Skip to content
›_Secrets Dump
SAM · SECURITY · SYSTEM · NTDS.dit

Dump Windows credentials, in your browser.

Client-side reimplementation of impacket's offline secretsdump.py — boot key, SAM NT/LM hashes, LSA secrets, DCC2 and NTDS.dit domain hashes.

100% client-side — nothing ever leaves your browser
›_

Drop your hives here

Drag in SYSTEM, SAM, SECURITY and/or NTDS.dit — or click to choose. They're auto-detected; order and filenames don't matter.

Ruches synthétiques d'une intrusion fictive — aucun identifiant réel.

Comment récupérer vos données

De zéro à un fichier déposé en moins de deux minutes.

  1. 1Collecter les ruches
  2. 2Déposez les fichiers ici
  3. 3100 % dans votre navigateur — rien n'est envoyé

Sur l'hôte en cours d'exécution, ouvrez l'invite de commandes en tant qu'administrateur et enregistrez les trois ruches :

reg save HKLM\SYSTEM C:\triage\SYSTEM /y
reg save HKLM\SAM C:\triage\SAM /y
reg save HKLM\SECURITY C:\triage\SECURITY /y

Prérequis: Une invite élevée (Exécuter en tant qu'administrateur) sur l'hôte examiné.

Ensuite: Déposez SYSTEM, SAM et SECURITY ensemble dans l'outil — SYSTEM est obligatoire, les deux autres sont facultatifs.

Points de vigilance

  • Les ruches actives sont verrouillées — une simple copie de C:\Windows\System32\config\SYSTEM donne un fichier rempli de zéros ou corrompu. Utilisez plutôt reg save, un cliché instantané ou KAPE.
  • NTDS.dit est déchiffré avec la boot key de la ruche SYSTEM du MÊME contrôleur de domaine — collectez toujours ce SYSTEM (la commande ifm le fait pour vous).
  • Déposez les fichiers ensemble — SYSTEM avec SAM/SECURITY, ou NTDS.dit avec SYSTEM. L'ordre et les noms n'ont pas d'importance et les fichiers non reconnus sont ignorés.

Uniquement pour une réponse à incident autorisée — sur des systèmes qui vous appartiennent ou sur lesquels vous êtes mandaté.

A faithful offline secretsdump, in the browser

A fully client-side reimplementation of impacket's offline secretsdump.py — boot key, SAM NT/LM hashes, LSA secrets, cached domain logons (DCC2) and NTDS.dit domain hashes. Written in Rust, compiled to WebAssembly. Nothing ever leaves the page: your hives are parsed locally and never uploaded.

impacket-secretsdump usage & syntax

This tool reproduces the offline LOCAL mode of Impacket's secretsdump.py (installed as impacket-secretsdump on Debian/Kali). The core command targets are a host connection string or the LOCAL keyword for parsing hive files:

# Offline: parse exported hives (SYSTEM is always required)
impacket-secretsdump -sam sam.save -system system.save LOCAL
impacket-secretsdump -security security.save -system system.save LOCAL
impacket-secretsdump -ntds ntds.dit -system system.save LOCAL
impacket-secretsdump -sam sam.save -system system.save -outputfile hashes LOCAL

# Remote: connect to a host and dump SAM + LSA
secretsdump.py 'DOMAIN/user:password@10.0.0.5'
secretsdump.py -hashes ':NTHASH' 'DOMAIN/user@10.0.0.5'   # pass-the-hash
secretsdump.py -k -no-pass 'DOMAIN/user@dc01'             # Kerberos ccache

# DCSync: pull domain hashes from a DC (needs replication rights)
secretsdump.py -just-dc 'DOMAIN/user:password@dc01'
secretsdump.py -just-dc-ntlm 'DOMAIN/user:password@dc01'
secretsdump.py -just-dc-user krbtgt 'DOMAIN/user:password@dc01'

Key flags: LOCAL parses hives instead of connecting; -sam, -security, -system and -ntds point to the exported hive files; -hashes LM:NT authenticates by hash; -k/-no-pass use a Kerberos ccache; -just-dc, -just-dc-ntlm and -just-dc-user drive DCSync; and -outputfile writes the results to files. See the full secretsdump.py cheat sheet for every scenario.

Outils associés

Registry Parser

Parcourez les ruches SAM, SECURITY et SYSTEM clé par clé avant de les déchiffrer.

Hash Identifier

Vérifiez si une valeur extraite est NTLM, LM ou DCC2 avant de choisir un mode de cassage.

RAM Parser

Sur un poste allumé, les mêmes secrets résident dans la mémoire de LSASS : analysez l'image RAM.