Windows Server 2003 登入密碼取得技術分析：三種方法原理與風險評估

聲明：本文僅供安全研究與防禦視角分析，嚴禁用於非授權存取。

在 NT 核心系列作業系統中，登入密碼的處理機制經歷多代演進。Windows Server 2003 引入顯著變更，使得傳統記憶體讀取法失效。以下分析三種主要技術路徑的原理、適用性與限制。

方法一：Winlogon API Hook (winlogonhijack)

• 原理：攔截 winlogon.exe 關鍵驗證函數，捕獲明文密碼。
• 限制：僅對本地互動式登入有效，遠端桌面 (RDP) 登入無法攔截。
• 風險：修改系統關鍵進程，穩定性風險高，易觸發 PatchGuard/完整性檢查。

方法二：GINA 介面植入

• 原理：替換或鏈接 MSGINA.DLL，在驗證流程中記錄憑證。
• 優勢：支援本地與遠端登入，穩定性優於 Hook 法。
• 限制：XP/2003 新增 Winlogon 函數未導出，現有 GINA 後門程式多不相容，需重寫適配。

方法三：LSASS 進程記憶體讀取

• 背景：NT 4.0/2000 密碼固定儲存於 winlogon.exe 記憶體，findpass 等工具可直接讀取。XP/2003 改為儲存於 lsass.exe (Local Security Authority Subsystem Service)。
• 挑戰：
  1. 密碼在 LSASS 記憶體位址無固定規律。
  2. 後登入使用者密碼可能覆蓋前者，且無帳號關聯資訊。
  3. 密碼前後資料無特徵模式，定位極度困難。
• 可行性：理論上可行（LSASS 需明文密碼進行驗證），但成功率極低，僅在「單一管理員登入且未鎖定/無其他登入」場景下機率較高。

提高成功率的理論策略

1. 編寫服務定期掃描本地/遠端登入事件，觸發時即時掃描 LSASS 記憶體。
2. 使用 LogonUser() API 模擬已知帳密登入，以已知密碼定位記憶體特徵，推算後續登入密碼位置。

結論與防禦建議

三種方法中，GINA 植入法相對穩定且難被偵測，但需針對版本開發。防禦面建議：啟用 Sysmon 監控 LSASS 存取行為、部署 Credential Guard (需較新版本)、限制本地管理員權限、強制智慧卡/多因子驗證。