LaZagneForensic 使用教程

LaZagneForensic 使用教程

LaZagneForensic Windows passwords decryption from dump files 项目地址: https://gitcode.com/gh_mirrors/la/LaZagneForensic

1. 项目介绍

LaZagneForensic 是一个开源项目，旨在通过分析系统内存转储文件来恢复Windows用户的密码。它利用Windows的内部函数 CryptUnprotectData 来解密用户密码。该项目主要解决了在没有启动计算机或在不希望在远程主机上部署二进制文件的情况下，无法恢复密码的问题。

2. 项目快速启动

环境准备

• Python 2.x（不兼容Python 3.x）
• pip 2.x

如果未安装 pip 2.x，可以使用以下命令安装：

sudo wget https://bootstrap.pypa.io/pip/2.7/get-pip.py
sudo python2 ./get-pip.py
sudo apt install python2-dev

安装依赖

安装所需的Python库：

pip2 install markerlib
pip2 install distribute
pip2 install -r requirements.txt

使用方法

方法一：从远程主机转储配置文件

• 使用 PowerShell 脚本：

PS C:\Users\test\Desktop> Import-Module .\dump.ps1
PS C:\Users\test\Desktop> Dump
Folder dump created successfully !

• 使用 Python 脚本：

python dump.py

若拥有密码，则可以启动LaZagneForensic：

python laZagneForensic.py all -remote /tmp/dump -password 'ZapataVive'

若没有密码，可以不指定密码参数：

python laZagneForensic.py all -remote /tmp/dump

方法二：在文件系统中挂载磁盘

将目标文件系统挂载到本地：

test:~$ ls /tmp/disk/

然后，启动LaZagneForensic：

• 若有密码：

python laZagneForensic.py all -local /tmp/disk -password 'ZapataVive'

• 若没有密码：

python laZagneForensic.py all -local /tmp/disk

选项

可以使用 -v 开启详细模式，使用 -vv 开启调试模式。

3. 应用案例和最佳实践

• 案例：在渗透测试中，使用LaZagneForensic分析获取到的内存转储文件，以恢复目标系统的用户密码。
• 最佳实践：在分析之前，确保已经获得了合法的权限，避免非法操作。

4. 典型生态项目

LaZagneForensic 是基于LaZagne项目开发的，该项目由多个子项目组成，涵盖了不同平台和场景下的密码恢复工具。与之相关的生态项目包括：

• DPAPICK
• Windows DPAPI laboratory

以上是LaZagneForensic项目的简要介绍和使用教程。希望对您有所帮助。

LaZagneForensic Windows passwords decryption from dump files 项目地址: https://gitcode.com/gh_mirrors/la/LaZagneForensic