Windows XP 管理員密碼繞過漏洞：Win2000 安裝光碟進入修復主控台免密碼實測報告
網傳使用 Windows 2000 安裝光碟啟動電腦，可繞過 Windows XP 內建 Administrator 密碼直接進入修復主控台，獲得完整系統控制權。筆者實測驗證漏洞真實性、影響範圍與防護對策。
實測環境
- 目標系統：Windows XP Professional 簡體中文版，C: 採用 FAT32，設定 Administrator 密碼。
- 驗證密碼有效性：切換經典登入介面，以 Administrator 登入需輸入密碼，確認密碼生效。
- 攻擊工具：Windows 2000 Professional 簡體中文版 SP3 整合安裝光碟。
攻擊步驟與結果
- Win2000 光碟開機 → 選擇「修復 Windows 2000」（R）→「使用修復主控台」（C）。
- 掃描現有安裝 → 列出
1: C:\WINDOWS → 輸入 1 + Enter。
- 關鍵結果： 未要求輸入 Administrator 密碼，直接進入修復主控台（XP 光碟啟動則會要求密碼）。
- 修復主控台具備完整系統權限：複製/移動/刪除檔案、啟動/停止服務、格式化/重新分割區等破壞性操作。
擴展驗證
| 測試條件 | 結果 |
|---|
| XP 安裝 SP1 修補程式後 | 漏洞依然存在 |
FAT32 轉換為 NTFS (convert C: /FS:NTFS) 後 | 漏洞依然存在 |
| Win2000 Server 英文版 SP3 光碟 | 漏洞依然存在 |
| 部分 Win2000 光碟無法顯示修復主控台選項 | 無法利用此漏洞（光碟版本差異） |
漏洞限制與風險評估
- 僅限本機物理存取： 需光碟開機，無法遠端利用。
- 修復主控台功能限制： 無法載入圖形介面、無法直接重設密碼（需手動編輯 SAM/登錄）、無法存取網路資源（除非啟用網路服務）。
- 危害等級：中等。物理存取前提下可竊取資料、植入後門、破壞系統，但需技術門檻。
防護對策
- BIOS 設定開機順序鎖定硬碟優先，禁用光碟/USB 開機，並設定 BIOS 密碼防篡改。
- 機箱加鎖/物理安全 防止未授權人員接觸硬體。
- 啟用 Syskey（系統金鑰）加密 SAM 資料庫：
syskey → 選擇「密碼啟動」或「磁碟機金鑰」，大幅提高離線破解難度。
- 使用 EFS 加密敏感資料夾/檔案，即使取得檔案也無法讀取內容。
- 升級至 Windows Vista/7/8/10/11，BitLocker + TPM + Secure Boot 從硬體層面防禦離線攻擊。
技術原理分析
Win2000 修復主控台驗證邏輯未正確識別 XP 的 SAM 資料庫版本/密碼雜湊格式，導致密碼驗證流程被略過。XP 修復主控台則正確實作密碼驗證。此為跨版本相容性測試疏漏所致。
法律與道德聲明
本文僅供安全研究、滲透測試授權範圍、系統管理員防護驗證參考。未經授權存取他人電腦系統屬違法行為（刑法妨害電腦使用罪、資安法相關條款）。請嚴格遵守法律法規與職業道德。
