HiveOracle - дамп хешей в автономном режиме.

[ADMIN]

Скопируйте заблокированные хранилища (SAM/SYSTEM и т. д.) с диска, не затрагивая LSASS, а затем выполните дамп хешей в автономном режиме.
HiveOracle преобразует привилегированное чтение необработанного тома — CreateFile(\\.\C или любой примитив (offset, size) → bytes — в:
Произвольное содержимое файлов NTFS (включая файлы, заблокированные системой или ограниченные DACL на файловом объекте)
Офлайн-пакеты реестра (SAM / SYSTEM / SECURITY, опционально NTDS)
NTLM-данные локальных учетных записей из этих реестров (без внедрения в процесс, без LSASS)
Помощники для разведки диска и криминалистической экспертизы (MFT, список $I30, извлечение регистра из свободного пространства, дамп USN и т. д.)
Парсер никогда не открывает целевой путь (например, C:\Windows\System32\config\SAM). Он проходит по $MFT / индексам и воссоздаёт $DATA из кластеров тома.
По умолчанию: один процесс с повышенными привилегиями. Для обычных дампов не требуется сервер/клиент.
[admin/SYSTEM] HiveOracle.exe

│
├─ открыть \\.\C: (или физический диск + раздел / необработанный образ)
├─ анализ NTFS внутри процесса
└─ out\ SAM, SYSTEM, SECURITY, hashes.txt

To view the content, you need to Sign In or Register.

 

[Support]

Посмотреть вложение 473
Скопируйте заблокированные хранилища (SAM/SYSTEM и т. д.) с диска, не затрагивая LSASS, а затем выполните дамп хешей в автономном режиме.
HiveOracle преобразует привилегированное чтение необработанного тома — CreateFile(\\.\C или любой примитив (offset, size) → bytes — в:
Произвольное содержимое файлов NTFS (включая файлы, заблокированные системой или ограниченные DACL на файловом объекте)
Офлайн-пакеты реестра (SAM / SYSTEM / SECURITY, опционально NTDS)
NTLM-данные локальных учетных записей из этих реестров (без внедрения в процесс, без LSASS)
Помощники для разведки диска и криминалистической экспертизы (MFT, список $I30, извлечение регистра из свободного пространства, дамп USN и т. д.)
Парсер никогда не открывает целевой путь (например, C:\Windows\System32\config\SAM). Он проходит по $MFT / индексам и воссоздаёт $DATA из кластеров тома.
По умолчанию: один процесс с повышенными привилегиями. Для обычных дампов не требуется сервер/клиент.
[admin/SYSTEM] HiveOracle.exe

│
├─ открыть \\.\C: (или физический диск + раздел / необработанный образ)
├─ анализ NTFS внутри процесса
└─ out\ SAM, SYSTEM, SECURITY, hashes.txt

To view the content, you need to Sign In or Register.

[ RU ]

Основные меры предосторожности (обязательно выполняйте хотя бы часть)
- Не устанавливайте ничего, если не понимаете, что именно делает программа.
- Проверяйте источник - лучше всего официальный сайт автора или GitHub с открытым исходным кодом.
- Используйте виртуальную машину (VirtualBox, VMware) или песочницу (Sandboxie, Windows Sandbox) для теста подозрительного софта.

[ ENG ]

Basic precautions (be sure to follow at least some of them)
- Don't install anything if you don't understand what the program does.
- Check the source—preferably the author's official website or GitHub with open source code.
- Use a virtual machine (VirtualBox, VMware) or sandbox (Sandboxie, Windows Sandbox) to test suspicious software.