Qual è il codice utilizzato da Windows Credential Manager per generare file di backup delle credenziali (* .crd)?
Con un file di backup da Credential Manager e la password utilizzata per creare quel file di backup è possibile decifrare il file e leggere le credenziali memorizzate in testo semplice?
Ho una password per un desktop remoto che ho dimenticato, ma è memorizzata in Credential Manager nel mio computer. Mi piacerebbe leggere quella password dalla mia macchina. C'è un modo?
Le password memorizzate di Credential Manager sono gestite dall'API Data Protection e protette da "chiavi master" DPAPI:
The DPAPI keys used for encrypting the user's RSA keys are stored under %APPDATA%\Microsoft\Protect{SID} directory, where {SID} is the Security Identifier of that user. The DPAPI key is stored in the same file as the master key that protects the users private keys. It usually is 64 bytes of random data.
Questa presentazione Synactiv ha una buona panoramica delle chiavi master DPAPI:
These masterkeys are stored in blobs, each containing:
- a GUID
- a salt
- master key structure (containing master keys)
... e include questo grafico, che mostra come sono cambiate le protezioni con ogni versione di Windows:
Secondoquestapresentazione,lechiavicondivisepossonoessereestrattecon
Quindi dovresti essere in grado di usare DPAmk2john.py per estrarre le chiavi principali e poi craccarle per accedere alle credenziali.
Leggi altre domande sui tag windows passwords backup credentials decryption