深度解析 Windows 7 密碼重設盤的核心運作原理

前言：從 XP 到 Windows 7 的演進

Windows 密碼重設盤功能自 XP 時代便已存在，但其內部運作機制在 Windows 7 中發生了重大變化。本文將深入探討這項功能的技術細節，揭示密碼加密儲存與私鑰管理的幕後邏輯。

XP 時代的機制回顧

在 Windows XP 中，建立密碼重設盤時，系統會生成一組公私鑰對及自簽憑證。公鑰用於加密使用者帳戶密碼，儲存於登錄表 HKEY_LOCAL_MACHINE\SECURITY\Recovery\<SID> 中；私鑰則從電腦移除，僅保存在軟碟中。這種設計確保了只有持有實體磁碟的使用者才能解密密碼。

Windows 7 的關鍵變化

進入 Windows 7 時代，私鑰改以 userkey.psw 檔案形式儲存在 USB 隨身碟中。然而，若檢視 HKEY_LOCAL_MACHINE\SECURITY\Recovery，會發現其下空無一物，不再有使用者 SID 子項。這引出核心問題：經公鑰加密的密碼副本究竟藏在哪裡？

真相大白：Recovery.dat 隱藏配置單元

經由 Process Monitor 追蹤發現，建立重設盤時，Lsass.exe 進程會在 C:\Windows\System32\Microsoft\Protect\Recovery 目錄下自動建立 Recovery.dat 登錄配置單元檔案，並將其掛載至登錄表 HKLM\{C80ED86A-0D28-40dc-B379-BB594E14EA1B}（此 GUID 用途不明）。完成建立後，Lsass.exe 會卸載該配置單元，導致常規方式無法查看其內容。

如何檢視加密密碼資料

利用 PsExec -s -i -d regedit 以 LocalSystem 權限啟動登錄編輯器，選取 HKLM，透過「檔案 > 載入配置單元」指向 Recovery.dat，並指定任意項名稱（如 Test）。展開後即可看見目前登入帳戶的 SID，其預設值便儲存著經公鑰加密的帳戶密碼副本。

安全啟示

Windows 7 雖號稱最安全的作業系統，但「木桶效應」提醒我們：若忽略實體裝置管控，密碼重設盤仍可能成為攻擊入口。理解其內部原理，有助於制定更完善的防護策略。