Windows Server 2003 本地登錄密碼提取技術原理：LSASS 進程內存掃描

探討 NT 內核系統 (2000/XP/2003) 登錄密碼在內存中的存儲與提取方法，重點分析 2003 下 LSASS 進程掃描難點。

三種主流提取思路

1. Hook Winlogon (Gina/Winlogon Notify)：攔截認證流程獲取明文，穩定但需注入關鍵進程，風險高。
2. Gina 替換/鏈接：替換 msgina.dll 或註冊 Notification Package，捕獲密碼參數，兼容性需適配版本差異。
3. 直接掃描 LSASS 進程內存：早期 NT 4.0/2000 密碼在固定偏移，findpass 工具可直接讀取。XP/2003 位置隨機化，不再固定。

2003 下 LSASS 掃描挑戰

• 密碼無固定偏移，需特徵掃描。
• 多用戶登錄時密碼可能被覆蓋 (最後登錄者殘留)。
• 密碼前後無明顯特徵碼定位。
• 成功率低，僅在「單用戶登錄、無鎖屏、無後續登錄」場景較高。

提高成功率策略

1. 做成服務定時掃描，捕獲登錄瞬間內存。
2. 模擬登錄 (LogonUser API) 已知密碼定位特徵偏移，推斷真實用戶密碼位置。

示例掃描代碼邏輯 (C++)

• OpenProcess(PROCESS_VM_READ, PID_LSASS)
• ReadProcessMemory 從基址 0x002B5000 讀 5KB
• 搜尋特徵串 LocalSystem Remote Procedure Call (Unicode, 字符間隔 0x00)
• 特徵後尋找非零 Unicode 字符作為密碼候選
• 輸出候選字符串與地址

結論： Gina/Winlogon Hook 仍是最穩定通用方案；內存掃描受 ASLR/隨機化影響大，僅作輔助或特定場景應急。