pyvmx-cracker：虚拟机密码恢复与离线哈希破解实战指南

1. 项目概述：从虚拟机密码遗忘到pyvmx-cracker的诞生

虚拟机，尤其是VMware Workstation或VMware Player创建的虚拟机，已经成为我们日常开发、测试、学习乃至隔离环境的标配。它就像我们数字世界里的一个个独立房间，每个房间都有自己的门锁——也就是虚拟机的登录密码。但麻烦事儿来了：时间一长，你可能会忘记当初为某个测试环境设置的复杂密码；或者你接手了一个前任同事留下的、没有交接文档的虚拟机镜像；又或者，你在进行合法的安全评估时，需要验证自己备份的虚拟机镜像的访问权限。直接重装系统？里面的配置、数据、软件环境可能花费了你数周时间搭建，代价太大。使用VMware官方的恢复工具？过程往往繁琐，且对某些特定账户（如非管理员账户）可能不适用。

这时候，一个名为pyvmx-cracker的工具就进入了我们的视野。它不是一个商业软件，也不是VMware的官方工具，而是一个由安全研究者和开发者社区贡献的、用Python编写的脚本工具。它的核心目标非常明确：通过分析VMware虚拟机的配置文件（.vmx文件），尝试破解或绕过其中设置的登录密码。请注意，这里讨论的“密码”通常指的是虚拟机操作系统（如Windows、Linux）的登录密码，而不是VMware软件本身的许可证密钥。这个工具诞生的背景，正是源于上述那些令人头疼的“合法访问”需求。对于运维工程师、渗透测试人员（在授权范围内）、数据恢复工程师以及广大爱折腾的技术爱好者来说，掌握这样一套方法，无异于找到了一把在紧急情况下能打开自家房门的备用钥匙。当然，这把“钥匙”必须用在正当的地方，任何未经授权的访问尝试都是非法且不道德的。

2. 核心原理深度剖析：VMX文件与密码存储的奥秘

要理解pyvmx-cracker如何工作，我们必须先深入虚拟机配置的核心——.vmx文件。当你用VMware创建一个虚拟机时，除了生成虚拟磁盘文件（.vmdk）外，还会生成一个后缀为.vmx的文本配置文件。这个文件用纯文本记录了虚拟机的几乎所有硬件配置和部分软件设置，比如内存大小、CPU核心数、网络适配器类型、磁盘控制器型号等。你可以用任何文本编辑器打开它，里面的内容一目了然。

那么，操作系统的密码会不会也以明文形式存放在这里呢？答案是：通常不会。VMware的设计者不会犯如此低级的安全错误。.vmx文件本身并不直接存储Windows或Linux的用户密码哈希或明文。那么，pyvmx-cracker破解的到底是什么？

这里涉及到VMware虚拟机启动过程中的一个可选安全特性：BIOS启动密码或磁盘加密密码。虽然不常见，但用户确实可以在虚拟机的BIOS设置中为启动过程设置一个密码，以防止未经授权的系统启动。此外，对于使用了VMware内置加密功能的虚拟机（需要vSphere高级版本，个人版的Workstation不常见），其加密密钥的相关信息也可能以某种形式与配置关联。pyvmx-cracker早期版本或某些变种，其攻击面主要集中在这里。它通过解析.vmx文件，寻找那些可能以弱方式（如Base64编码、简单异或）存储的认证令牌或哈希，然后进行离线爆破。

然而，更常见、更实用的场景是针对虚拟机内操作系统的密码。这时，pyvmx-cracker的角色更像是一个“ orchestration”（编排）工具。它的核心思路是：

1. 挂载虚拟磁盘：通过解析.vmx文件，获取关联的.vmdk虚拟磁盘文件路径。
2. 直接访问磁盘数据：在宿主机上，利用Python库（如pyvmdk）或调用系统命令，将虚拟磁盘以“只读”模式挂载到宿主机的一个目录下。这样，虚拟机磁盘里的文件系统（如NTFS、EXT4）就对宿主机可见了。
3. 定位并操作密码文件：对于Linux系统，直接读取/etc/shadow文件；对于Windows系统，则读取C:\Windows\System32\config\SAM等注册表Hive文件。
4. 调用专业破解工具：pyvmx-cracker自身通常不包含强大的密码哈希破解算法。它的聪明之处在于“借力”。它会将提取到的密码哈希（例如，从/etc/shadow中提取的$6$开头的SHA512哈希，或从SAM文件中提取的NTLM哈希）格式化，然后调用像John the Ripper或hashcat这样的业界顶尖密码恢复工具，并自动为其配置密码字典或攻击模式。

所以，pyvmx-cracker的本质是一个自动化脚本。它自动化了“从虚拟机配置定位磁盘 -> 挂载磁盘 -> 提取密码哈希 -> 调用破解引擎”这一整套繁琐流程。它的威力不在于自身的算法，而在于其流程整合能力以及对VMware虚拟机结构的深刻理解。

重要提示：任何密码破解行为都必须严格限定在合法范围内。仅针对你拥有完全所有权的虚拟机（例如，你自己创建但忘了密码的测试机），或在获得明确书面授权的安全评估中进行。未经授权攻击他人系统是严重的违法行为。

3. 环境准备与工具链搭建

在运行任何脚本之前，一个稳定、隔离且工具完备的环境是成功的第一步。盲目运行从网络下载的脚本是极其危险的。

3.1 实验环境隔离方案

我强烈建议你不要在常用的生产或开发主机上直接进行密码破解实验。最佳实践是创建一个全新的、隔离的虚拟机环境来作为你的“实验沙箱”。

• 方案A（推荐）：嵌套虚拟化在你的物理机（宿主机）上，使用VMware Workstation或VirtualBox创建一个新的虚拟机（我们称之为“实验机”）。在这个实验机里，安装一个Linux发行版，如Kali Linux或Ubuntu。然后，在这个实验机中，再安装VMware Workstation（或Player），用于加载那个你忘了密码的“目标虚拟机”。这样，所有的破解操作都发生在实验机内部，与你的宿主机完全隔离，即使脚本有恶意行为或操作失误，也不会影响你的真实工作环境。现代CPU大多支持嵌套虚拟化（Intel VT-x/AMD-V），需要在宿主机VMware的虚拟机设置中，勾选“虚拟化Intel VT-x/EPT或AMD-V/RVI”选项。

• 方案B：专用物理机或容器如果你有闲置的旧电脑，可以将其重装为Linux系统，专用于此类安全实验。或者，对于高级用户，可以使用Docker容器来隔离Python运行环境，但容器内直接挂载和操作虚拟磁盘文件可能会涉及权限和驱动问题，复杂度较高，不建议新手尝试。

3.2 核心依赖安装与验证

我们的实验机以Kali Linux为例，因为它预装了大量安全工具。如果使用Ubuntu，则需要手动安装更多包。

1. 系统更新与基础工具：

   sudo apt update && sudo apt upgrade -y sudo apt install -y python3 python3-pip git wget curl

2. 安装VMware磁盘挂载工具： 要读取.vmdk文件，我们需要libvmdk-utils。在Kali中，它可能叫libvmdk-tools。

   # Kali Linux sudo apt install -y libvmdk-tools # Ubuntu/Debian # sudo apt install -y libvmdk-utils

   安装后，可以使用vmdkinfo和vmware-mount等命令（如果可用）来检查虚拟磁盘信息。

3. 安装密码破解引擎：pyvmx-cracker通常依赖John the Ripper或hashcat。

   # 安装John the Ripper (JTR) sudo apt install -y john # 安装hashcat (通常Kali已预装) sudo apt install -y hashcat

   安装后，运行john --version和hashcat --version验证。

4. 安装Python依赖库： 根据pyvmx-cracker脚本的具体要求，可能需要安装一些Python库，例如用于解析VMX文件的，或者用于处理磁盘映像的。常见的可能有pyparsing（解析VMX）、pycryptodome（处理某些加密）。我们可以先安装一个通用集合：

   pip3 install pycryptodome

3.3 获取与审查pyvmx-cracker脚本

这是最关键也最危险的一步。你绝不能直接从不明来源下载并运行脚本。

1. 寻找可靠源码：在GitHub、GitLab等知名开源代码托管平台搜索pyvmx-cracker。查看项目的Star数、Fork数、最后更新时间和Issues，判断其活跃度和可靠性。优先选择那些有详细README、代码结构清晰、且近期有更新的项目。

2. 人工代码审查：在运行前，必须用文本编辑器或IDE打开主Python脚本文件，仔细阅读前200行代码。你需要警惕以下几点：

   • 可疑的网络请求：检查是否有向未知域名或IP发送数据的requests.get/post、urllib调用。
   • 可疑的系统命令：检查os.system、subprocess.Popen调用的命令是否异常，比如rm -rf /、wget某个脚本然后执行、curl | bash管道等。
   • 加密或混淆的代码段：如果看到大段的base64字符串、eval()函数执行动态生成的代码，请立即停止，这极有可能是恶意代码。
   • 文件操作范围：检查脚本会对哪些路径的文件进行读写。确保它只操作你指定的目标虚拟机文件，不会扫描整个家目录或系统目录。

3. 在隔离环境中首次运行：即使代码看起来没问题，第一次也请在完全隔离的实验机中运行，并使用strace或python -m py_compile等方式简单监控其行为，或者用sudo权限运行（但需谨慎）。

4. 实战演练：分步破解虚拟机密码

假设我们已经在一个隔离的Kali Linux实验机中，准备好了名为forgotten-win10.vmx的目标虚拟机文件，并且已经完成了上述环境准备和代码审查工作。下面我们模拟一个典型的破解流程。请注意，不同版本的pyvmx-cracker脚本参数和用法可能不同，以下流程基于其通用逻辑。

4.1 步骤一：分析目标虚拟机结构

首先，我们手动检查一下VMX文件，了解目标。

cat forgotten-win10.vmx | head -30

你会看到类似如下的内容：

.encoding = "UTF-8" config.version = "8" virtualHW.version = "19" memsize = "4096" displayName = "Windows 10 x64 Test" ... scsi0:0.present = "TRUE" scsi0:0.fileName = "forgotten-win10.vmdk" scsi0:0.deviceType = "scsi-hardDisk" ... guestOS = "windows9-64"

关键信息是scsi0:0.fileName，它指明了虚拟磁盘文件的路径（通常是相对路径，与.vmx文件在同一目录）。guestOS告诉我们这是一个64位的Windows 10系统。

4.2 步骤二：使用pyvmx-cracker提取哈希

假设我们找到的pyvmx-cracker脚本主文件名为vmx_cracker.py。一个典型的用法可能是：

python3 vmx_cracker.py --vmx ./forgotten-win10.vmx --action extract-hash

脚本内部会执行以下操作：

1. 解析forgotten-win10.vmx，找到forgotten-win10.vmdk。
2. 尝试以只读方式挂载这个VMDK文件。在Linux下，它可能会使用vmware-mount命令，或者利用libvmdk库通过FUSE（用户空间文件系统）挂载到类似/mnt/vmdk_mount的临时目录。

   实操心得：挂载步骤最容易出错。如果脚本报错“无法挂载”，可能需要手动安装vmware-vdiskmanager或检查用户权限。有时需要sudo权限。可以尝试手动命令调试：sudo vmware-mount /path/to/forgotten-win10.vmdk /mnt/test。

3. 挂载成功后，对于Windows系统，脚本会定位到/mnt/vmdk_mount/Windows/System32/config/SAM和SYSTEM文件。它不会直接破解它们，而是使用像samdump2或impacket工具包里的secretsdump.py这样的工具，从SAM和SYSTEM文件中提取本地用户的NTLM哈希。

   # 脚本内部可能执行的命令示例 samdump2 SYSTEM SAM > extracted_hashes.txt # 或者 python3 /usr/share/doc/python3-impacket/examples/secretsdump.py -sam SAM -system SYSTEM local > extracted_hashes.txt

4. 脚本将提取出的哈希（格式如Administrator:500:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0:::)保存到一个文本文件中，例如win10_hashes.txt。

4.3 步骤三：利用Hashcat进行强力破解

pyvmx-cracker可能会集成调用hashcat的模块，或者只是提示你手动进行下一步。假设我们已经得到了win10_hashes.txt。

1. 识别哈希模式：首先，我们需要知道提取的哈希类型。对于Windows NTLM哈希，它在Hashcat中的模式代码是1000。我们可以用hashcat --example-hashes | grep -i ntlm来确认。

2. 准备密码字典：密码字典的质量直接决定破解成功率。Kali Linux自带了一些字典，位于/usr/share/wordlists/，如rockyou.txt.gz（需要解压）、fasttrack.txt。你也可以从互联网上寻找更庞大、更专业的字典库，或者根据目标用户信息（姓名、生日、常用单词）自己生成定制字典。

   gunzip /usr/share/wordlists/rockyou.txt.gz

3. 发起破解攻击：使用Hashcat发起字典攻击。

   hashcat -m 1000 win10_hashes.txt /usr/share/wordlists/rockyou.txt -o cracked_passwords.txt

   • -m 1000: 指定哈希类型为NTLM。
   • win10_hashes.txt: 包含哈希的文件。
   • /usr/share/wordlists/rockyou.txt: 密码字典路径。
   • -o cracked_passwords.txt: 将破解结果输出到该文件。

   如果你的显卡性能较好，可以添加-O选项优化内核，或使用-w 3调整工作负载。破解过程会在终端显示状态，包括当前速度、预计剩余时间、已破解的哈希等。

4. 查看破解结果：破解完成后，查看结果文件。

   cat cracked_passwords.txt

   输出格式通常是哈希值:明文密码，例如31d6cfe0d16ae931b73c59d7e0c089c0:（空密码）或对应的复杂密码。

注意事项：Administrator用户的NTLM哈希31d6cfe0d16ae931b73c59d7e0c089c0对应的密码是空密码。这是一个特殊值。如果你看到这个哈希被“破解”了，实际上意味着该账户没有设置密码。这是检查Windows虚拟机是否设密的一个快速方法。

4.4 步骤四：针对Linux虚拟机的流程差异

如果目标虚拟机是Linux（例如Ubuntu），流程在提取哈希的步骤有所不同。

1. 提取哈希：脚本挂载磁盘后，会直接读取/etc/shadow文件。但/etc/shadow中的密码哈希是经过salt（盐值）加密的，且通常只有root可读。脚本可能需要sudo权限，并直接复制该文件。
2. 格式化哈希：原始的shadow文件需要与/etc/passwd文件结合，或者被格式化成john或hashcat能识别的格式。常用工具是unshadow。

   # 假设脚本将挂载的/etc/passwd和/etc/shadow复制了出来 unshadow passwd_copy shadow_copy > linux_hashes.john

3. 破解：使用John the Ripper进行破解可能更简单，因为它对unshadow格式原生支持。

   john --wordlist=/usr/share/wordlists/rockyou.txt linux_hashes.john john --show linux_hashes.john # 显示破解出的密码

   也可以使用Hashcat，但需要指定对应的哈希模式（如-m 1800for sha512crypt$6$）。

5. 高级技巧与定制化攻击

基础的字典攻击成功率依赖于字典的强度。如果字典攻击失败，我们就需要更智能的方法。

5.1 密码字典的工程学艺术

一个强大的自定义字典是成功的关键。不要只依赖现成字典。

• 信息收集：如果这个虚拟机是某位同事留下的，尝试收集可能的信息：姓名全拼、缩写、工号、生日、宠物名、公司名、常用项目代号、电话号码片段等。
• 使用字典生成工具：crunch、cupp、rsmangler是非常强大的工具。
  • crunch可以生成符合特定模式的所有密码组合。例如，知道密码可能是“公司名+年份”，可以：crunch 8 8 -t COMPANY%%%生成COMPANY后跟三位数字的所有8位密码。
  • rsmangler可以对一个基础单词列表进行各种变形，如大小写变换、前后添加数字、leet语替换（如a->@， s->$）等。echo "password" | rsmangler --file - > mangled.txt。
• 组合攻击：Hashcat支持组合攻击（-a 1），将两个字典中的词组合起来。例如，将收集到的名字字典和常见后缀数字字典（如000到999）组合。

5.2 利用Hashcat规则进行智能变形

Hashcat的规则（rule）功能极其强大。它允许你对字典中的每个单词应用一系列变换规则，从而大幅扩展攻击面。Kali自带了大量规则文件在/usr/share/hashcat/rules/。

# 使用best64.rule规则集对rockyou字典进行变形攻击 hashcat -m 1000 win10_hashes.txt /usr/share/wordlists/rockyou.txt -r /usr/share/hashcat/rules/best64.rule -o cracked_rule.txt

best64.rule包含了64种最高效的密码变换规则，例如将单词首字母大写、在末尾添加“123”、进行leet语替换等。这相当于用一个基础字典，生成了数十倍甚至上百倍的新密码进行尝试。

5.3 掩码攻击（针对性爆破）

如果你对密码策略有所了解（例如，公司强制要求8位以上，包含大小写字母和数字），但不知道具体字符，掩码攻击（Mask Attack）比纯粹的暴力破解（遍历所有组合）更高效。

假设你怀疑密码是8位，格式为：首字母大写，后跟6个小写字母，最后一位是数字。 在Hashcat中，掩码表示为：?u?l?l?l?l?l?l?d

• ?u= 大写字母
• ?l= 小写字母
• ?d= 数字

攻击命令为：

hashcat -m 1000 win10_hashes.txt -a 3 ?u?l?l?l?l?l?l?d

-a 3指定掩码攻击模式。你可以根据已知信息调整掩码，显著缩小搜索空间。

6. 常见问题、错误排查与伦理边界

在实际操作中，你会遇到各种各样的问题。这里记录了一些典型场景和我的解决经验。

6.1 问题排查速查表

6.2 伦理与法律红线

这是必须反复强调的部分。技术是一把双刃剑。

• 所有权是前提：你只能对你拥有合法所有权的虚拟机进行此类操作。这包括：你自己创建的、公司分配给你管理的、或在获得资产所有者明确书面授权下进行安全评估的虚拟机。
• 目的必须正当：用途仅限于密码恢复，例如：忘记了自己测试环境的密码、验证备份文件的完整性、在授权渗透测试中评估认证强度。绝对禁止用于非法入侵、窃取数据、破坏系统。
• 尊重隐私与合规：即使虚拟机归你所有，如果里面存有他人（如测试用户）的个人信息，在恢复访问后也应妥善处理，遵守相关的数据隐私法规（如GDPR）。
• 知识用于防御：通过了解攻击者可能使用的方法（如本工具演示的哈希提取与破解），你可以更好地防御。例如，为虚拟机设置强密码（长、复杂、唯一）、启用全盘加密、定期更新系统、使用多因素认证等。

掌握pyvmx-cracker及其背后原理的真正价值，不在于你能破解多少个密码，而在于你深刻理解了虚拟机安全的一个薄弱环节——离线攻击。这让你在设计系统和制定安全策略时，能意识到存储在磁盘上的静态密码哈希是需要重点保护的对象，从而推动你采用更安全的身份认证和管理方案。