MrBruteForce - Findet WinXP/2000/NT Passwörter

[MisterNiceGuy]

Hi ich möchte euch heute gerne jemanden vorstellen:

MrBruteForce



Funktion: Das Programm ist in der Lage per BruteForceMethode Passwörter von WindowsXP/2000/NT-Usern zu ermitteln.

In den Optionen lässt sich folgendes einstellen:

• Chars die in dem Passwort vorkommen können.
• Die Länge/Mindestlänge des Passwortes, falls bekannt.
• Speedmode: Ist der Speedmode aktiviert, so findet das Programm das Passwort mindestens 4-mal so schnell, eher schneller. Leider lassen sich die Strings, die gerade gestestet werden nicht mehr erkennen. Ein zweiter Nachteil ist, dass das Programm mehr Speicher verbraucht.

Ich benutze um die Richtigkeit des Passwortes zu überprüfen die Unit SSPIValidatePassword von Luckie, falls erwünscht, bekommst du Credits in dem Programm.

Das Programm ist soweit fertig, aber vielleicht findet ihr noch irgendwelche Bugs (Was ich nicht hoffe )

MfG Jonas

[MisterNiceGuy]

Hab jetzt ne Cancel Methode eingebaut und einen Testbutton unten rechts, mit dem ihr mal den Überprüfungscode testen könnt. Dieser ist, wie Luckie mich drauf hingewiesen hat, nicht von ihm, sondern von ... Colin Wilson.

Jetzt hab ichs

[Luckie]

Steht doch im Header der Unit.

[Zacherl]

Beim Test sagt er mir egal was ich eingebe, dass das Kennwort richtig ist ...

Florian

[MisterNiceGuy]

@Luckie: Gilt die Bedingung, dass es nur mit WinXP Pro funktioniert nur für dein Programm oder für
die Unit SSPIValidatePassword allgemein? Wenn ja denke ich, dass wir das Problem geklärt hätten

[Zacherl]

Zitat:

Gilt die Bedingung, dass es nur mit WinXP Pro funktioniert nur für dein Programm oder für
die Unit SSPIValidatePassword allgemein?

Ich denke das ist allgemein. Das erklärt auch, warum es bei mir nicht funktioniert.

Florian

[mh166]

Öhm... kann es sein, dass du bei der Abfrage, ob ein Passwort gesetzt ist, die Boolsche Relation vertauscht hast? Denn der probierts nur dann aus, wenn keins gesetzt ist und meldet, dass ich keins brauch, sobald ich eins festgelegt habe. Ich empfehle diese If-Abfrage noch mal zu checken

mfg, mh166

[MisterNiceGuy]

Öhm nö, ich glaub das hab ich richtig gemacht

Delphi-Quellcode:

if SSPLogonUser(pc_x, user_x, '') = true then
    begin ...

Benutzt du zufällig WinXP Home?

[SirThornberry]

naja, kommt drauf an was nach dem Begin kommt. Wenn nach dem Begin kommt "Sie haben kein Passwort" stimmt es so, ansonsten ist es wohl falsch herum wenn danach die schleife mit den weiteren testläufen kommt.

[MisterNiceGuy]

Was denkt ihr von mir? Ne könnte ja mal passieren, aber es stimmt schon so

[Motzi]

@MisterNiceGuy: die Überprüfung von Benutzername und Passwort per SSPI funktioniert nur, wenn auf dem Zielsystem ForceGuest nicht aktiviert ist. Unter WinXP Home ist es standardmäßig aktiviert und kann auch nicht direkt deaktiviert werden (außer man manipuliert den Wert über die Registry). Unter WinXP Prof kann man das ebenfalls aktivieren, hier geht es ganz einfach über die lokalen Sicherheitsrichtlinien.

Wenn ForceGuest aktiviert ist, dann authentifiziert das System jeden Benutzer einfach als Gast, unabhängig von Benutzername und Passwort, daher behauptet dein Prog auch immer, dass das Passwort aaaaaab stimmt, da der Benutzer authentifiziert wird - aber eben nur als Gast.
Diese Maßnahme unter WinXP Home hat den Sinn, dass Computer, auf denen der Benutzer mit einem Admin mit leerem Passwort arbeitet, geschützt sind, damit niemand von außen sich als dieser Admin authentifizieren kann.