Hash dump的神器—-quarkspwdump

先看簡介 Quarks PwDump是一個Win32環境下系統授權資訊匯出工具，目前除此之外還木有沒有任何一款工具可以匯出如此全面的資訊，支援這麼多的OS版本，
（包括xP/2003/Vista/7/2008/8），經測試相當穩定。
作者開發這個工具的原因是現在沒有一款工具能同時抓取所有類型的hash和Bitlocker資訊。
這個工具沒有注入任何進程，工作原理是神馬呢，原始碼值得讀一下。

可以匯出 :   
- Local accounts NT/LM hashes + history     本地NT/LM雜湊+曆史登入記錄
- Domain accounts NT/LM hashes + history  域中NT/LM雜湊+曆史登入記錄
- Cached domain password                            緩衝裡的域密碼
- Bitlocker recovery information (recovery passwords & key packages) 使用了Bitlocker的恢複資訊(恢複密碼&關鍵包)

用法參考說明如下：
quarks-pwdump.exe <option(s)> <NTDS file>
Options :參數
            –dump-hash-local                                                        /*Dump出本機HASH*/
                      -dump-hash-domain-cached                                        /*Dump出域內緩衝的Hash*/
                      -dump-hash-domain (NTDS_FILE must be specified)    /*Dump出域內的Hash，NTDS_FILE必須被指定*/
                     –dump-bitlocker (NTDS_FILE must be specified)         /*Dump出BitLocker遺留資訊*/
                     –with-history (optional)
                      -output-type JOHN/LC (optional, if no=>JOHN)          /*匯出為Lc4或John The Ripper支援的格式*/
                     –output FILE (optional, if no=>stdout)                       /*匯出結果到檔案*/

如需匯出可以

C:\>quarkspwdump --dump-hash-local --output c:\xxxxx

C:\>quarkspwdump --dump-hash-local --output-type LC --output c:\xxxxx