⚠️ 僅供授權測試/應急恢復：Windows本地賬戶密碼繞過技術原理與防範

聲明：本文僅面向系統管理員進行授權滲透測試、合法應急恢復（如遺忘密碼無備份賬戶）、安全教學研究。嚴禁用於未授權訪問、竊取隱私、非法控制他人設備，違者承擔法律責任。所有操作需在合法授權環境下進行。

技術原理：SAM數據庫與註冊表權限結構

Windows本地賬戶哈希存儲於 `%SystemRoot%\System32\config\SAM`，由註冊表項 `HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users` 管理。每個用戶對應一個 RID（相對標識符）子項，關鍵值包括：

• `V` 值：密碼哈希（LM/NTLM）及歷史記錄；
• `F` 值：用戶屬性標誌（如 `0x10`=賬戶禁用，`0x11`=正常啟用）；
• Names 映射：用戶名 ↔ RID 關聯。

核心邏輯：Administrator (RID 500/0x1F4) 擁有最高權限標誌，Guest (RID 501/0x1F5) 默認禁用且無密碼。攻擊者通過離線掛載 SAM，將 Guest 的 RID 映射指向 Administrator 的權限標誌（F值），並啟用 Guest，即可獲得空密碼的系統級訪問。

標準化應急恢復流程（授權環境）

1. 準備 WinPE：使用正規廠商（微軟官方/微PE/伏羲/Edgeless等）構建的純凈 WinPE，避免捆綁推廣軟件；
2. 掛載離線 SAM：Regedit → `HKEY_LOCAL_MACHINE` → 文件 → 加載配置單元 → 選擇目標系統 `C:\Windows\System32\config\SAM` → 命名（如 `OFFLINE_SAM`）；
3. 備份原始鍵值：導出 `OFFLINE_SAM\SAM\Domains\Account\Users\000001F4` (Admin)、`000001F5` (Guest)、`Names\Administrator`、`Names\Guest` 為 `.reg` 文件妥善保存；
4. 構建繞過項（僅示意關鍵邏輯，不提供逐步注編腳本）：
   • 修改 `Names\Guest` 映射至新 RID（如 `0x1E5`）；
   • 創建對應 RID 項 `000001E5`，寫入 Admin 的 `F` 值（權限標誌）與 Guest 的 `V` 值（空密碼哈希）；
   • 啟用 Guest 賬戶（刪除 `UserFlags` 中的禁用位）。
5. 卸載配置單元、重啟驗證：Ctrl+Alt+Del 切換用戶 → 輸入構建的用戶名 → 空密碼登錄；
6. 事後清理：登錄系統後立即刪除構建的隱藏用戶項，恢復 SAM 原始權限，若異常可從 PE 還原備份 SAM 文件。

防範體系：從「被繞過」到「不可繞過」

法律與倫理邊界

• 《刑法》第285條：非法侵入計算機信息系統罪（最高7年有期徒刑）；
• 《網絡安全法》第27條：禁止提供專門用於非法侵入、非法控制的程序/工具；
• 企業內部：未經書面授權的滲透測試屬違規操作，可能導致解僱/追責。

結語

技術本無善惡，使用者有邊界。掌握繞過原理，是為了構建更堅固的防線——部署 BitLocker、禁用無用賬戶、啟用審計、備份恢復金鑰，這四步成本極低，卻能將「物理接觸繞過」的風險降至接近零。安全從不追求絕對，而在於將攻擊成本推高至「不值得」的閾值之上。