Dump Windows credentials, in your browser.
Client-side reimplementation of impacket's offline secretsdump.py — boot key, SAM NT/LM hashes, LSA secrets, DCC2 and NTDS.dit domain hashes.
Drop your hives here
Drag in SYSTEM, SAM, SECURITY and/or NTDS.dit — or click to choose. They're auto-detected; order and filenames don't matter.
Subárboles sintéticos de una intrusión ficticia — sin credenciales reales.
Cómo obtener tus datos
De cero a un archivo soltado en menos de dos minutos.
- 1Recopila los subárboles
- 2Suelta los archivos aquí
- 3100 % en tu navegador — no se sube nada
En el host en ejecución, abre el símbolo del sistema como administrador y guarda los tres subárboles:
reg save HKLM\SYSTEM C:\triage\SYSTEM /y
reg save HKLM\SAM C:\triage\SAM /y
reg save HKLM\SECURITY C:\triage\SECURITY /yRequisito: Un símbolo del sistema con privilegios elevados (Ejecutar como administrador) en el host investigado.
Después: Suelta SYSTEM, SAM y SECURITY juntos en la herramienta — SYSTEM es obligatorio, los otros dos son opcionales.
Advertencias
- Los subárboles activos están bloqueados — una copia simple de C:\Windows\System32\config\SYSTEM produce un archivo lleno de ceros o corrupto. Usa reg save, una instantánea o KAPE.
- NTDS.dit se descifra con la boot key del subárbol SYSTEM del MISMO controlador de dominio — recopila siempre ese SYSTEM (el comando ifm lo hace por ti).
- Suelta los archivos juntos — SYSTEM con SAM/SECURITY, o NTDS.dit con SYSTEM. El orden y los nombres no importan y los archivos no reconocidos se ignoran.
Solo para respuesta a incidentes autorizada — en sistemas que te pertenecen o para los que tienes mandato.
A faithful offline secretsdump, in the browser
A fully client-side reimplementation of impacket's offline secretsdump.py — boot key, SAM NT/LM hashes, LSA secrets, cached domain logons (DCC2) and NTDS.dit domain hashes. Written in Rust, compiled to WebAssembly. Nothing ever leaves the page: your hives are parsed locally and never uploaded.
impacket-secretsdump usage & syntax
This tool reproduces the offline LOCAL mode of Impacket's secretsdump.py (installed as impacket-secretsdump on Debian/Kali). The core command targets are a host connection string or the LOCAL keyword for parsing hive files:
# Offline: parse exported hives (SYSTEM is always required)
impacket-secretsdump -sam sam.save -system system.save LOCAL
impacket-secretsdump -security security.save -system system.save LOCAL
impacket-secretsdump -ntds ntds.dit -system system.save LOCAL
impacket-secretsdump -sam sam.save -system system.save -outputfile hashes LOCAL
# Remote: connect to a host and dump SAM + LSA
secretsdump.py 'DOMAIN/user:password@10.0.0.5'
secretsdump.py -hashes ':NTHASH' 'DOMAIN/user@10.0.0.5' # pass-the-hash
secretsdump.py -k -no-pass 'DOMAIN/user@dc01' # Kerberos ccache
# DCSync: pull domain hashes from a DC (needs replication rights)
secretsdump.py -just-dc 'DOMAIN/user:password@dc01'
secretsdump.py -just-dc-ntlm 'DOMAIN/user:password@dc01'
secretsdump.py -just-dc-user krbtgt 'DOMAIN/user:password@dc01'Key flags: LOCAL parses hives instead of connecting; -sam, -security, -system and -ntds point to the exported hive files; -hashes LM:NT authenticates by hash; -k/-no-pass use a Kerberos ccache; -just-dc, -just-dc-ntlm and -just-dc-user drive DCSync; and -outputfile writes the results to files. See the full secretsdump.py cheat sheet for every scenario.