Die Dateien in \Windows\System32\config\sind Registrierungsstrukturen. Ihr binäres Format ist technisch direkt mit Software von Drittanbietern lesbar. Die einfachste Methode, sie in Windows zu laden und auf sie zuzugreifen, ist entweder die regedit.exeSoftware von Drittanbietern oder die die Registrierungs-APIs. SYSTEM (und SAM, wo eigentlich die meisten Windows-Authentifizierungsdateien leben) befinden sich unter dem HKEY_LOCAL_MACHINERoot-Schlüssel. Sie können die Registrierungsstruktur auch von einem Computer extrahieren, um sie auf einem anderen Computer zu laden. regeditverfügt über eine Option zum Öffnen und Bereitstellen einer Registrierungsstruktur.
Beachten Sie, dass auf jeder gebooteten Windows-Maschine die Registrierungshühner SYSTEM und SAM vom Betriebssystem angehängt und gesperrt werden, um den Zugriff über das Dateisystem zu verhindern. Sie können direkt auf die Dateien zugreifen, wenn Sie die Festplatte in einem anderen Computer einhängen (oder von einer DVD oder einem Flash-Laufwerk oder etwas anderem booten). Sie können Registry-Stöcke auch theoretisch aufheben, aber die systemkritischen Komponenten wie SYSTEM und SAM würden dazu führen, dass der Computer nicht mehr ordnungsgemäß funktioniert, wenn er nicht bereitgestellt wird, sodass das Betriebssystem dies nicht zulässt.
Windows-Passwörter können auf verschiedene Arten gespeichert werden, die bei weitem häufigsten sind jedoch NTLMv2-Hashes (insbesondere die Ausgänge der NT-One-Way-Funktion v2 oder NTOWFv2)). Diese sind relativ leicht zu brechen; Sie verwenden die veralteten MD4- und MD5-Hash-Algorithmen und enthalten nichts, um die Geschwindigkeit der Hash-Berechnung einzuschränken (z. B. die Art, wie PBKDF2 den gleichen Hash-Prozess viele Male wiederholt), um das Brute-Forcing zu verlangsamen. Die eigentlichen Passwörter werden jedoch nicht im Klartext angezeigt. Selbst wenn das Betriebssystem so konfiguriert ist, dass der Klartext der Kennwörter abgerufen werden kann (was jedoch nicht Standard ist), werden diese unter symmetrischer Verschlüsselung im Ruhezustand gespeichert, sodass Sie den Verschlüsselungsschlüssel benötigen . Fast jeder verwendet jedoch nur die Passwort-Hashes und normalerweise nur die v2-Form (die, obwohl sie für moderne Standards schlecht ist, viel besser ist als die Einwegfunktionen von NTLMv1 und pre-NT LANMAN).