SAM и похожее из cmd

[destiny]

Есть хост, к порту привязан cmd.exe. Ось - Windows 7 x64. Пользователь - админ.
Вопросы:
1) Где находятся (в C:\windows\system32\config только папки Journal,RegBack,systemprofile,TxR) и можно ли стандартными средствами скопировать файлы SAM?
2) Можно ли стандартными средствами скопировать NTUSER.dat?
3) Нельзя ли не вылезая из cmd скачать файл из инета? (script host ведь наверняка умеет, а из командной строки скрипты ведь можно запускать, не пугая пользователя?)
4)Пытаюсь посмотреть точки восстановления:

>takeown /F "System Volume Information"

SUCCESS: The file (or folder): "C:\System Volume Information" now owned by user "имя".

>cacls "System Volume Information" /G Everyone:F
Are you sure (Y/N)? Y
processed dir: C:\System Volume Information

>cd "System Volume Information"
>dir /a
//тут вижу список точек восстановления
>takeown /F "{гуид}{гуид}"
ERROR: Access is denied.
>cacls "{гуид}{гуид}"
C:\System Volume Information\{гуид}{гуид}
Access is denied.

В чём ошибка?

Спасибо.

[tipsy]

admin не имеет доступа к sam, тебе нужны права system

Классический метод переноса файлов - tftp. Тебе понадобится соответствующий сервер.

[SynQ]

Если ты админ, то ветки security и sam (и все остальные) можно экспортировать вот так:
reg SAVE HKLM\SECURITY security.hive
Вместо security соответственно еще нужны обычно HKLM\SYSTEM и HKLM\SAM

Доставать хэши из них потом вот этим:
http://code.google.com/p/creddump/
Или комплектом bkhive/samdump2

NTUSER.dat залогиненного юзера можно экспортировать также (тут не помню - простым админом делается, или SYSTEM нужно), - сначала узнаешь его uid: reg query HKEY_USERS, а затем экспорт ветки:
reg save HKEY_USERS\S-1-5-21-1680525977-1556112640-525681641-1000 c:\windows\temp\1000.hive
Жирным выделен номер юзера из sam.

По теме почитать, со списком ОСей, на которых работает и нет: http://blog.metasploit.com/2009/12/exporting-registry-for-fun-and-profit.html

[st0101]

3) Нельзя ли не вылезая из cmd скачать файл из инета? (script host ведь наверняка умеет, а из командной строки скрипты ведь можно запускать,

ftp не ?

http://www.sysman.ru/index.php?showtopic=12195
http://www.winblog.ru/net/1147765001-08020803.html

[tipsy]

Кстати, подскажите, кто знает.
ftp.exe уже научился работать в пакетном режиме?

[Pashkela]

типо да

[destiny]

SynQ, спасибо.
Я правда не понял зачем юзать специальные тулзы, когда reg save hklm\sam и так (как я понимаю) сохраняет сам sam файл в связи с этим самым маппингом файлов в реестр, и SAMInside отличо его проглатывает.
reg save hkcu кстати тоже работает, сид может пригодиться только для соседних пользователей.
И ещё насчёт тулз - эти дампы отлично подгружаются в свой реестр в указанный ключ reg'ом/regedit'ом Правда, видимо, формат дампов семёрки и xp отличается.

>ftp не ?
не, http хочется Опосредованно и так возможность есть. Видимо проще что-то вроде wget'а под винду один раз скачать... Но всё-таки я верю в мощь PowerShell
//edit: уже правда интересно только теоретически

а насчёт вопроса 4 мне всё-таки интересно

[destiny]

И ещё один вопросик - если есть установленное подключение к соседнему компьютеру (а именно есть сетевой диск V: подключённый к ресурсу \\192.168.0.1\Share) -- то можно ли узнать, с каким именем/паролем производилось подключение?

[SpangeBoB]

Сообщение от destiny

И ещё один вопросик - если есть установленное подключение к соседнему компьютеру (а именно есть сетевой диск V: подключённый к ресурсу \\192.168.0.1\Share) -- то можно ли узнать, с каким именем/паролем производилось подключение?

http://www.nirsoft.net/utils/network_password_recovery.html

[destiny]

Сообщение от SpangeBoB

http://www.nirsoft.net/utils/network_password_recovery.html

Пробовал её. Не работает То есть, не выводит.