Re: [WINNT] edycja rejestru off-line

["Michal M. Lechanski" <michal@doriath.eu>]

W dniu 23/08/2017 o 21:40, Michal M. Lechanski pisze:

> może ktoś z Was wie jak odczytać RID (wygląda podobnie do
> tego: 0x3E8) z klucza
> HKLM\SAM\SAM\Domains\Account\Names\username 

Sam odpowiem - może komuś się przyda.

reg query HKLM\SAM\SAM\Domains\Account\Names\username /z

wyświetla

Default    REG_NONE  (1000)

gdzie 1000 to dziesiętne 0x3e8. Wystarczy konwertować dec do hex i już
wiadomo, który klucz zawiera hasło poszukiwanego użytkownika:

HKLM\SAM\SAM\Domains\Account\Users\000003e8

Hash hasła jest w podkluczu: V

-- 
Michał