Windows Server 2003 登入密碼記憶體殘留機制與防禦對策 (安全研究)

聲明：本文為安全防禦研究，分析密碼在 LSASS 進程記憶體中的存留特性，協助建立監控與緩解措施。禁止用於攻擊行為。

密碼為何出現在 LSASS 記憶體

Windows 驗證架構要求 LSASS (Local Security Authority Subsystem Service) 以明文或可逆加密形式持有使用者密碼以進行認證運算。微軟認為可逆加密等同明文，故直接保留明文以換取效能。

XP/2003 與 NT 4.0/2000 差異

實測掃描失敗主因

1. 位址無規律，需暴力掃描整個進程空間。
2. 密碼前後無固定分隔符，strstr() 失效，僅能嘗試搜尋 LocalSystem Remote Procedure Call 等經驗字串，命中率極低。
3. 無法將提取密碼對應至具體帳號 (覆蓋問題)。

攻擊者可能嘗試的提升手法

• 將掃描程式做成服務，定期輪詢偵測新登入事件。
• 以已知帳密呼叫 LogonUser() 建立基準特徵，反推未知密碼位置。
• 結合 GINA 替換或 Winlogon Hook (穩定性較高但需核心模式簽章)。

企業級防禦部署清單

1. 強制安全登入序列 (Ctrl+Alt+Del)：群組原則「互動式登入: 不需要 Ctrl+Alt+Del」=「已停用」。
2. 啟用 LSASS 存取監控：Sysmon Event ID 10 (Process Access) 捕獲 OpenProcess(PROCESS_VM_READ) 針對 lsass.exe 的呼叫，整合 SIEM 告警。
3. 最小權限原則：移除非必要本地管理員，標準用戶無法開啟 LSASS 進程讀取記憶體。
4. 升級至支援 Credential Guard 的版本 (Windows 10 1709+ / Server 2019+)：虛擬化安全性 (VBS) 隔離 LSASS 秘密，即使核心被攻破也無法讀取。
5. 推行多因子驗證 (智慧卡/Windows Hello/FIDO2)：降低純密碼被竊風險。
6. 定期修補與應用程式白名單 (AppLocker/WDAC)：阻擋未簽章掃描工具執行。

Windows Server 2003 已停止主流支援，強烈建議規劃遷移至受支援版本並啟用現代認證保護機制。