Обламывал ли вас когда-нибудь пароль Администратора в Windows? Например, задали вы его при установке системы, с тех пор так ни разу и не вошли в неё как Администратор, пароль за это время успешно забыли, а через годик всё рухнуло и под обычным аккаунтом ни в какую не работает? Что делать, как вспомнить пароль и загрузить Админа? Неужели придётся прицениваться к ретроспективному гипнозу?

К счастью, в случае с Windows XP всё гораздо проще - достаточно давно существуют специальные программы, позволяющие сбросить, то есть обнулить этот пароль. Загружаешь ПК с CD-диска или «флоппика» с программой, пара-тройка минут - и пароля нет. Правда, программы эти либо входят в состав тяжелых и очень дорогих профессиональных пакетов утилит, либо не очень удобны, либо плохо работают с русскими именами аккаунтов, либо не умеют запускаться с более быстрых, чем CD, USB-флешек, не поддерживают «Висту» и Server 2008 и так далее. Меньше всего подобных претензий (разве что, кроме цены), пожалуй, к Elcomsoft System Recovery - специализированному и наиболее мощному средству для сброса паролей Windows от известных отечественных разработчиков, не одну уже собаку съевших на программах подобного рода - всевозможных ломалках-крякалках.

Тут надо особо отметить тот факт, что к крякам в их классическом понимании программа никакого отношения не имеет. Windows она вам не активирует. Речь идёт именно о забытых паролях к учётным записям. И тут всё абсолютно легитимно - Windows устроена таким образом, что если есть физический доступ к компьютеру и его можно загрузить с внешнего носителя, то получить доступ к данным на диске (если они не зашифрованы) - элементарно. Даже если вы придумали пароль длиной с «Войну и мир».

Elcomsoft System Recovery, в отличие от аналогичных программ, полностью поддерживает русский язык - и интерфейс у неё русифицирован, и в именах аккаунтов она русского не боится, и в самих паролях кириллицу воспринимает. Это особенно приятно, если учесть, что короткие и простые пароли программа вообще умеет восстанавливать, для чего предусмотрен специальный режим при её запуске. Так что если вы решили схитрить и в качестве пароля выбрали какое-нибудь русское народное матерное слово, да ещё и написанное кириллицей, то учтите - Elcomsoft System Recovery расколет его за секунды - даже нецензурщина включена в его словари (кроме того, показываются имена учётных записей и отображаются записи с пустыми паролями). Более того, в нашей тестовой системе штатный пароль встроенной «учётки» HelpAssistant вида qH!8KnC7ews35F был взломан неожиданно легко - меньше чем за минуту. А это аж 14 знаков: строчные заглавные буквы, цифры да ещё и восклицательный знак! Честно говоря, я был удивлён - похоже, защита пароля именно этого аккаунта, который по идее должен генерироваться в каждой системе случайным образом, имеет серьёзные проблемы.

Кстати, восстановление исходного пароля вместо его сброса имеет важное значение, так как войдя в систему с «правильным» паролем, вы сможете получить доступ даже к зашифрованным посредством EFS файлам - при сбросе же пароля шифрованные файлы и папки «взламываемой» «учётки» остаются недоступны и, скорее всего, уже навсегда. Так что имейте это ввиду.

Программа прекрасно работает с Windows Vista / Server 2008, и даже загрузочный диск ESR основан на Windows Vista PE, так что интерфейс при загрузке не только русский, но абсолютно «виндовый» и кликабельный. Никаких команд с клавиатуры вводить не придётся. Поддерживаются диски любых типов - при загрузке можно указать папку с драйверами для IDE-/SCSI-/RAID-контроллеров, причём сама эта папка также может быть на любом носителе: хоть на винчестере, хоть на DVD, хоть на USB-флешке. Да и саму программу можно установить на флешку, сделав её загрузочной, и «ломать» пароли уже с неё - а это и быстрее, чем CD, и компактнее.

Работает Elcomsoft System Recovery не только с локальными «учётками», но может обрабатывать и учётные записи Active Directory, причём, кроме такого бонуса, как восстановление коротких паролей, имеет несколько режимов: дамп хэшей паролей для последующего более тщательного (и длительного) восстановления с помощью специальных программ типа SAMInside; бекап и восстановление реестра; редактирование базы SAM; и, собственно, сброс паролей.

Впрочем, тут мы имеем не просто сброс неизвестного или забытого пароля, а возможность его изменения прямо в программе, что, конечно, удобно - иначе всё равно пришлось бы потом загружать Windows и задавать новый пароль уже в ней. Но, кроме этого, можно ещё и менять некоторые свойства учётных записей: например, если «учётка» Администратора у вас отключена, то не поможет даже сброс пароля - войти в систему Админом вы не сможете. Здесь же можно всё это изменить - разблокировать «учётку» или, например, отменить истечение срока действия старого пароля.

Но самый интересная функциональность ждёт админов в режиме редактирования базы SAM - тут можно менять десятки самых разных параметров:

• задать права администратора любой учётной записи,
• менять тип учётных записей,
• выставлять любые параметры пароля,
• смотреть данные по времени последних входа-выхода пользователя в систему и сколько вообще было входов,
• смотреть дату последней попытки ввода неверного пароля,
• менять членство в группах,
• настраивать дни и часы, когда «юзеру» разрешается входить в систему и так далее.

Так что, как видите, программа очень мощная, удобная, и особенно полезна она для системных администраторов, которым частенько после смены места работы приходится обновлять пароли на подопечных системах. И не факт, что предыдущий админ предоставит данные по паролям каждой системы. Впрочем, за такую цену (самая продвинутая Pro-версия стоит под 400 $, самая простая - 50 $) подобную программу легально купит разве что предприятие. Но при такой продвинутости сразу же хочется хоть немного отойти от узкой специализации. К сожалению, ESR явно не хватает возможности работать с реестром и файловой системой, где сбрасывать разрешения тоже иногда требуется. Например, при подчистке следов очередного руткита или при удалении драйвера вроде SPTD из Alcohol 120%. Так что даже если у вас будет под рукой ESR, отказаться от умеющего работать с реестром и файлами на диске, но не столь серьёзного по части учётных записей, конкурента - ERD Commander - всё же не получится.

Сколько бы мы с вами не предупреждали пользователей – они все равно теряли и теряют пароли. В принципе, страшного в этом ничего нет. Существует масса способов смены пароля. Однако иногда нужно не просто сменить пароль, а восстановить его. В первую очередь это необходимо в случае, если пользователь использовал EFS-шифрование и, увы, как обычно, забыл сделать резервную копию. В этом случае вам необходимо именно восстановить пароль.

Рассмотрим несколько программ с помощью которых мы сможем восстановить (сменить) пароль. Вы потеряли (забыли) свой пароль пользователя Windows? Что дальше? На самом деле существует три способа получить доступ к вашей ОС:

1. Правильный (рекомендованный Microsoft) путь
2. Бесплатный, но «грязный» взлом пароля
3. "Элегантный взлом", за который требуется заплатить

Необходимо понимать огромную разницу между восстановлением паролей и их сменой.

Восстановление пароля – это восстановление старого пароля, а смена - это создание нового рабочего пароля не зная старый, оригинальный.

Если вы не используете Windows Encrypting File System (EFS), то для последующего использования ОС и информации практически нет разницы между восстановлением и сменой пароля. Однако в случае использования EFS, вы нуждаетесь именно в восстановлении пароля. В противном случае вы рискуете потерять некоторые файлы.

Вместе с тем, если вы злоумышленник, то восстановить утерянный пароль для вас гораздо важнее чем просто сменить его.

Хотелось бы напомнить неизменный закон компьютерной безопасности:

1. Если у злоумышленника есть неограниченный физический доступ к вашему компьютеру, то это больше не ваш компьютер.

Даже если у вас есть сомнения, то рассмотрев детали методов восстановления (смены) паролей, вы убедитесь в том, что я прав. Рассмотрим возможные методы восстановления (смены) паролей.

Диск сброса пароля

Итак, вы забыли свой пароль Windows. Что далее?

Опытные пользователи скажут, что сменить пароль легко, нужно использовать диск сброса пароля. Однако будем откровенны. Так ли уж много пользователей Windows создают подобный диск и более того, так ли много пользователей знают о том, что такой диск вообще существует?

Если вы не знали, то дополнительным преимуществом создания этого диска является то, что его использование позволит возвратить вам не только доступ к своей системе, но и к файлам, зашифрованным с помощью EFS. Однако помните, что этот способ актуален лишь для Windows 7. Для создания диска сброса пароля вам необходимо:

1. Вставить сменный диск
2. Открыть Панель управления
3. Учетные записи

В случае Windows 8 вам необходимо просто восстановить пароль к вашему адресу Windows Live.

Elcomsoft System Recovery

Elcomsoft System Recovery может быть загружен в виде iso-файла, который должен быть записан на CD или DVD-диск и представляет собой загрузочный диск с Windows PE.

Задачи, решаемые с помощью ESR

• Восстановление или сброс паролей пользователей и администраторов
• Восстановление пароля может обеспечить автоматический доступ к файлам, зашифрованным с помощью EFS.
• Разблокирование и включение отключенных учетных записей пользователей и администраторов.
• Присвоение административных полномочий учетной записи любого пользователя
• Сброс или отключение опции истечения пароля
• Поддержка NTFS
• Графический Windows-интерфейс
• Поддерживаемые ОС:
  • Windows NT 4.0
  • Windows 2000
  • Windows XP
  • Windows Vista
  • Windows 7/8/8.1
  • Windows Server 2003
  • Windows Server 2008
  • Поддерживаются локализованные версии Windows
  • Обнаруживает все установки Windows
  • Позволяет сохранить хэши паролей для дальнейшего исследования

В случае, если у вас на исследуемом ПК нет DVD-привода (а такое на ноутбуках встречается все чаще), вам потребуется создать загружаемый USB-диск .

Создание загрузочного USB-диска

Для создания загрузочного USB-диска вам потребуется каким-либо образом смонтировать ISO-файл и запустить файл EsrBoot. Вам предложат выбрать USB-диск (рис.1)

Рисунок 1 Выберите сменный USB-диск

Как видите, создание загружаемого USB-диска сложностей не представляет.

Работа с ESR

Сразу же после загрузки вам будет предложено согласиться с лицензионным соглашением и выбрать язык интерфейса.

Рисунок 3 Выбор языка интерфейса

Если в вашем ПК используются нестандартные интерфейсы жесткого диска (SerialATA, SCSI, RAID или SAS) вы должны загрузить соответствующий драйвер. Для этого необходимо нажать кнопку «Загрузить драйвер» (рис.4).

Рисунок 4 Выбор диска

Режимы работы

Рисунок 5 Выбор режима работы

• Источник учетных записей
  • Работа с локальными учетными записями (SAM)
  • Работа с учетными записями Active Directory (ntds.dit)
  • Режим работы
    • Изменение паролей и свойств учетных записей
    • Дамп хэшей для дальнейшей расшифровки
    • Восстановление реестра или AD из сохраненной копии
    • Редактор базы SAM
    • Сохранить реестр или AD в архив

Внимание Для того чтобы работать с AD, вы должны использовать ESR на сервере (контроллере домена), работающем под управлением Windows 2000/2003/2008.

Если вы изменили некоторые свойства учетной записи или пароль и хотели откатить изменения, выберите опцию Восстановление реестра или AD из сохраненной копии.

После загрузки выберите пункт «Восстановление системы » (рис.14).

Рисунок 14 Параметры восстановления

После того, как система будет найдена, нажмите «Далее», в открывшемся окне (рис.15) выберите «Командная строка».

В окне командной строки наберите следующие команды:

Copy d:windowssystem32sethc.exe d:

Copy d:windowssystem32cmd.exe d:windowssystem32sethc.exe

Где d: - имя вашего раздела жесткого диска, на котором находится папка Windows. Учтите, если вы будете проводить данную операцию как и я, на компьютере с Windows 7 Ultimate или Windows 7 Enterprise с заранее подготовленным к шифрованию разделом, то ваш диск тоже будет обозначаться буквой D:.

После этого перезагрузите компьютер и, когда в окне потребуется ввести пароль пользователя, просто нажмите клавишу Shift 5 раз. Откроется окно командной строки, ведь вы заменили утилиту, отвечающую за «залипание» клавиш на файл, вызывающий командную строку.
В открывшемся окне командной строки (экран 3) введите:

Net user vlad anypassword, где vlad - имя пользователя, которому вы хотите сменить пароль, anypassword – новый пароль данного пользователя.

Рисунок 15 Выбор средства восстановления системы

Рисунок 16 Смена пароля пользователя

Copy d: sethc. exe d: windowssystem32 sethc. exe

Перезагрузите компьютер, воспользовавшись диском восстановления и снова выберите командную строку, чтобы вернуть сделанные ранее изменения (кроме пароля).

Снова перезагрузите компьютер и зарегистрируйтесь с помощью учетной записи, для которой вы меняли пароль, воспользовавшись новым паролем.

Смена пароля пользователя в Windows 8 с помощью диска восстановления системы

Если на вашем компьютере установлена операционная система Windows 8, действия будут аналогичные. Вы должны создать диск восстановления. Для этого нажмите комбинацию клавиш Alt+X для вызова панели управления и далее выберите «Восстановление Windows 7» – «Создание диска восстановления». Или же воспользуйтесь установочным диском Windows 8. Далее нужно загрузиться с полученного диска восстановления и выбрать параметр «Восстановление системы » (рис.17).

Рисунок 17 Восстановление Windows 8

Загрузившись, в открывшемся окне следует выбрать пункт «Диагностика» (рис.18).

Рисунок 18 Диагностика в Windows 8

В окне «Дополнительные параметры» выбрать пункт «Командная строка» (рис.19).

Рисунок 19 Окно «Дополнительные параметры» в Windows 8

Учтите, что по умолчанию ваш диск с операционной системой называется D:, так как С: - служебный диск емкостью 350 Мбайт, предназначенный для задач шифрования. Для смены пароля пользователя необходимо ввести следующие команды в окне командной строки:

Cd windows

Cd system32

Copy cmd.exe cmd.exe.original

Copy Utilman.exe Utilman.exe.original

Del Utilman.exe

Ren cmd.exe Utilman.exe

Shutdown –r –t 00

В открывшемся окне (рис.20) щелкните мышью на указанном красной стрелкой значке. Загрузится окно командной строки. В открывшемся окне (рис.21) введите следующую команду:

Net user vlad *

Рисунок 20 Окно ввода пароля в Windows 8

Рисунок 21 Смена пароля в Windows 8

После этого введите пароль и повторите его ввод.

Перезагрузите компьютер с помощью диска восстановления. Перейдите, как указано выше, в окно командной строки и введите следующие команды:

Cd windows

Cd system32

Del Utilman.exe

Ren Utilman.exe.original Utilman.exe

Ren cmd.exe.original cmd.exe

Shutdown –r –t 00

Так вы сможете сменить (удалить) пароль. Однако после этого файлы, зашифрованные с помощью EFS, читаться у вас не будут.

Стандартная ситуация - админ заблокировал многие функции пользователя компьютера. Что же делать, как сбросить или узнать пароль администратора Windows ? Для сброса или смены пароля администратора или пользователя Windows предлагается множество вариантов, одним из которых являются средства программы ERD Commander. Однако, Ваше вмешательство в безопасность компьютера будет вскрыто сразу при очередном посещении ПК системным администратором. Гораздо привлекательным является вариант вскрытия пароля администратора, вход в Windows под его паролем, внесение нужных изменений или снятия нужной информации, доступной только админу компьютера и благополучный выход из системы без следов своего посещения. Программа Elcomsoft System Recovery Professional прекрасно справляется с этими и многими другими функциями, касающимися учетных записей админов и пользователей. С помощью нее можно узнать пароль администратора Windows 7, XP, 2000, Server (сервер) 2003 и 2008. Программа платная, однако не сложно найти ее "определенную" версию в сети. Давайте рассмотрим пошагово, как можно узнать пароль Windows с ее помощью, так же другие ее возможности.

Снимаем пароль Windows - Elcomsoft System Recovery Professional

Снимаем пароль Windows следующим образом. Потратив некоторое время на поиск образа программы Elcomsoft System Recovery Professional, мы его скачали и записали на диск . Далее настраиваем BIOS на загрузку с привода и загрузившись с диска получаем первое окно. Выбираем нужный язык, соглашаемся с условиями лицензии и двигаемся вперед "ok"

Здесь, скорее всего, в большинстве случаев ничего делать не надо и мы продолжаем движение "Далее".

Так как наша цель - узнать пароль Windows, то здесь мы оставляем все без изменений и идем к следующему пункту.

На этой стадии нам предлагается выбрать директорию Windows системы с которой мы работаем. Если на компьютере в разных логических разделах или на одном установлено несколько операционных систем, то нам необходимо знать, какая именно относится к нашей системе (Windows, Windows 0 и т.д.). Но в большинстве случаев установлена одна операционная система, поэтому и выбора не будет. Оставляем настройки по умолчанию и переходим, собственно к самому интересному.

После непродолжительной работы программы по определению паролей, статусов и прочих атрибутов учетных записей, программа выдаст нам окно с паролями всех пользователей и администратора, исследуемой операционной системы Windows. Здесь мы можем переписать все интересующие пароли и выйти из программы - "Закрыть". Однако, при желании поработать с какой-либо учетной записью, нам нужно ее выделить и нажать "Далее", перейдя к следующему окну редактирования параметров учетной записи.

В этом окне видно, какие действия мы можем предпринять для изменения параметров и пароля учетной записи администратора (пользователя): изменение пароля, поднятие привилегии учетной записи до статуса админа, разблокирование учётной записи, имеющих статус "disabled" или "locked". Программа поддерживает любые файловые системы, определяет пароли, написанные на всех языках, которые локализованы в OS Windows. С помощью программы можно узнать пароль администратора на Windows 7, NT 4.0, Windows Vista, 2003 Server, 2000, XP и Windows 2008 Server.

Согласившись с возможными проблемами мы получаем последнее перед перезагрузкой компьютера окно.

Если же на стадии просмотра всех паролей Вы нажмете "Закрыть", то получите следующее окно. Если речь идет только о том, чтобы узнать пароль Windows, целесообразно не рисковать возможными проблемами, а уже спокойно зайти с вскрытым паролем админа и уже из-под системы выполнить все необходимые изменения над учетными записями. Ну, а если речь идет о разблокировании учетной записи или у нее истек срок действия пароля, то здесь уже ничего не поделаешь.

Смена пароля любого пользователя Windows с помощью ERD Commander

В этом видео уроке показано, как с помощью загрузочного диска ERD Commander 2007 сменить пароль любого пользователя Windows, в том числе и администратора.

Если все же Вам не удалось сменить пароль администратора, то всегда можно вызвать мастера компьютерного сервиса для разблокирования компьютера.

Материал оказался полезным? Кликните кнопку -

Elcomsoft System Recovery Professional - До 40% обращений в службы технической поддержки связаны с забытыми или утерянными паролями для входа в систему. Восстановите или замените пароль легко и быстро! Нет необходимости переформатировать диск или переустанавливать Windows. Просто загрузите компьютер с готового к использованию диска, и разблокируйте вашу систему буквально за несколько минут! Elcomsoft System Recovery позволяет мгновенно сбросить пароли к учётным записям, в то же время включая ряд атак, с помощью которых в ряде случаев за короткое время могут быть найдены оригинальные пароли.

**********************************************************************

" Up to 40% of support calls are related to forgotten passwords and locked logins. Recover or reset Windows system passwords easily and automatically! There is no need to format the disk or reinstall Windows. Just boot from the CD and unlock your system in a matter of minutes!
Elcomsoft System Recovery can reset account passwords instantly, while supporting full-scale attacks to recover the original passwords.
Elcomsoft System Recovery unlocks locked and disabled user and administrative accounts in Windows 7 (32 bit), Windows 7 (64 bit), Windows Vista (32 bit), Windows Vista (64 bit), Windows Server 2003/2008, Windows 2000, Windows XP, Windows 98."

Features and Benefits
Ready to boot with Windows PE (Preinstallation Environment) licensed from Microsoft
Recovers or resets user and administrative passwords
Original password recovery may be possible to provide automatic access to EFS-encrypted files
Unlocks and enables user and administrative accounts
Assigns administrative privileges to any user account
Resets or disables password expiry options
Broad hardware compatibility and genuinely native FAT and NTFS support
Genuine Windows GUI for convenient operation
Supports Windows 7 (32 bit), Windows 7 (64 bit), Windows Vista (32 bit), Windows Vista (64 bit), Windows Server 2003/2008, Windows 2000, Windows XP, Windows 98
Supports US and localized versions of Windows and multilingual user names and passwords
Detects all Windows installations automatically
An option to dump hashed passwords from SAM/SYSTEM files or Active Directory database for further analysis and off-line password recovery

Ready to Boot
Elcomsoft System Recovery comes ready to boot from a CD, and makes it easy to create a bootable USB Flash Drive. No need to create a bootable disc and no need to reach for a Windows setup disks to make one! ElcomSoft has licensed the Windows Preinstallation Environment (Windows PE) directly from Microsoft, allowing the company to distribute the completely working bootable Windows environment based on Windows Vista.

Immediate Assistance
Instantly download an ISO image for immediate assistance.

Easy to Operate
Forgot administrator password? The Windows PE environment offers complete access to the familiar Windows graphical user interface. No command line scripts and no poor imitations of the Windows GUI!

Boot Elcomsoft System Recovery from a CD-ROM or USB Flash Drive and fix all of your password access problems throughout the system.

Broad Compatibility
Elcomsoft System Recovery bootable environment supports a variety of hardware components, including the latest SATA, SCSI and RAID controllers from Adaptec, Intel, LSI, NVIDIA, Promise, SiS, and VIA. If you require a specific driver to support an exotic piece of hardware, you can easily specify one on a floppy drive, flash memory card or CD.

Unlike the various emulation environments, Elcomsoft System Recovery is genuinely compatible with the latest revisions of Microsoft file systems, including the latest versions of the FAT and NTFS.

Возможности Elcomsoft System Recovery
Готов к загрузке – базируется на системе Windows (Preinstallation Environment), лицензированной у Microsoft
Восстановление или сброс паролей к учётным записям как Администратора, так и всех других пользователей
Восстановление оригинальных паролей (в некоторых случаях), обеспечивающее доступ к данным, зашифрованным с использованием EFS
Разблокирование учётных записей (имеющих статус locked или disabled)
Поднятие привилегий (до уровня администратора) для любой учётной записи
Доступ к учётным записям, у которых истёк срок действия пароля
Поддержка широкого спектра аппаратного обеспечения; нативная поддержка файловых систем FAT, FAT32 и NTFS
Привычный графический интерфейс Windows – легко и удобно использовать
Поддержка всего спектра операционных систем: Windows 2000, Windows 7 (32-битная и 64-битная версии), Windows 98, Windows Server 2003/2008, Windows Vista (32-битная и 64-битная версии), Windows XP
Поддержка американской, русской и других локализованных версий Windows; работа с именами пользователей и паролями на всех языках
Автоматическое определение всех установленных копий Windows
Возможность выгрузки хэшей паролей (для дальнейшего анализа и восстановления) как из локального реестра, так и из Active Directory

Готов к загрузке
Elcomsoft System Recovery поставляется в виде загрузочного диска, который можно использовать немедленно; при необходимости можно создать загрузочный USB-диск. Нет необходимости записывать диск самостоятельно; доступ к дистрибутиву Windows тоже не нужен.
Компания «Элкомсофт» лицензировала систему Windows Preinstallation Environment (Windows PE) у Microsoft

Немедленная помощь
Получите загрузочный диск экспресс-почтой, или если помощь нужна немедленно – скачайте ISO-образ диска.

Легко использовать
Система Windows PE предоставляет удобный и привычный интерфейс Windows. Никаких скриптов, никакой командной строки, никаких сложных настроек!
Просто загрузите компьютер с CD или флеш-диска Elcomsoft System Recovery и решите все проблемы, связанные с доступом в систему.

Широкая совместимость
Elcomsoft System Recovery поддерживает широчайший спектр аппаратного обеспечения, включая контроллеры SATA, SCSI и RAID от большинства производителей: Adaptec, Intel, LSI, NVIDIA, Promise, SiS и VIA. Даже в том случае, если используется какой-то экзотический контроллер, вы можете подгрузить необходимый драйвер (обычно поставляется вместе с оборудованием) с дискеты, CD или флеш-диска.

В отличие от других продуктов, использующих собственный код надёжность и совместимость которого не гарантируется, Elcomsoft System Recovery включает нативную (от Microsoft) поддержку всех файловых систем Microsoft: FAT, FAT32 и NTFS.

Размер | Size: 142.45 Mb
ОС | OS: Windows 2000/XP/Vista/7
Официальный сайт | Home Page: www.elcomsoft.com
Интерфейс | Interface: Multilingual (в т.ч. русский)
Лекарство: DOA

Не так давно мне принесли чужой ноутбук, хозяин которого забыл пароль входа в свою учетную запись Microsoft Account. С одной стороны – ничего страшного, можно сменить on-line. Но как оказалось, по какой-то неизвестной мне причине сделать он этого не смог и попросил меня просто сбросить его пароль на ноутбуке. Достаточно тривиальная задача, я был в этом уверен, ведь рано или поздно всем нам приходится сталкиваться с тем, что нужно восстанавливать забытый или утерянный пароль для входа в систему.

Вместе с тем я столкнулся с сложностью ы том, что на компьютере используется UEFI и диск уже отформатирован именно под такую загрузку.

То есть вроде как существует целый ряд инструментов, а воспользоваться мне нечем, тем более что инструмент, к которому я привык — Elcomsoft System Recovery, в тот момент еще не поддерживал загрузку и работу с UEFI.

Зная, что это в принципе достаточно широко известная проблема, тем более что до 40% обращений в службы технической поддержки связаны с забытыми или утерянными паролями для входа в систему, я решил обратиться к разработчикам в компанию Elcomsoft. В ответ мне была любезно предоставлена для тестирования новая версия продукта. Что сказать?

С помощью данного приложения вы сможете мгновенно вернуть доступ путем сброса паролей или разблокирования учетных записей, поддерживая как локальные учетные записи (включая Microsoft accounts), так и записи на контроллере домена. Но главное, что сегодня этот инструмент уже может обращаться с UEFI. На всякий случай повторим что значит эта аббревиатура.

Что такое UEFI

Система BIOS, разработанная свыше тридцати лет назад, уже лет пятнадцать считается реликтом, однако достаточно долго не было соответствующих альтернатив.

Система UEFI (Unified Extensible Firmware Interface) появилась в далеком 1998 году как Intel Boot Initiative. В 2005 году был специально создан консорциум UEFI Forum, основными членами которого помимо Intel, стали AMD, Apple, IBM, Microsoft и ряд других.

В отличие от загрузочного кода BIOS, который всегда жестко прошит в соответствующем чипе на системной плате, куда более обширные по размеру коды UEFI находятся в специальной директории /EFI/, место физического расположения которой может быть самым разнообразным - от микросхемы памяти на плате или раздела на жестком диске компьютера и до внешнего сетевого хранилища.

Стандартно, разметка диска при применении UEFI выглядит следующим образом.

Рисунок 1 Создание структуры разделов в разметке GPT на ПК с UEFI

Рисунок 2 Диск 0 Разметка под GPT

Для нас основной проблемой будет то, что загрузочный диск под Elcomsoft System Recovery просто не увидит данный жесткий диск.

Именно поэтому была создана новая версия ESR с поддержкой UEFI. Фактически, если исходить из набора функций, мы имеем перед собой все тот же набор, но уже созданный на базе загрузки под Windows 10 с поддержкой UEFI.

Elcomsoft System Recovery позволяет сбросить пароли к учётным записям, в то же время включая ряд атак, с помощью которых в ряде случаев за короткое время могут быть найдены оригинальные пароли.

Elcomsoft System Recovery разблокирует учётные записи Администратора и других пользователей в системах Windows Windows 7, Windows 8/8.1, Windows 10, а также множество устаревших систем, включая Windows Vista, Windows XP, Windows 2000 и Windows NT, включая все серверные редакции. Поддерживаются как 32-битные, так и 64-битные версии.

Как это работает?

Для создания EsrBoot диска вы должны запустить соответствующее программное обеспечение, в котором вам предложат либо создать загрузочную флешку либо iso-образ загрузочного диска.

Рисунок 3 Создание загрузочной флешки

По окончании форматирования и копирования вы получите загрузочную флешку.

После загрузки, в случае если вам необходим драйвер для IDE/SCSI/RAID жестких дисков, вы можете его загрузить.

Рисунок 4 Загрузите необходимый драйвер

После загрузки вы должны выбрать с какой учетной записью (локальной или доменной) вы хотите работать.

Рисунок 5 Выбор дальнейших действий

Для моей задачи потребовалось управление локальной учетной записью. Поэтому я сохранил резервную копию SAMи сохранил для будущей расшифровки дамп хэша SAM.

А после этого просто сбросил пароль учетной записи, вернее заменил его другим, ведь уверенно знал, что EFS-шифрование хозяин не применял.

Рисунок 6 Изменение SAM

Рисунок 7 Изменить пароль

Рисунок 8 Редактор базы SAM

Естественно необходимо вспомнить о возможностях данного ПО.

Возможности Elcomsoft System Recovery

• Готов к загрузке – базируется на системе Windows PE (Preinstallation Environment)
• Восстановление или сброс паролей к учётным записям как Администратора, так и всех других пользователей
• Восстановление оригинальных паролей (в некоторых случаях), обеспечивающее доступ к данным, зашифрованным с использованием EFS
• Разблокирование учётных записей (имеющих статус locked или disabled)
• Поднятие привилегий (до уровня администратора) для любой учётной записи
• Доступ к учётным записям, у которых истёк срок действия пароля
• Поддержка широкого спектра аппаратного обеспечения; нативная поддержка файловых систем FAT, FAT32 и NTFS
• Привычный графический интерфейс Windows – легко и удобно использовать
• Поддержка всего спектра операционных систем вплоть до Windows 10 и Windows Server 2012
• Поддержка американской, русской и других локализованных версий Windows; работа с именами пользователей и паролями на всех языках
• Автоматическое определение всех установленных копий Windows
• Возможность выгрузки хэшей паролей (для дальнейшего анализа и восстановления) как из локального реестра, так и из Active Directory

Если на исследуемом ПК нет данных, зашифрованных с помощью EFS, то самым простым вариантом будет сброс пароля для восстановления доступа. Проще всего сменить пароль для данной учетной записи, более того, при этом вам не нужно знать оригинальный. А кроме того нет необходимости проводить атаки для восстановления пароля, ведь это может быть, как затратным по времени и ресурсам, так и не гарантировать результат вообще. Гораздо проще задать новый. Еще раз повторю, у вас на ПК не должно быть EFS-шифрования.

Если же вам по какой-то причине нужен сохраненный пароль, то в составе ESR есть средства для восстановления. Более того, вы не нуждаетесь в том, чтобы задавать специальные параметры. ПО умеет проводить как простой перебор возможных паролей, так и проверку по спискам наиболее часто используемых паролей. Если же атака не удалась, вы сможете извлечь хеши паролей и сохранить их для последующего исследования.

Кроме того, необходимо знать, что Elcomsoft System Recovery позволяет не только восстанавливать или сбрасывать пароли, но поможет и при некоторых других проблемах, связанных с доступом в систему. Например:

• Присвоить привилегии Администратора учётной записи любого пользователя
• Разблокировать учётную запись (которая была явно заблокирована Администратором, или после нескольких неудачных попыток ввода пароля)
• Сбросить или поменять пароль к учётной записи пользователя
• Показать список всех учётных записей в системе, выделив те, у которых есть привилегии Администратора
• Показать список привилегий пользователя
• Найти учётные записи с пустым паролем
• Мгновенно восстановить пароли к некоторым специальным/системным учетным записям (например, IUSR_, HelpAssistant и т.д.)
• Создать резервные копии файлов SAM/SYSTEM (и при необходимости восстановить из них – например, после входя в систему с новым паролем или после повышения привилегий)

Таким образом, в руки исследователя приходит новый, весьма интересный инструмент, позволяющий решать задачи по восстановлению паролей.