vmLinuxHash — Linux 虚拟机密码Hash取证工具

项目主页:https://github.com/0x7556/hacktool

vmLinuxHash 是一款用于离线提取 Linux 虚拟机密码哈希的轻量级工具。它可直接解析 VMware VMDK 虚拟磁盘文件，在不启动虚拟机、无需 root 权限的情况下，离线读取并提取 Linux 系统中的用户凭据哈希信息，适用于红队渗透、取证分析及内部安全审计等场景。

1. 功能特性

2. 使用方式

2.1 命令行用法

vmLinuxHash.exe <vmdk_path_or_directory>

2.3 使用示例

示例 1：提取单个 VMDK 文件

vmLinuxHash.exe C:\VMs\Kali\Kali.vmdk

示例 2：提取目录下所有 VMDK 文件

vmLinuxHash.exe Y:\Kali

3. 输出示例

[1/2] Y:\Kali\Kali.vmdk  Linux ext4 partition base offset: 2048 (LBA 4)  Ext4: blockSize=4096 groups=7680 inodeSize=256  --- /etc/shadow ---  root:$y$j9T$abc...def:19865:0:99999:7:::  kali:$y$j9T$xyz...uvw:19865:0:99999:7:::  === Password Hashes (non-locked accounts) ===  root $y$j9T$abc...def  kali $y$j9T$xyz...uvwFound 2 VMDK descriptor file(s)Elapsed: 12.34s

4. 兼容性测试

工具已在以下 Linux 发行版Vmdk中完成验证：

其它版本未测，欢迎提供成功读取版本

5. 文件校验信息（SHA1）

说明：

• vmLinuxHash.exe / vmLinuxHash.lnx：32 位版本
• vmLinuxHash_64.exe / vmLinuxHash_64.lnx / vmLinuxHash_64.mac：64 位版本
• 请根据目标平台选择对应版本，并可通过上述 SHA1 值校验文件完整性。

6. 使用场景

• 红队 / 渗透测试：获取目标 Linux 虚拟机中的密码哈希，配合离线破解工具（如 hashcat / John the Ripper）进行口令破解。
• 取证分析：在不启动虚拟机、不修改镜像的情况下，提取用户凭据信息，保证证据完整性。
• 内部安全审计：批量检查虚拟机镜像中的弱口令或已泄露账户。

7. 注意事项

• 本工具仅用于授权范围内的安全测试、取证分析及教学研究。
• 请勿用于任何未经授权的系统，滥用可能触犯法律。
• 工具通过只读方式解析 VMDK 镜像，不会对源虚拟磁盘造成修改。

免责声明

• 使用工具时，请遵循相关法律法规，确保在授权的环境中进行测试和使用。
• 本工具仅供教育和研究目的，任何滥用行为将由用户自行承担后果。

软件主页

• 幽狼 AI Shell：https://github.com/0x7556/wolfshell
• McpSerer: https://github.com/0x7556/PentestMCP
• 工具在圈子里，解压密码 0x7556