Где хранятся пароли windows

Диспетчер учетных данных Windows: управление сохраненными паролями

date

18.01.2024

user

itpro

Используем диспетчер учетных данных Windows для хранения паролей

Диспетчер учетных данных встроен в Windows и позволяет безопасно хранить три типа учетных данных:

Учетные данные Windows(WindowsCredentials) — учетные данные доступа к ресурсам, которые поддерживаются Windows аутентификацию (NTLM или Kerbersos). Это могут быть данные для подключения сетевых дисков или общим SMB папкам, NAS устройствам, сохраненные пароли для RDP подключений, пароли к сайтам, поддерживающих проверку подлинности Windows и т.д;

Windows Credential не хранит данные для автоматического входа в Windows или доменные Cached Credentials.

Например, если при доступе к сетевой папке вы включите опцию “Сохранить пароль”, то введенный вами пароли будет сохранен в Credential Manager.

сохранить пароль для доступа к сетевой папке в Windows

Аналогично пароль для подключения к удаленному RDP/RDS серверу сохраняется в клиенте Remote Desktop Connection (mstsc.exe).

сохранить пароль для RDP в Windows Credential Manager

Также в диспетчере паролей хранятся пароли пользователей, добавленные командой runas /savecred и используемые для запуска программ от имени другого пользователя.

Открыть диспетчер учетных данных в Windows можно:

из классической панели управления (Control Panel\User Accounts\Credential Manager, Панель управления -> Учетные записи пользователей -> Диспетчер учетных данных);
изкоманднойстроки: control /name Microsoft.CredentialManager

На скриншоте видно, что в Credential Manager хранятся два пароля, которые мы сохранили ранее.

Менеджер учетных данных в Windows 10, список сохраненных пользователей и паролей

Сохраненный пароль для RDP подключения сохраняется в формате TERMSRV\hostname .

Здесь вы можете добавить сохранённый пароль, отредактировать (просмотреть сохраненный пароль в открытом виде из графического интерфейса нельзя) или удалить любую из записей.

Для управления сохраненными паролями можно использовать классический диалоговый интерфейс Stored User Names and Password. Для его запуска выполните команду:

упправление сохраненными паролямя в windows credential manager

Здесь вы также можете управлять сохраненными учетными данными, а также выполнить резервное копирование и восстановление записей в Credential Manager (можно использовать для переноса базы Credential Manager на другой компьютер).

Управление сохраненными учетными данными Windows из командной строки

Вы можете добавить удалить и вывести сохраненные учетные данных в Credentil Manager из командной строки с помощью утилиты cmdkey.

Добавить в диспетчер учетные данные для доступа к серверу FS01:

cmdkey /add:FS01 /user:kbuldogov /pass:Passw0rdd1

Если нужно сохранить доменную учетную запись:

cmdkey /add:fs01.winitpro.local /user:[email protected] /pass:Passw0rdd1

Сохранить учетные данные для доступа к RDP/RDS серверу:

cmdkey /generic:termsrv/MSKRDS1 /user:kbuldogov /pass:Passw0rdd1

Для анонимного доступа к общей папке под гостевым аккаунтом, нужно добавить учетную запись guest без пароля:

cmdkey /add:192.168.13.200 /user:guest

cmdkey /add:hv19 /user:Administrator /pass:HVpas2ddr

Вывести список сохраненных учетных данных:

cmdkey list - вывести список сохраненных учетных записей Windows

Вывести список хранимых учетных данных для указанного компьютера:
cmdkey /list:fs01.winitpro.local

Удалить ранее сохраненные учетные данные:

Удалить из Credential Manager все сохраненные пароли для RDP доступа:

For /F «tokens=1,2 delims= » %G in (‘cmdkey /list ^| findstr «target=TERMSRV»‘) do cmdkey /delete %H

Полностью очистить пароли в Credential Manager:

for /F «tokens=1,2 delims alignnone size-full wp-image-16140″ src=»https://winitpro.ru/wp-content/uploads/2012/04/cmdkey-ochistka-sohranennih-paroley-windows.jpg» alt=»cmdkey — очистка сохраненных паролей в windows» width=»600″ height=»153″ srcset=»https://winitpro.ru/wp-content/uploads/2012/04/cmdkey-ochistka-sohranennih-paroley-windows.jpg 600w, https://winitpro.ru/wp-content/uploads/2012/04/cmdkey-ochistka-sohranennih-paroley-windows-300×77.jpg 300w» sizes=»(max-width: 600px) 100vw, 600px» />

Эта команда позволяет быстро очистить старые сохраненные пароли, из за-которых может постоянно блокировать учетная запись пользователя в AD.

Также для управления сохраненными учетными данными можно использовать утилиту vaultcmd.Вывести список сохраненных учетных данных типа Windows Credentials:

vaultcmd /listcreds:»Windows Credentials»

утилита vaultcmd для управления сохраненныймаи паролями из командой строки

Все сохраненные пароли хранятся в защищенном хранилище Windows Vault. Путь к хранилищу можно получить с помощью команды:

vaultcmd list: хранилище учетных записей и паролей в windows

По умолчанию это %userprofile%\AppData\Local\Microsoft\Vault . Ключ шифрования хранится в файле Policy.vpol. Клю шифровани используется для рашировки паролей в файлах .vcrd.

Для работы Credential Manager должна быть запущена служба VaultSvc:

Если служба отключена, при попытке получить доступ к Credential Manager появится ошибка:

Credential Manager Error The Credential Manager Service is not running. You can start the service manually using the Services snap-in or restart your computer to start the service. Error code: 0x800706B5 Error Message: The interface is unknown.

Если вы хотите заблокировать пользователям возможность сохранения сетевых паролей в Credential Manager, нужно включить параметр Network access: Do not allow storage of passwords and credentials for network authentication в разделе GPO Computer Configuration -> Windows Settings -> Security Settings -> Local Policies -> Security Options.

отключить возможность сохранения паролей в Credential Manager через групповую политику

Теперь, если пользователь попытается сохранить пароль в хранилище, появится ошибка:

Credential Manager Error Unable to save credentials. To save credentials in this vault, check your computer configuration. Error code: 0x80070520 Error Message: A specified logon session does not exist. It may already have been terminated.

Доступ к менеджеру учетных данных Windows из PowerShell

В Windows нет встроенных командлетов для обращения к хранилищу PasswordVault из PowerShell. Но вы можете использовать модуль CredentialManager из галереи PowerShell.

powershell модуль CredentialManager

В модуле всего 4 командлета:

Get-StoredCredential – получить учетные данные из хранилища Windows Vault;
Get-StrongPassword – сгенерировать случайный пароль;
New-StoredCredential – добавить учетные данные в хранилище;
Remove-StoredCredential – удалить учетные данные.

Чтобы добавить новые учетные данные в хранилище CredentialManager, выполните команду:

New-StoredCredential -Target ‘contoso’ -Type Generic -UserName ‘[email protected]’ -Password ‘123qwe’ -Persist ‘LocalMachine’

New-StoredCredential - добавить пароль в cred manager через powershell

Проверить, есть в хранилище сохраненные данные:

Get-StoredCredential -Target contoso

С помощью командлета Get-StoredCredential вы можете вывести сохраненный пароль, хранящийся в диспетчере учетных данных в отрытом виде.

Выведите список сохраненных учетных данных:

Скопируйте значение Target для объекта, пароль которого вы хотите извлечь и вставьте его в следующую команду:

$cred = Get-StoredCredential -Target LegacyGeneric:target=termsrv/MSKRD2S1 [System.Runtime.InteropServices.Marshal]::PtrToStringAuto([System.Runtime.InteropServices.Marshal]::SecureStringToBSTR($cred.Password))

Команда выведет сохраненный пароль в открытом виде.

powershell: получить пароль в открытом виде из диспетчера учетных записей Wndows

Также для получения сохраненных паролей из credman в открытом виде можно использовать утилиты типа Mimikatz (смотри пример).

Сохраненные пароли из Credential Manager можно использовать в ваших скриптах PowerShell. Например, в следующем примере я получаю сохраненные имя и пароль в виде объекта PSCredential и подключаюсь с ними к Exchange Online из PowerShell:

$psCred = Get-StoredCredential -Target «Contoso»
Connect-MSolService -Credential $psCred

Также вы можете использовать Get-StoredCredential для безопасного получения сохранённых учетных данных в заданиях планировщика.

Также обратите внимание на модуль PowerShell Secret Management, который можно использовать для безопасного хранения паролей в Windows (поддерживает различные хранилища паролей: KeePass, LastPass, HashiCorp Vault, Azure Key Vault, Bitwarden.

Чтобы удалить сохраненные учетные данные из Windows Vault, выполните:

Remove-StoredCredential -Target Contoso

Предыдущая статья Следующая статья

Где хранятся пароли в реестре и файловой системе Windows

В данной статье речь идет не о дешифрации паролей, а о том, где они хранятся в реестре и файловой системе Windows. В настоящее время, пароли приложений и служб хранятся в зашифрованном виде, и для их восстановления используется специальное программное обеспечение, как например Password Recovery Tools от Nirsoft. Знание местонахождения пароля не позволит перенести его на другой компьютер или в профиль другого пользователя, поскольку современное программное обеспечение разрабатывается, как правило, с учетом предотвращения такой возможности. Однако, подобную информацию можно использовать в познавательных целях и для удаления нежелательно сохраненных паролей.

Сетевые пароли Windows

Пароли, запоминаемые при подключении к сетевому ресурсу, например \\Server\Share , могут быть запомнены, если пользователь включит соответствующий режим запоминания пароля. Пароль будет сохранен в зашифрованном виде в специальном файле, владельцем которого является данный текущий пользователь. Имя и путь файла отличаются для разных версий Windows.
Для Windows XP/2003 сетевые пароли хранятся в скрытом файле:

Профиль пользователя\Application Data\Microsoft\Credentials\User SID\Credentials

Профиль пользователя — папка \Documents and Settings\Имя пользователя\
User SID — идентификатор Security ID в виде S-1-5-21-299502267-1085031214-1801674531-1003

Также, сетевые пароли хранятся в файле

Профиль пользователя>Local Settings\Application Data\Microsoft\Credentials\User SID\Credentials

Для Windows Vista и более поздних, пароли сохраняются в файле:

Профиль пользователя\AppData\Roaming\Microsoft\Credentials\Random ID

Профиль пользователя — папка \Users\Имя пользователя\
Random ID — имя файла в виде случайного набора символов 16-ричной системы счисления, например — DDEB0D2FF2A975E572C07B00A6E3FA28

А также в файле:

профиль пользователя\AppData\Local\Microsoft\Credentials\Random ID

Утилита из Password Recovery Tools от Nirsoft — Network Password Recovery.

Пароли к Dialup/VPN подключениям.

Пароли к Dialup/VPN подключениям также можно сохранить при включении пользователем соответствующего режима. Местом хранения в данном случае является системный реестр, ветвь HKEY_LOCAL_MACHINE\Security\Policy\Secrets\. , доступ к которой имеет только локальная системная учетная запись, под которой обычно выполняются системные службы. Соответственно, обычный пользователь или пользователь с правами администратора не смогут получить доступ к ветви реестра HKLM\Security и его ключам и параметрам. Поэтому, потребуется либо выполнение редактора реестра под локальной системной учетной записью, либо изменение разрешений для ветви реестра HKEY_LOCAL_MACHINE\SECURITY\ , например для полного доступа администратору системы. Изменение разрешений может выполнить администратор через контекстное меню, вызываемое правой кнопкой на ключе HKEY_LOCAL_MACHINE\SECURITY\ . После изменения разрешения необходимо либо перезапустить редактор реестра, либо обновить его окно (нажать F5). После завершения работы с разделом HKLM\Security\. разрешения необходимо восстановить в исходном виде.

Для запуска редактора реестра regedit.exe под локальной системной учетной записью можно воспользоваться, например, утилитой PSexec из состава пакета PSTools. Для этого, в командной строке, выполняющейся под учетной записью с правами администратора, нужно выполнить команду:

psexec -s -i regedit.exe — выполнить regedit.exe под локальной системной учетной записью (параметр -s ) в интерактивном режиме (параметр -i )

Если в системе сохранялись пароли, то в разделе HKEY_LOCAL_MACHINE\SECURITY\Policy\Secrets\ будут присутствовать подразделы, имена которых начинаются строками RasDialParams и RasDefaultCredentials , например:

Пароли в Internet Explorer.

Пароли к Internet Explorer версии 6.0 и более ранних сохранялись в защищенном хранилище ( Protected Storage ) Windows, представляющем собой подразделы ключа реестра HKEY_CURRENT_USER\Software\Microsoft\Protected Storage System Provider . Начиная с версии IE7, пароли хранятся в виде учетных записей (имя пользователя, пароль, сайт) в реестре и файлах, размещаемых в профиле пользователя. Используется ключ реестра

HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\IntelliForms\Storage2
и, как и для сетевых паролей, скрытый файл Credentials в подкаталоге профиля пользователя
…Application Data\Microsoft\Credentials

Пароли в обозревателе Mozilla Firefox.

Пароли хранятся в файлах, имена которых зависят от версии браузера (signons.txt, signons2.txt, signons3.txt для Firefox версий 1x-3x) и в группе файлов, размещаемых в профиле пользователя по пути
Профиль пользователя\Application Data\Mozilla\Firefox\Profiles\Профиль Firefox\
Профиль Firefox — каталог с именем из случайного набора символов, определяется содержимым файла
«Профиль пользователя\Application Data\Mozilla\Firefox\profiles.ini» Пример:
[General]
StartWithLastProfile=1
[Profile0]
Name=default
IsRelative=1
Path=Profiles/olv9c5bt.default — имя каталога с профилем Firefox

В профиле Firefox хранятся все индивидуальные настройки пользователя, пароли, история, куки, закладки, дополнения и т.п. Также здесь присутствует файл key3.db, используемый для шифрования и расшифровки паролей.

Пароли в обозревателе Google Chrome.

Пароли обозревателя Google Chrome запоминаются в файле
Профиль пользователя\Local Settings\Application Data\Google\Chrome\User Data\Default\Web Data
Файл ”Web Data” является базой данных SQLite для хранения паролей к сайтам и некоторых других параметров обозревателя. Также, в профиле Google Chrome хранится вся история, куки, дополнения и настройки .

Пароли в обозревателе Opera.

Пароли сохраняются в файле wand.dat который находится в каталоге Профиль пользователя\Application Data\Opera\Opera\profile

Пароли почтовых клиентов.

Outlook Express и Outlook 98/2000 — пароли хранятся в защищенном хранилище Windows (Protected Storage), так же, как и у старых версий Internet Explorer.

Утилита из Password Recovery Tools от Nirsoft — Protected Storage Passview.

Windows Live Mail — все настройки, включая сохраненные пароли хранятся в каталогах:
Профиль пользователя\AppData\Local\Microsoft\Windows Live Mail\Почтовая учетная запись»
Пароли и прочие параметры почтовой учетной записи хранятся в XML-файле с именем, начинающемся строкой account и с расширением .oeaccount

Outlook 2002 более поздние — пароли для подключения к серверам POP3,IMAP,SMTP хранятся в ключе реестра
HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows Messaging Subsystem\Profiles\Outlook\\[Account Index]
Если используется учетная запись для подключения к серверу Exchange, то пароли сохраняются в файле Credentials , как и сетевые пароли Windows.

Mozilla ThunderBird — пароли почтовых учетных записей хранятся в файле с расширением .s который находится в каталоге:
Профиль пользователя\Application Data\Thunderbird\Profiles\[Profile Name]

Сохраненные в системе пароли – это всегда дополнительный риск их утраты. Конечно, пароли к почтовым аккаунтам нет смысла вводить в ручном режиме при каждом подключении к почтовому серверу, но, например, пароли от личных кабинетов, административных панелей сайтов, от FTP-доступа к ним и т.п. сохранять не стоит, потому, что рано или поздно это может привести к их краже вредоносным программным обеспечением.

Если вы желаете поделиться ссылкой на эту страницу в своей социальной сети, пользуйтесь кнопкой «Поделиться»

Запоминание и удаление паролей в Microsoft Edge

При посещении веб-сайта, на который требуется войти, Microsoft Edge спросите, хотите ли вы запомнить имя пользователя и пароль. При следующем посещении этого сайта браузер автоматически подставит ваши учетные данные. По умолчанию сохранение паролей включено, но его можно отключить.

Отключение и отключение сохранения паролей

Выберите Параметры и другие >Параметры .
Выбор профилей >паролей
Включите или отключите offer для сохранения паролей.

Примечание: Отключение сохранения паролей не удаляет ранее сохраненные пароли.

Просмотр сохраненных паролей

Выберите Параметры и другие>Параметры .
Выберите Профили >пароли.

«Удалить сохраненные пароли»

Выберите Параметры и другие>Параметры .
Выберите Конфиденциальность, поиск и службы.
В области Очистка данных браузеравыберите выберите, что нужно очистить.
Выберите Пароли, а затем очистить.

Управление сохраненными именами пользователей и паролями на компьютере под управлением Windows XP, который не входит в домен

В этой статье описывается управление сохраненными именами пользователей и паролями на компьютере, который не входит в состав домена.

При входе на компьютер под управлением Windows XP можно указать имя пользователя и пароль, которые станут контекстом безопасности по умолчанию для подключения к Интернету или к другим компьютерам в сети. Однако эти учетные данные могут открывать доступ не ко всем нужным ресурсам. Функция сохранения имен пользователей и паролей позволяет сохранять дополнительные имена и пароли как часть профиля.

Функция «Сохранение имен пользователей и паролей» предоставляет безопасное хранилище для паролей. Благодаря ей имена пользователей и пароли для доступа к разнообразным сетевым ресурсам и приложениям (например, к электронной почте) можно ввести один раз, а затем Windows автоматически, без вмешательства пользователя, будет подставлять учетные данные при последующих посещениях этих ресурсов.

Введение в управление учетными данными

При первом входе на сервер или посещении веб-узла вам предлагается указать имя пользователя и пароль. При вводе имени пользователя и пароля для доступа к определенному ресурсу и установке флажка Сохранить пароль учетные данные сохраняются в учетной записи пользователя. При последующем подключении к этому ресурсу Windows автоматически выполняет проверку подлинности учетной записи, используя сохраненные учетные данные.

В случае установки флажка в поле Сохранить пароль в диалоговом окне ввода имени пользователя и пароля (оно появляется при подключении к ресурсу) учетные данные сохраняются в наиболее общей форме. Например, при доступе к определенному серверу в домене учетные данные могут быть сохранены как *.домен.com (где домен — это имя домена). Сохранение других учетных данных для другого сервера в этом домене не приводит к их перезаписи. Новые учетные данные сохраняются с использованием более подробной информации.

При доступе к ресурсу пакет проверки подлинности выполняет в хранилище функции «Сохранение имен пользователей и паролей» поиск наиболее подробных учетных данных, соответствующих ресурсу. Если такие данные найдены, они будут использованы пакетом проверки подлинности без участия пользователя. Если же данные не найдены, программе, которая пыталась получить доступ к ресурсу, будет выдана ошибка проверки подлинности. В этом случае пользователю будет предложено ввести имя и пароль.

Сохраненными учетными данными можно управлять вручную. Для этого необходимо щелкнуть Управление сетевыми паролями в учетной записи пользователя, которую вы хотите изменить. В диалоговом окне Сохранение имен пользователей и паролей можно добавить новую запись, удалить существующую запись или просмотреть свойства существующей записи и отредактировать ее. Для этого нажмите кнопки Добавить, Изменить или Свойства.

Управление сохраненными именами пользователей и паролями

Для управления сохраненными именами пользователей и паролями выполните следующие действия.

Войдите на компьютер как пользователь, учетные данные которого необходимо изменить.
Нажмите кнопку Пуск и выберите Панель управления.
В разделе Выберите категорию щелкните Учетные записи пользователей, чтобы открыть диалоговое окно Учетные записи пользователей.
Откройте диалоговое окно Сохранение имен пользователей и паролей. Для этого сделайте следующее.
Если вы входите в систему с ограниченными правами:
1. В разделе Родственные задачи щелкните Управление сетевыми паролями.
1. В разделе или выберите изменяемую учетную запись щелкните свою учетную запись, чтобы открыть диалоговое окно Что вы хотите изменить в своей учетной записи?.
2. В разделе Родственные задачи щелкните Управление сетевыми паролями.
Будет показан список сохраненных имен пользователей и паролей, аналогичный приведенному ниже:

Добавление записи

Чтобы добавить учетные данные вручную:
1. В диалоговом окне Сохранение имен пользователей и паролей щелкните Добавить, чтобы открыть диалоговое окно Свойства личных данных для входа.
2. В поле Сервер введите имя необходимого сервера или общего ресурса. В качестве подстановочного символа используйте звездочку. Ниже приведены примеры правильных имен серверов: *.Microsoft.com
  \\Сервер\Общий ресурс
3. В поле Имя пользователя введите имя учетной записи пользователя с правами доступа к ресурсу. Вводите имя пользователя в формате Сервер\Пользователь или Пользователь@домен.com. Следующие примеры иллюстрируют правильные имена пользователей (в данном примере Microsoft — это имя домена, а Пользователь — имя пользователя): Microsoft\Пользователь
  Пользователь@microsoft.com
4. В поле Пароль введите пароль пользователя, указанный на шаге 3, и нажмите кнопку ОК.
5. В диалоговом окне Сохранение имен пользователей и паролей нажмите кнопку Закрыть.
Удаление записи

Чтобы удалить учетные данные
1. В диалоговом окне Сохранение имен пользователей и паролей выберите необходимые учетные данные и щелкните Удалить. На экране появится следующее сообщение: Выбранные сведения о входе в систему будут удалены.
2. Нажмите кнопку ОК.
3. В диалоговом окне Сохранение имен пользователей и паролей нажмите кнопку Закрыть.
Изменение записи

Чтобы изменить учетные данные
1. В диалоговом окне Сохранение имен пользователей и паролей выберите необходимые учетные данные и щелкните Свойства, чтобы открыть диалоговое окно Свойства личных данных для входа.
2. Измените необходимые данные и нажмите кнопку ОК.
Устранение неполадок

При таком способе сохранения учетных данных пользователя для удаленных ресурсов любой, кто получает доступ к этой учетной записи, также может получить доступ к таким ресурсам, защищенным паролем. Поэтому рекомендуется использовать надежный пароль для учетной записи Windows XP.

Для получения дополнительных сведений о создании надежных паролей нажмите кнопку Пуск и выберите команду Справка и поддержка. В поле Поиск введите «создание надежных паролей»и нажмите кнопку Начать поиск.

Ссылки

Дополнительные сведения об управлении сохраненными именами пользователей и паролями см. в следующих статьях базы знаний Майкрософт:

306992 Управление сохраненными именами пользователей и паролями на компьютере в домене

281660 Описание работы функции «Сохранение имен пользователей и паролей»
Похожие публикации: