Dump Windows credentials, in your browser.
Client-side reimplementation of impacket's offline secretsdump.py — boot key, SAM NT/LM hashes, LSA secrets, DCC2 and NTDS.dit domain hashes.
Drop your hives here
Drag in SYSTEM, SAM, SECURITY and/or NTDS.dit — or click to choose. They're auto-detected; order and filenames don't matter.
Synthetische Hives eines fiktiven Einbruchs — keine echten Zugangsdaten.
So beschaffen Sie Ihre Daten
In unter zwei Minuten von null zur abgelegten Datei.
- 1Hives erfassen
- 2Dateien hier ablegen
- 3100 % in Ihrem Browser — nichts wird hochgeladen
Öffnen Sie auf dem laufenden Host die Eingabeaufforderung als Administrator und speichern Sie die drei Hives:
reg save HKLM\SYSTEM C:\triage\SYSTEM /y
reg save HKLM\SAM C:\triage\SAM /y
reg save HKLM\SECURITY C:\triage\SECURITY /yVoraussetzung: Eine erhöhte Eingabeaufforderung (Als Administrator ausführen) auf dem untersuchten Host.
Dann: Legen Sie SYSTEM, SAM und SECURITY zusammen im Tool ab — SYSTEM ist erforderlich, die anderen beiden sind optional.
Fallstricke
- Aktive Hives sind gesperrt — eine einfache Kopie von C:\Windows\System32\config\SYSTEM ergibt eine mit Nullen gefüllte oder beschädigte Datei. Verwenden Sie stattdessen reg save, eine Schattenkopie oder KAPE.
- NTDS.dit wird mit dem Boot Key aus dem SYSTEM-Hive DESSELBEN Domänencontrollers entschlüsselt — erfassen Sie dieses SYSTEM immer mit (der ifm-Befehl erledigt das für Sie).
- Legen Sie die Dateien zusammen ab — SYSTEM mit SAM/SECURITY oder NTDS.dit mit SYSTEM. Reihenfolge und Dateinamen spielen keine Rolle, unbekannte Dateien werden ignoriert.
Nur für autorisierte Incident Response — auf Systemen, die Ihnen gehören oder für die Sie beauftragt sind.
A faithful offline secretsdump, in the browser
A fully client-side reimplementation of impacket's offline secretsdump.py — boot key, SAM NT/LM hashes, LSA secrets, cached domain logons (DCC2) and NTDS.dit domain hashes. Written in Rust, compiled to WebAssembly. Nothing ever leaves the page: your hives are parsed locally and never uploaded.
impacket-secretsdump usage & syntax
This tool reproduces the offline LOCAL mode of Impacket's secretsdump.py (installed as impacket-secretsdump on Debian/Kali). The core command targets are a host connection string or the LOCAL keyword for parsing hive files:
# Offline: parse exported hives (SYSTEM is always required)
impacket-secretsdump -sam sam.save -system system.save LOCAL
impacket-secretsdump -security security.save -system system.save LOCAL
impacket-secretsdump -ntds ntds.dit -system system.save LOCAL
impacket-secretsdump -sam sam.save -system system.save -outputfile hashes LOCAL
# Remote: connect to a host and dump SAM + LSA
secretsdump.py 'DOMAIN/user:password@10.0.0.5'
secretsdump.py -hashes ':NTHASH' 'DOMAIN/user@10.0.0.5' # pass-the-hash
secretsdump.py -k -no-pass 'DOMAIN/user@dc01' # Kerberos ccache
# DCSync: pull domain hashes from a DC (needs replication rights)
secretsdump.py -just-dc 'DOMAIN/user:password@dc01'
secretsdump.py -just-dc-ntlm 'DOMAIN/user:password@dc01'
secretsdump.py -just-dc-user krbtgt 'DOMAIN/user:password@dc01'Key flags: LOCAL parses hives instead of connecting; -sam, -security, -system and -ntds point to the exported hive files; -hashes LM:NT authenticates by hash; -k/-no-pass use a Kerberos ccache; -just-dc, -just-dc-ntlm and -just-dc-user drive DCSync; and -outputfile writes the results to files. See the full secretsdump.py cheat sheet for every scenario.