Широко распространено мнение о том, что в системах на ядре NT (WindowsNT2kXP) в файловой системе NTFS в принципе невозможно скопировать какой-либо файл, занятый критическим системным процессом. Таковым файлом, например, является файл SAM (%WINDIR%System32configsam), который хранит хэши паролей всех пользователей. Имея эти хэши можно подобрать пароль к любому из пользователей данного компьютера. Кроме того, иногда для дополнительного шифрования используется программа SystemKey (по умолчанию в WindowsXP), в этом случае для подбора пароля необходимо ещё иметь файл system, хранящийся в этой же папке. Оба этих файла заняты системой и если Вы просто так попытаетесь скопировать их, то вы получите сообщение типа "Нарушение совместного доступа к файлу". Завершить системный процесс невозможно (ведь это ядро системы, без него она работать не будет). Тем не менее, имеется эффективный способ скопировать любой файл, даже если он занят системой, и об этом способе известно не всем.
Способ этот заключается в следующем: когда мы копируем файл, то мы обращаемся к нему как файлу, то есть, на высоком уровне. Наш запрос проходит через ядро системы. А система уже может отклонить наш запрос, если файл занят другим процессом. Но ведь никто не мешает нам обратиться к этому файлу на более низком уровне, физически считывая с жёсткого диска кластеры, на которых расположен файл. Для реализации этой идеи удобно использовать шестнадцатеричный редактор для Windows WinHex. Последние версии этого редактора (v11) имеют утилиту под названием DiskEditor (ToolsDisk Editor). В появившемся окошке в ветке с логическими дисками (Logical Drives) выбирает нужный нам диск (C:), а затем отмечаем нужные нам файл(ы), жмём правой кнопкой по ним => RecoverCopy, выбираем, куда их скопировать и всё! нужный Вам файл успешно скопирован! Таким образом, можно скопировать абсолютно любой файл, хоть файл подкачки (из которого, кстати, тоже можно извлечь много полезной информации)!
Когда в нашем распоряжении появился драгоценный файлик SAM, то можно попробовать подобрать пароль (процедура эта долгая, но она оправдывает время!), например, с помощью проги LC+4 или SamInside.
