Windows Server 2003 登入密碼提取技術分析 (僅供防禦研究)

聲明：本文僅從防禦視角分析密碼在記憶體中的殘留機制，協助管理員理解風險並部署緩解措施。嚴禁用於未授權存取。

已知提取手法分類

1. Winlogon Hook / GINA 替換：攔截登入流程記錄明文密碼。XP/2003 新增未導出函數導致現成後門程式失效，需更新樣本。
2. LSASS 進程記憶體掃描：Windows 為了驗證需在 LSASS 保留明文密碼 (可逆加密等同明文)。NT 4.0/2000 位址固定易讀取；XP/2003 位址隨機化、多用戶覆蓋、特徵碼不固定，成功率低。
3. 模擬登入定位：以已知帳密呼叫 LogonUser() 產生特徵記憶體模式，再推測其他用戶密碼位置。

LSASS 記憶體掃描實測困境

• 密碼儲存位址無規律 (ASLR)。
• 後登入用戶密碼覆蓋前者，無法對應帳號。
• 前後資料無固定特徵碼，strstr() 等 API 失效，需手動逐位元組比對 (如搜尋 LocalSystem Remote Procedure Call 字串)，極不穩定。

防禦緩解建議

• 啟用「安全登入」 (Ctrl+Alt+Del) 防止 GINA 替換：gpedit.msc → 「互動式登入: 不需要 Ctrl+Alt+Del」→「已停用」。
• 部署 Windows Defender / 企業級 EDR 監控 LSASS 讀取行為 (如 OpenProcess + PROCESS_VM_READ)。
• 限制本地管理員權限：普通用戶無法掃描 LSASS 記憶體。
• 使用智慧卡/Windows Hello 多因子驗證，避免純密碼認證。
• 定期修補作業系統，啟用 Credential Guard (Windows 10/Server 2016+) 將密碼隔離於 VBS 容器。