怎么搞定某擎EDR卸載密碼，很多新手對(duì)此不是很清楚，為了幫助大家解決這個(gè)難題，下面小編將為大家詳細(xì)講解，有這方面需求的人可以來(lái)學(xué)習(xí)下，希望你能有所收獲。

成都創(chuàng)新互聯(lián)公司是專(zhuān)業(yè)的杜爾伯特網(wǎng)站建設(shè)公司，杜爾伯特接單;提供網(wǎng)站建設(shè)、成都網(wǎng)站建設(shè),網(wǎng)頁(yè)設(shè)計(jì),網(wǎng)站設(shè)計(jì),建網(wǎng)站,PHP網(wǎng)站建設(shè)等專(zhuān)業(yè)做網(wǎng)站服務(wù);采用PHP框架,可快速的進(jìn)行杜爾伯特網(wǎng)站開(kāi)發(fā)網(wǎng)頁(yè)制作和功能擴(kuò)展;專(zhuān)業(yè)做搜索引擎喜愛(ài)的網(wǎng)站,專(zhuān)業(yè)的做網(wǎng)站團(tuán)隊(duì),希望更多企業(yè)前來(lái)合作!

0x01 前言

現(xiàn)在很多環(huán)境中都會(huì)安裝終端安全管理軟件以保護(hù)系統(tǒng)的安全，管理員當(dāng)然不會(huì)允許用戶(hù)擅自退出或者卸載軟件，往往會(huì)在服務(wù)端配置一個(gè)密碼，用以運(yùn)維時(shí)使用，此類(lèi)運(yùn)維密碼往往是紅隊(duì)活動(dòng)中夢(mèng)寐以求的東西，拿到一個(gè)說(shuō)不定就一碼通了呢！

之前做這件事的起因是這樣，跟紅隊(duì)大佬好基友閑聊時(shí)，說(shuō)起殺軟卸載密碼的問(wèn)題，重點(diǎn)不是要卸載，而是關(guān)注密碼如何驗(yàn)證，以及是否存在獲取明文密碼的可能，若不是隨機(jī)密碼，就可以從密碼分析組合規(guī)律，在沒(méi)有其他收獲時(shí)，多一個(gè)密碼組合規(guī)律，就多一種路子不是？

一想很有道理啊，再加上正好懂一點(diǎn)點(diǎn)逆向，那就安排一下。

0x02 關(guān)鍵分析

直接進(jìn)入正題，打開(kāi)控制面板 - 程序和功能，找到目標(biāo)右鍵卸載，會(huì)彈出對(duì)話(huà)框要求輸入密碼，這樣的。

掛上調(diào)試器，找到驗(yàn)證密碼的地方，其實(shí)在這里已經(jīng)可以實(shí)現(xiàn)無(wú)密碼卸載的效果了，但這不是我們的目的，我們繼續(xù)分析。

向上找到函數(shù)頭部，下斷點(diǎn)順一遍整體流程，從函數(shù)頭開(kāi)始，可以看到讀取了文件 EntBase.dat。

過(guò)去看一眼這個(gè)文件的內(nèi)容，稍微對(duì)內(nèi)容留個(gè)印象，根據(jù)名字盲猜這兩個(gè) HASH一個(gè)是卸載密碼另一個(gè)是退出密碼。

順一遍最主要目的是看一下 HASH怎么生成的，找到生成 HASH函數(shù)后發(fā)現(xiàn)特征與 MD5很像啊。

這里最簡(jiǎn)單的驗(yàn)證辦法就是下個(gè)斷點(diǎn)，看一下參數(shù)輸入以及結(jié)果輸出值，將參數(shù)代入標(biāo)準(zhǔn)的 MD5算法對(duì)比一下就知道了，視情況而定，有時(shí)候沒(méi)必要硬擼代碼，驗(yàn)證后發(fā)現(xiàn)結(jié)果是一模一樣啊，這里就不貼圖了。

找一下參數(shù)來(lái)源，原來(lái)是將輸入的內(nèi)容與固定字符串進(jìn)行拼接。

整個(gè)驗(yàn)證流程里存在兩個(gè)算法，兩個(gè)的核心都是拼接固定字符串進(jìn)行MD5，區(qū)別就是進(jìn)行MD5的次數(shù)，個(gè)人猜測(cè)是歷史遺留問(wèn)題，需要兼容舊版本。

最終整理一下流程：

• 讀取 EntBase.dat。

• 將輸入的密碼與固定字符串進(jìn)行拼接。

• 將結(jié)果帶入 MD5方法計(jì)算 HASH，兩種算法分別計(jì)算。

• 最后與 EntBase.dat中的 HASH進(jìn)行對(duì)比，兩個(gè)算法的結(jié)果通過(guò)一個(gè)即可。

至此可以確定，卸載密碼無(wú)法逆向還原，也無(wú)法使用在線(xiàn)的網(wǎng)站查詢(xún)（因?yàn)槠唇?多次計(jì)算），但是可以正向碰撞一下，所以還是存在獲取明文密碼的可能，只是需要一個(gè)稍微強(qiáng)大億點(diǎn)點(diǎn)的字典進(jìn)行配合。

0x03 驗(yàn)證測(cè)試

根據(jù)分析結(jié)果，寫(xiě)個(gè)腳本跑一下，字典使用 TOP 系列以及定制化生成字典進(jìn)行碰撞測(cè)試，如單位名加日期、座機(jī)號(hào)等信息。

拿去測(cè)試一下是否正確，先試一下退出。

退出沒(méi)有問(wèn)題， 卸載應(yīng)該也沒(méi)有問(wèn)題。

看完上述內(nèi)容是否對(duì)您有幫助呢？如果還想對(duì)相關(guān)知識(shí)有進(jìn)一步的了解或閱讀更多相關(guān)文章，請(qǐng)關(guān)注創(chuàng)新互聯(lián)行業(yè)資訊頻道，感謝您對(duì)創(chuàng)新互聯(lián)的支持。

分享名稱(chēng)：怎么搞定某擎EDR卸載密碼
當(dāng)前路徑：http://www.rwnh.cn/article28/jscejp.html

成都網(wǎng)站建設(shè)公司_創(chuàng)新互聯(lián)，為您提供小程序開(kāi)發(fā)、外貿(mào)網(wǎng)站建設(shè)、品牌網(wǎng)站設(shè)計(jì)、定制開(kāi)發(fā)、網(wǎng)站設(shè)計(jì)公司、做網(wǎng)站

廣告

聲明：本網(wǎng)站發(fā)布的內(nèi)容（圖片、視頻和文字）以用戶(hù)投稿、用戶(hù)轉(zhuǎn)載內(nèi)容為主，如果涉及侵權(quán)請(qǐng)盡快告知，我們將會(huì)在第一時(shí)間刪除。文章觀(guān)點(diǎn)不代表本網(wǎng)站立場(chǎng)，如需處理請(qǐng)聯(lián)系客服。電話(huà)：028-86922220；郵箱：631063699@qq.com。內(nèi)容未經(jīng)允許不得轉(zhuǎn)載，或轉(zhuǎn)載時(shí)需注明來(lái)源： 創(chuàng)新互聯(lián)