直接使用绝对路径运行。
3. 准备文件 ：将之前提取的 SAM 和 SYSTEM 文件拷贝到你的分析机的一个工作目录中，例如 ~/hashes/ 。

3.3 首次提取：使用secretsdump.py一键获取

这是最快捷的方式，让我们先看到结果，建立信心。

在分析机的命令行中，切换到存放SAM和SYSTEM文件的目录，执行：

python3 secretsdump.py -sam SAM -system SYSTEM local

或者，如果你已经将 secretsdump.py 加入了PATH：

secretsdump.py -sam SAM -system SYSTEM local

参数解释 ：

• -sam SAM ：指定SAM文件路径。
• -system SYSTEM ：指定SYSTEM文件路径。
• local ：表示这是本地（非域）用户的哈希提取。

执行结果示例 ：

[*] Target system bootKey: 0x8fe6efd4a095a6c46e6d1e4f0a2d3b5a
[*] Dumping local SAM hashes (uid:rid:lmhash:nthash)
Administrator:500:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0:::
Guest:501:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0:::
AdminUser:1001:aad3b435b51404eeaad3b435b51404ee:8846f7eaee8fb117ad06bdd830b7586c:::
TestUser:1002:aad3b435b51404eeaad3b435b51404ee:32ed87bdb5fdc5e9cba88547376818d4:::

结果解读 ：

• 第一行输出了计算出的 bootKey （即Syskey），这是解密的基础。
• 后续每一行对应一个用户，格式为 用户名:RID:LM-Hash:NTLM-Hash 。
• aad3b435b51404eeaad3b435b51404ee 是LM-Hash的空值表示（在现代Windows中默认禁用）。
• 我们关注的是 NTLM-Hash 列。例如， AdminUser 的NTLM Hash是 8846f7eaee8fb117ad06bdd830b7586c ， TestUser 的是 32ed87bdb5fdc5e9cba88547376818d4 。
• 31d6cfe0d16ae931b73c59d7e0c089c0 是空密码的NTLM Hash（常用于默认禁用的Guest等账户）。

至此，我们已经成功完成了从文件到哈希的提取。但 secretsdump.py 像是一个黑盒，一键给出了答案。为了真正理解背后发生了什么，我们需要深入这个黑盒，手动拆解每一步。

4. 手动拆解：深入SAM与SYSTEM文件结构

手动解析能让我们透彻理解 secretsdump.py 自动完成的每一步。我们将扮演一个“数字考古学家”，一步步挖掘文件中的秘密。

4.1 解析SYSTEM文件获取BootKey（Syskey）

Syskey被加密后拆分存储在SYSTEM注册表Hive的特定位置。我们需要加载这个文件并找到正确的数据。

工具准备 ：我们需要一个能离线解析Windows注册表Hive文件的工具。在Linux上，可以使用 reglookup 或 python-registry 库。在Windows上，可以使用微软官方工具 Regedit 来加载Hive，或者使用更专业的 Registry Viewer 、 Offline Registry Parser 。这里以Windows下使用Regedit手动操作为例，因为它最直观。

1. 将SYSTEM文件加载到注册表编辑器 ：

   • 在分析机（Windows）上打开 regedit.exe 。
   • 选中 HKEY_LOCAL_MACHINE 。
   • 点击菜单栏 文件 -> 加载配置单元... 。
   • 浏览并选择你提取的 SYSTEM 文件。
   • 当提示输入“项名称”时，输入一个临时名称，例如 OFFLINE_SYSTEM 。点击确定后，你会在 HKEY_LOCAL_MACHINE 下看到一个名为 OFFLINE_SYSTEM 的新项。

2. 定位并提取BootKey组件 ： BootKey由四个注册表值的数据拼接并经过一个固定置换表（Permutation Matrix）变换后得到。这四个值位于： HKEY_LOCAL_MACHINE\OFFLINE_SYSTEM\ControlSet001\Control\Lsa （注意： ControlSet001 可能是 ControlSet002 等，通常使用 CurrentControlSet 对应的那个，这里加载的Hive会显示为具体的数字）。 在该路径下，你需要找到名为 JD 、 Skew1 、 GBG 、 Data 的二进制值（REG_BINARY）。

3. 记录并拼接数据 ： 依次双击打开这四个值，记录其二进制数据（十六进制表示）。例如，你可能看到：

   • JD : c2 a4 4d fa
   • Skew1 : a2 30 c4 ab
   • GBG : 74 e4 48 2e
   • Data : 73 0b d8 57 将它们按 JD + Skew1 + GBG + Data 的顺序拼接成一个16字节的序列： c2 a4 4d fa a2 30 c4 ab 74 e4 48 2e 73 0b d8 57

4. 应用置换表得到BootKey ： 拼接后的16字节序列并不是最终的BootKey，需要经过一个固定的置换（ShiftArray）才能得到。这个置换表是： [0x8, 0x5, 0x4, 0x2, 0xB, 0x9, 0xD, 0x3, 0xC, 0x0, 0x6, 0x1, 0xA, 0xE, 0xF, 0x7] 这个列表的意思是：最终BootKey的第0个字节，取自拼接序列的第8个字节；第1个字节，取自拼接序列的第5个字节，依此类推。 根据我们的示例序列：

   • 索引0 -> 取原序列第8字节 (0x74)
   • 索引1 -> 取原序列第5字节 (0x30)
   • 索引2 -> 取原序列第4字节 (0xa2)
   • 索引3 -> 取原序列第2字节 (0x4d)
   • 索引4 -> 取原序列第11字节 (0x2e)
   • 索引5 -> 取原序列第9字节 (0xe4)
   • 索引6 -> 取原序列第13字节 (0x0b)
   • 索引7 -> 取原序列第3字节 (0xfa)
   • 索引8 -> 取原序列第12字节 (0x73)
   • 索引9 -> 取原序列第0字节 (0xc2)
   • 索引10 -> 取原序列第10字节 (0xc4)
   • 索引11 -> 取原序列第1字节 (0xa4)
   • 索引12 -> 取原序列第6字节 (0x48)
   • 索引13 -> 取原序列第14字节 (0xd8)
   • 索引14 -> 取原序列第15字节 (0x57)
   • 索引15 -> 取原序列第7字节 (0xab)

   因此，计算出的BootKey为： 74 30 a2 4d 2e e4 0b fa 73 c2 c4 a4 48 d8 57 ab

   这个结果与之前 secretsdump.py 输出的 0x8fe6efd4a095a6c46e6d1e4f0a2d3b5a 在形式上不同，是因为后者是将其转换为一个16进制大整数表示的。我们需要的是这个字节序列。 secretsdump.py 内部正是完成了上述所有步骤。

核心原理 ：为什么BootKey要拆分成四份并经过置换？这是一种简单的混淆（Obfuscation）手段，目的是增加直接从内存或文件中扫描出完整密钥的难度。它不是强加密，而是一种“安全通过隐匿”的思路。

4.2 解析SAM文件获取用户加密数据

接下来，我们同样需要加载SAM文件到注册表编辑器进行分析。

1. 加载SAM Hive ：在 regedit 中，选中 HKEY_LOCAL_MACHINE ，再次点击 文件 -> 加载配置单元... ，选择 SAM 文件，项名称输入 OFFLINE_SAM 。

2. 导航到用户数据位置 ：用户数据主要存储在以下路径： HKEY_LOCAL_MACHINE\OFFLINE_SAM\SAM\Domains\Account\Users 在这个路径下，你会看到许多以十六进制数字命名的子项，例如 000001F4 、 000003E8 、 000003E9 等。这些就是用户的RID，以十六进制表示。 000001F4 转换为十进制是500，对应Administrator账户。我们创建的 AdminUser 的RID是1001，对应十六进制 0x3E9 ，所以子项名是 000003E9 。

3. 分析用户项下的关键值 ：在每个用户RID项下，通常有两个重要的二进制值： F 和 V 。

   • F 值 ：固定长度（80字节），包含用户的一些基本信息，其中就包括我们计算用户解密密钥时需要的 RID （存储在固定偏移处）。它不直接包含密码哈希。
   • V 值 ：可变长度，这是一个复杂的二进制结构，其中包含了经过多次加密后的用户密码哈希（NTLM Hash）。这是我们最终要解密的目标数据所在。

4. 定位加密的NTLM Hash ：在 V 值这个二进制块中，加密的NTLM Hash存储在特定的偏移位置。为了找到它，我们需要解析 V 值的头部结构。 V 值的前 0xCC （204）字节是一个固定大小的数组，描述了后续数据的布局。这个数组的每个条目长12字节，分为3个DWORD（4字节）：偏移量（Offset）、长度（Length）、限定符（Qualifier）。 我们需要找到描述NTLM Hash的那个条目。通常，NTLM Hash对应的是第14个条目（索引13，因为从0开始）。该条目的“偏移量”指出了加密数据在 V 值二进制块中的开始位置，“长度”指出了数据的大小（对于NTLM Hash，通常是16字节的哈希值经过加密后的长度，可能是20字节或更长）。

手动解析 V 值结构非常繁琐且容易出错 。这正是 secretsdump.py 这类工具的价值所在——它内置了解析逻辑，能自动定位并提取出每个用户的加密哈希数据块。

为了继续我们的手动探索，我们假设通过脚本或仔细解析，从 AdminUser （RID=1001）的 V 值中，提取出了加密的NTLM Hash数据块（即 User V[14] ）。假设这个加密数据是（示例值，每次不同）： 01 00 01 00 92 a7 a7 ec 28 9e 26 60 dd f4 8f 54 c9 2d 3f 87

同时，我们从 F 值中提取出该用户的RID（小端序）： E9 03 00 00 （即0x3E9）。

现在，我们拥有了手动解密所需的所有“原料”：

• BootKey (Syskey) : 74 30 a2 4d 2e e4 0b fa 73 c2 c4 a4 48 d8 57 ab
• 加密的NTLM Hash数据 : 01 00 01 00 92 a7 a7 ec ... 3f 87
• 用户RID : E9 03 00 00
• 来自SAM的额外数据 ：在 SAM\Domains\Account 下可能还有一个 F 值，其中包含用于加密的 Salt 和 EncKey （在AES加密方式中使用，我们示例是较旧的RC4方式，但原理类似）。

5. 解密算法深度剖析与手动计算

有了原料，我们来还原 secretsdump.py 自动完成的解密算法。现代Windows默认使用AES加密方式存储哈希，但为了与参考资料中的RC4示例保持一致并简化理解，我们以传统的RC4加密流程进行拆解。AES流程类似，只是加密算法和密钥派生函数不同。

解密过程是加密的逆过程。加密流程大致为： NTLM Hash -> (用RID派生密钥进行)DES加密 -> (用BootKey等派生密钥进行)RC4加密 -> 存入V值

因此，解密流程就是： 从V值取出数据 -> RC4解密 -> DES解密 -> 得到NTLM Hash

5.1 第一步：计算真正的系统密钥（SYSKEY）

BootKey并不是直接用于解密用户哈希的密钥。它需要与一个固定的盐（Salt）和一系列复杂的运算结合，生成最终的“系统密钥”SYSKEY。这个Salt和加密密钥（EncKey）存储在SAM的 Domains\Account\F 值中。

1. 获取Salt和EncKey ：从 OFFLINE_SAM\SAM\Domains\Account\F 的二进制数据中，在特定偏移处可以找到16字节的Salt（例如 6f d9 76 b6 ... ac 9f ）和16字节的EncKey（例如 2c e6 69 b6 ... f2 08 ）。这些偏移量是固定的，工具会知道去哪里找。

2. 计算SYSKEY ：SYSKEY的计算公式如下（以RC4为例）： SYSKEY = RC4(EncKey, MD5( Salt + “!@#$%^&*()qwertyUIOPAzxcvbnmQQQQQQQQQQQQ)(*@&%” + “\x00” + BootKey + “0123456789012345678901234567890123456789” + “\x00” )) 解读 ：

   • 将Salt、一个固定的魔法字符串 !@#$%^&*()qwertyUIOPAzxcvbnmQQQQQQQQQQQQ)(*@&% 、空字符、BootKey、另一个固定字符串 0123456789... 、空字符全部拼接起来。
   • 计算这个拼接后数据的MD5哈希（得到一个16字节的值）。
   • 将这个MD5哈希值作为RC4算法的密钥，对EncKey进行RC4解密（RC4加解密使用相同密钥），得到的结果就是SYSKEY。

   这个过程可以理解为：用BootKey和固定字符串“搅拌”出一个中间密钥（MD5），再用这个中间密钥去解锁存储在SAM中的EncKey，从而得到最终的系统主密钥SYSKEY。

5.2 第二步：计算用户特定的RC4解密密钥

有了SYSKEY，我们还需要为每个用户计算一个特定的密钥，用来解密其 V 值中的加密数据。这个密钥由SYSKEY、用户的RID和另一个固定字符串派生而来。

User_RC4_Key = MD5( SYSKEY + RID (DWORD格式) + “NTPASSWORD” + “\x00” )

解读 ：

• 将SYSKEY、用户的RID（4字节，小端序，如 E9 03 00 00 ）、字符串 NTPASSWORD 、一个空字符拼接。
• 计算这个拼接数据的MD5哈希，结果就是一个16字节的密钥，专用于解密该用户的加密哈希数据。

5.3 第三步：进行RC4解密

现在，使用上一步计算出的 User_RC4_Key 作为RC4密钥，对从 V 值中提取出的加密数据块（即 User V[14] ，例如 01 00 01 00 92 a7 a7 ec ... ）进行RC4解密。

RC4_Decrypted_Data = RC4_Decrypt( Encrypted_Data_From_V, User_RC4_Key )

RC4解密后得到的数据，是经过DES加密后的NTLM Hash（通常是两个8字节的块拼接，因为DES块大小是8字节，NTLM Hash是16字节）。

5.4 第四步：进行DES解密

最后一步是DES解密。DES加密时使用了两个密钥K1和K2，它们都是由用户的RID经过一个固定的算法派生出来的。

1. 从RID派生K1和K2 ：派生算法如参考资料所述，将RID的4字节重复填充并经过位操作，生成两个8字节（64位）的DES密钥K1和K2。这是一个确定性的过程，给定RID就能算出固定的K1和K2。
2. 分别解密 ：将RC4解密后得到的数据（假设为16字节）的前8字节用K1进行DES解密，后8字节用K2进行DES解密。
3. 拼接结果 ：将两个DES解密后的8字节结果拼接起来，就得到了原始的、16字节的NTLM Hash。

NTLM_Hash = DES_Decrypt( First_8_Bytes, K1 ) + DES_Decrypt( Second_8_Bytes, K2 )

至此，我们手动完成了从加密数据到明文NTLM Hash的完整解密流程。可以看到，整个过程涉及多次哈希（MD5）、对称加密（RC4、DES）和密钥派生，环环相扣。 secretsdump.py 等工具的价值就在于，它完美地封装了所有这些复杂的、容易出错的步骤。

6. 哈希的利用：在线解密与密码破解实战

获取NTLM Hash并不是终点，它通常是攻击链中的一环。哈希本身不能直接用于登录，但可以用于“哈希传递”攻击，或者在离线状态下进行破解，尝试还原出明文密码。

6.1 理解“在线解密”的含义

标题中的“在线解密”容易引起误解。这里的“在线”并非指连接互联网，而是指 利用在线的、庞大的密码哈希数据库进行快速比对查询 ，也称为“彩虹表攻击”的在线服务版。因为NTLM Hash是单向的，无法数学反推，只能通过“猜”来破解。如果目标的密码是常见的弱密码，那么其哈希值很可能已经被计算并收录在大型的哈希数据库中（如 CrackStation, Hashes.org, MD5Decrypt 等）。我们只需提交哈希值，数据库就会返回对应的明文密码（如果存在的话）。

6.2 选择合适的在线破解平台

重要警告 ：切勿在公共或不信任的网站上提交真实的、有意义的哈希值，尤其是从工作或他人系统中获取的。这可能导致密码泄露。仅在你自己控制的、用于测试的哈希上进行此操作。

1. CrackStation ：一个著名的免费在线哈希破解网站，使用巨大的彩虹表。支持多种哈希类型，包括NTLM。对于常见的单词、密码组合破解速度极快。
2. Hashes.org ：另一个大型的哈希查询数据库，社区驱动，数据量庞大。
3. MD5Decrypt ：虽然名字叫MD5，但它支持包括NTLM在内的多种哈希类型解密。

操作步骤 ：

1. 复制我们之前为 TestUser 获取的NTLM Hash： 32ed87bdb5fdc5e9cba88547376818d4 。
2. 访问上述任一网站（例如CrackStation）。
3. 在输入框中粘贴哈希值，选择哈希类型为“NTLM”或“md4($pass)”（因为NTLM Hash本质是MD4）。
4. 点击“Decrypt”或“Crack”。
5. 几乎瞬间，网站就会返回结果： 123456 。这是因为 123456 是全球最常用的密码之一，必然存在于任何像样的彩虹表中。

而对于 AdminUser 的哈希 8846f7eaee8fb117ad06bdd830b7586c ，由于密码 P@ssw0rd123! 相对复杂，在这些免费的公共彩虹表中很可能找不到匹配项，会显示“Not found”或类似信息。

6.3 本地暴力破解与字典攻击

当在线查询失败时，就需要进行本地的暴力破解或字典攻击。这需要强大的计算资源（尤其是GPU）和时间。

常用工具 ：

• Hashcat ：业界标杆，支持GPU加速，速度快得惊人。支持多种攻击模式（字典、组合、掩码、暴力等）。
• John the Ripper (JtR) ：另一款老牌且功能全面的密码破解工具，社区版免费。

使用Hashcat进行字典攻击示例 ： 假设我们有一个强大的密码字典文件 rockyou.txt （Kali Linux中自带，包含数百万常见密码）。

hashcat -m 1000 -a 0 8846f7eaee8fb117ad06bdd830b7586c rockyou.txt

• -m 1000 ：指定哈希类型为NTLM。
• -a 0 ：指定攻击模式为字典攻击。
• 最后参数是哈希值和字典文件。

如果字典中包含 P@ssw0rd123! ，Hashcat就会破解成功。对于强密码，可能需要结合规则（-r）进行变形，或使用掩码攻击（-a 3）来尝试所有字符组合，但这将耗费极其漫长的时间。

安全启示 ：这个实战过程清晰地展示了弱密码的危险性。 123456 这样的密码，其哈希在秒级内即可被破解。因此，强制使用长密码、复杂密码并定期更换，是防御此类离线攻击最基本也是最有效的措施。此外，启用BitLocker等全盘加密可以防止攻击者轻易获取SAM和SYSTEM文件，从而从根本上阻断这条攻击路径。

7. 防御策略与缓解措施

作为系统管理员或安全从业者，了解攻击方法是为了更好地防御。针对从SAM文件提取NTLM Hash的攻击，可以采取以下措施：

1. 使用强密码和密码策略 ：这是第一道防线。强制要求长密码（15位以上）、复杂性（大小写字母、数字、符号）并定期更换，能极大增加哈希破解的难度和时间成本，迫使攻击者放弃。
2. 启用Credential Guard (Windows 10/11 Enterprise) ：这是微软提供的强力防护功能。它利用基于虚拟化的安全（VBS）将密钥和哈希隔离在一个安全的、硬件保护的内存区域中，使得像Mimikatz这样的工具无法从LSASS进程内存中读取到哈希或明文密码。 这是缓解传递哈希和提取哈希攻击的最有效技术手段之一。
3. 限制本地管理员权限 ：避免用户使用高权限账户进行日常操作，减少攻击者获取高权限哈希的机会。使用最低权限原则。
4. 启用全盘加密 (BitLocker) ：如果攻击者无法在操作系统运行时提取文件，他们可能会尝试从硬盘直接读取。启用BitLocker可以加密整个操作系统驱动器，防止攻击者通过离线挂载硬盘的方式访问 C:\Windows\System32\config\ 目录下的文件。
5. 应用LSA保护 ：通过设置注册表项 RunAsPPL ，可以保护LSASS进程，使其无法被非受保护进程注入或读取，这能有效防御Mimikatz从内存中抓取密码。
6. 监控与审计 ：启用详细的安全审计日志，监控对注册表 HKLM\SAM 和 HKLM\SECURITY 的访问尝试，监控 vssadmin 等卷影复制工具的异常使用，以及可疑的横向移动行为（如使用获取的哈希进行网络认证）。
7. 定期更新与打补丁 ：保持操作系统和安全软件的最新状态，以防范利用未知漏洞提权或绕过安全机制的工具。

通过这次从Windows 10 SAM文件到NTLM Hash的完整实战旅程，我们不仅掌握了提取和解密的技术细节，更关键的是理解了其背后的安全原理和防御逻辑。真正的安全是建立在“知攻知防”的基础之上的。