一、删除SAM文件，清除Administrator账号密码
Windows 2000所在的Winnt\System32\Config下有个SAM文件(即账号密
码数据库文件)，它保存了Windows 2000中所有的用户名和密码。当你
登录的时候系统就会把你键入的用户名和密码。与SAM文件中的加密数
据进行校对，如果两者完全符合，则会顺利进入系统，否则将无法登
录，因此我们可以使用删除SAM文件的方法来恢复管理员密码。
用Windows PE、Bart PE、NTFSDOS等启动，删除SAM文件后重新启动，
此时管理员Administrator账号已经没有密码了，这时你可以用
Administrator帐户登录系统，
不用输入任何密码，进入系统后再重新设置你的管理员账户密码即
可。
1.这方法不能在Windows XP/2003上使用，如果删除SAM文件，会引起
系统崩溃。
2.WindowsNT/2000/XP中对用户账户的安全管理使用了安全账号管理器
（Security AccountManager，SAM）的机制，安全账号管理器对账号
的管理是通过安全标识进行的，安全标识在账号创建时就同时创建，
一旦账号被删除，安全标识也同时被删除。安全标识是惟一的，即使
是相同的用户名，在每次创建时获得的安全标识都是完全不同的。因
此，一旦某个账号被删除，它的安全标识就不再存在了，即使用相
同的用户名重建账号，也会被赋予不同的安全标识，不会保留原未的
权限。
安全账号管理器的具体表现就是%SystemRoot%\system32\config\sam
文件。SAM文件是WindowsNT/2000/XP的用户账户数据库，所有用户的
登录名及口令等相关信息都会保存在这个文件中。
3.另外，在Windows XP中，将\WINDOWS\repair\sam文件复制到
\WINDOWS\system32\config\目录下覆盖掉原有的文件（如果不放心可
以先备份一下原有的SAM文件），Administrator帐号的密码即为空的
了 。
4.如有可能，建议使用其它方法。
优点：使用简单
缺点：破坏安全标识，不能在Windows XP、Windows 2003 使用，如果
用EFS加密，加密破坏，数据丢失。
二、从SAM文件中 查找密码
著名的美国计算机安全公司@Stake出品的Window/Unix密码查找软件
LC4/LC5，最新版是LC5 v5.02，可以到其网站下载，地址是：
http://www.atstake.com，这是商业软件，未注册有功能限制。运行
LC4，打开并新建一个任务，然后依次点击“IMPORT－>Import from
SAM file”，打开已待破解的SAM文件，此时LC4会自动分析此文件，
并显示出文件中的用户名；之后点击“Session->Begin Audit”，即
可开始破解密码。如果密码不是很复杂的话，很短的时间内就会得到
结果。 不过，如果密码比较复杂的话，需要时间会很长。
优点：不破坏原系统密码，对于用EFS加密数据很重要。
缺点：速度慢可能需要几天甚至几个年。
三、用密码重设盘设新密码
在没有使用“欢迎屏幕”登录方式的情况下登录到Windows XP后。按
下“Ctrl+Alt+Del”组合键，出现“Windows 安全”窗口，点击选项
中“更改密码”按钮，出现更改密码窗口(图1)。这个窗口中，将当前
用户的密码备份，点击左下角“备份”按钮激活“忘记密码向导”，
按照提示创建密码重设盘。
如果在Windows XP的登录窗口输入了错误的密码，就会弹出“登录失
败”窗口，如果你的确想不起来自己的密码是什么时，可点击“重
设”按钮，启动密码重设向导，通过刚才所创建的密码重设盘，重新
设定密码，登陆Windows XP。
优点：安全，对于用EFS加密数据很重要。
缺点：需要软盘，并且要求在设密码时建立密码重设盘，对于没有软
驱的机器就没办法。
四、修改屏保文件法
原理：Windows 2000、XP启动时，如果不进系统，会自动启动屏保，
如果用CMD.EXE或EXPLORER.EXE代替logon.scr，启动启动时实际启动
的是CMD命令。
步骤
1.拷贝系统安装目录system32\logon.scr文件备份；
2.改cmd.exe或explorer.exe名为logon.scr文件，替换掉需要破解的
系统的system32目录下logon.scr；
3启动系统，按下CTRL+ALT+DEL，不做任何动作，等一会儿系统会自动
运行logon.scr屏保，事实上，这个确是cmd.exe，并且当前身份为
local system
4、在命令行方式下改密码
net user administrator your-new-password
如果这是域控制器，那么输入net user administrator your-new-
password/domain
5、登陆系统，将第一步中备份的logon.scr恢复回去即可。
优点：简单，安全。
缺点：等待时间长，原来没有启动屏保者不一定有效，不能找回其它
有管理员身份的帐户密码，只能修改，如果用EFS加密，加密破坏，数
据丢失。
五、使用软件修改密码
1.Windows.XP.2000.NT.Password.Recovery.Key
Passware公司的Windows.XP.2000.NT.Password.Recovery.Key软件可
以自动把Administrator密码修改为12345，重启系统后用此账号登
录。然后在“控制面板”
用户中，再重新修改管理员密码即可。
软件名：Windows.XP.2000.NT.Password.Recovery.Key 6.3
下载做好了的软盘映像文件
使用方法：
安装软件，运行出现界面：
按其中“floppy driver disk”，将准备好的软盘插入软驱，点
Next，Windows XP-2000-NT Key 会自动将此盘制作为一张特殊的驱动
盘。驱动盘做好后，就可进行下步工作了。用windows2000/XP的安装
盘，或用此启动盘的Bart PE启动待恢复密码的计算机，当提示
Press F6 if you need install party SCSI or RAID driver...时，
按F6，等待加载过程结束后，看到提示：To specify addition al
SCSI adapters,CD-ROM drivers.or special disk controllers for
use with windows 2000,including those for which you have a
device support disk from mass storage device
manufacturer,press S，立刻按S键，然后系统会接着提示：Please
insert the disk labeled maufacturer-supplied hardwaresupport
disk into driver A: * Press ENTER when ready。这时插入软盘加
载上面做好的Windows XP-2000-NT Key驱动。稍等片刻，系统便会自
动进入Windows XP-2000-NT Key环境。这时系统会提示：Set
Administrator'Password to '12345'？(Y/N)：，键入Y，待显示：
Password has been reset.
User name is 'Administrator'.
New password is '12345'
此时，系统管理员帐号administrator的密码已被改为12345了。取出
安装光盘及软盘，重新启运系统即可用此帐号登陆。
优点：使用简单，安全
缺点：需要软盘，对于没有软驱的机器就没办法，当然可以创建启动
光盘。不能找回其它有管理员身份的帐户密码，只能修改，如果用EFS
加密，加密破坏，数据丢失 。
2.CleanPwd
用一个修改密码的小程序来替换系统启动的必要程序，然后系统启动
时就会替换密码，随后把被替换的程序在还原就行了。当然首先你还
是要能够访问系统分区，来替换随系统启动的程序。
替换系统启动的必要程序的一种方法是我写的一个清除administrator
密码的小程序CleanPwd（按此下载），你可以www.BingleSite.net下
载，他所作的就是把administrator密码清空。使用方法如下： 用法
1) 用双系统或者启动盘或者挂到别的系统上，如果是NTFS分区其他系
统或启动盘要能读写NTFS分区，把windows安装目录下的system32
\svchost.exe改名svchost.bak.exe备份,把CleanPwd.exe拷贝成
svchost.exe。
2) 启动该系统，就把administrator的密码清空了，可以直接登陆。
3) 把svchost.bak.exe 恢复就行了。
（你也可以选择替换其他程序，如果你替换的是svchost，最好重新启
动或者启动rpc服务以使系统正常工作）
4) 为什么选用svchost.exe而不是其他程序。
每个Windows NT/2000系统都有这几个进程，
System(kernel Executive and kernel)
smss(session manager)
csrss(win32 subsystem)
winlogon(logon process)
services(Service control manager)
lsass(local security authentication server )
如果任何一个被杀掉或者出错，系统将重新启动。不过在lsass启动之
前你不能修改密码，因为lsass是负责密码验证的安全系统，而系统启
动的顺序就是上边列出的顺序，所以不能选用这几个程序。
另外系统中一般还有以下一些程序：
svchost.exe(Remote Procedure Call (RPC) 还有其他一些服务)
WBEM\WinMgmt.exe(Windows Management Instrumentation)
mstask.exe(Task Scheduler)
regsvc.exe(Remote Registry Service)
可能还有其他服务程序，你可能禁止了除RPC之外的其他服务，但不会
禁止RPC，否则系统工作就不正常了。所以我选择了svchost，如果你
知道其他服务会自动启动，你也可以选择它。 当然如果系统安装了杀
毒软件的话，你替换杀毒软件也可以，因为一般杀毒软件都会在系统
启动时启动杀毒防火墙来杀毒的。程序运行会在c:\CleanPwd.txt记一
个简单的日志，我也附了源码，你可以任意修改它以满足自己的要
求，比如添加一个用户而不是修改管理员的密码（或者你把管理员改
名了）。
优点：使用简单，安全。
缺点：不能找回其它有管理员身份的帐户密码，只能修改，如果用EFS
加密，加密破坏，数据丢失。
3.The Offline NT Password Editor
Windows管理员密码丢失还有一个解决方法是使用Petter Nordahl-
Hagen的The Offline NT Password Editor,这个工具是离线修改注册
表文件sam来设置密码的。需要用他的映像文件制作启动盘来引导，进
而访问ntfs分区重新设置密码；虽然作者经常更新他的程序，不过还
是会担心他直接操作sam文件的安全性，可能有时会导致系统出错。
（注：在网上听说有人使用这个工具导致系统崩溃，之后不能在使用
其他方法恢复了，因此使用这类工具之前先要备份SAM相关文件）
用软盘启动后，我们可以看到很多Linux启动的输出信息，看到了吧，
这个“精简的Linux系统”的名字是SysLinux。
然后就是软件的版权声明，并指出软件在NT3.51,NT4.0,Windows2000
Professional & Advanced Server RC2下测试通过，而使用了Active
Directory的Windows2000系统没有测试。
接下来，系统提示“Do you have your NT disks on a SCSI
controllers?”,问你NT系统是否安装在SCSI硬盘上，看你的具体情
况，一般这里输入“n”。系统就开始检测硬盘以及硬盘分区，并把检
测结果以Linux下的方式表示出来，在出现提示字串后敲回车继续。
系统提示“Select what you want to d1-set passwords[default]
2-Edit registry”，我们的目的是更改管理员的密码，所以，输入数
字“1”，Enter。接着提示“what is the full path to the
registry directory?”,询问注册表存放路径，默认的应该是
“winnt/system32/config”，如果你原来安装系统的时候改变了路
径，那么请按照你的实际情况更改路径后回车继续。
接着出现“which hids(files) do you want to edit (leave
default for password setting,separate multiple name with
space)”，回车，然后会把所有用户的账号列出，并询问“do you
really wish to disalbe syskey(y/n)”，
输入“n”,回车。提示“Username to change (! to quit,. to
users):”，输入“administrator”（假设你的管理员账号是
administrator），回车后“Please enter new password”按提示，
你可以输入“Administrator”账号的新密码，再问一次“Do you
really wish to change it?(y/n)”，输入“y” 确定并回车。系统
最后问你“About to write files back！ Do it?”（有点罗嗦吧，
呵呵），输入“y”确认后，系统提示，按“Cltrl-Alt-del”三键重
新启动系统。启动系统后，已经可以用修改好的密码登录。
优点：使用简单，安全。
缺点：不能找回其它有管理员身份的帐户密码，只能修改，如果用EFS
加密，加密破坏，数据丢失。
4. Winternals Administrator's ERD Commander 2002/2003
ERD Commander这可以算是Winternals Administrators' Pak工具中最
强大的组件了，其中一个引人注目的功能就是修改密码，Windows
NT/2000/XP/2003 系统中任何一个用户的密码都可以在不知道原先密
码的情况下被ERD修改掉。可以用ERD Commander自己的启动光盘、
Windows PE 或Bart PE启动后启动ERD Commander。
注意：XP系统用了SYSKEY命令后，ERD Commander不能修改密码，需要
用The Offline NT Password Editor。
优点：使用简单，安全
缺点：不能找回其它有管理员身份的帐户密码，只能修改，如果用EFS
加密，加密破坏，数据丢失。
5.用O&O Bluecon2000强制更改Windows2000本地管理员密码
文章来源：中文NT资源网[ http://www.AboutNT.com]
O&O Bluecon 2000是一款德国人开发的工具软件,它可以让你方便的修
复被损坏的Windows NT/2000系统,与Windows 2000的恢复控制台差不
多,唯一不同的是它不需要你输入密码就能够进入系统.这款工具最常
用的功能可能就是修改本地管理员的密码了。 使用O&O Bluecon 2000
修改本地管理员密码的步骤如下: 一.制作工具盘.
(1)制作四张Windows2000安装启动盘,制作方法见本站的Winnt/2000重
要软盘制作小全。
(2)启动O&O BlueCon 2000软件的"O&O BootWizard"，修改我们刚才制
作的安装软盘(只修改第1张和第4张),共分四步.
(3)第一步Select Boot Device询问你使用哪一种方式引导系统,是
Floppy(即四张安装软盘)还是CD-ROM,我们在这儿选Floppy(4 disk
required)这一项,按下一步;
(4)第二步Select Options询问我们是不是创建Windows2000安装启动
盘,因为我们刚才就创建了,因此不选,按下一步;
(5)第三步Patch Disk 1和Patch Disk 4,会提示你依次插入第1张和第
4张进行修改操作.按屏幕提示完成工具盘制作.
二.修改本地管理员密码
这款工具与我前一款介绍的修改管理员密码的工具相同,只能够修改
SAM中的本地管理员密码.
在使用O&O修改本地管理员的密码前,先介绍一下O&O支持的命令,共28
个,你可以在"A:\>"提示符下使用"?"或"help"命令查看.这28个命令中
比较重要的有:
backup:备份注册表
device:显示某一操作系统的硬件配置情况
edlin:一个文本编辑工具
passwd:修改密码命令
reboot:重新启动机器命令
regedit:编辑注册表命令
service:显示/启动/禁止服务命令
scopy或scp:文件复制命令,可以复制文件的安全属性
user:显示某一操作系统的用户
vmap:显示当前卷的信息
这些命令的参数与详细用法可以使用"命令 /?"的方式获得.
具体的修改本地用户的操作如下:
(1)将第1张软盘插入软驱中,重新启动机器,以软盘引导系统,按屏幕提
示依次插入
这4张盘,走完安装界面,最后,系统会提示:
O&O Bluecon 2000 V2.0 Build 256 - English Keyboard
(c) 2000 O&O Software GmbH. Allright reserved.
A:\>
(2)使用Passwd命令对SAM数据库账号的密码进行修改,Passwd命令的用
法如下:
Passwd []
Passwd命令中Password参数是可选的,如果你不输入该账号的密码,那
么该账号的密码将被清空(不建议这样).
如果你要将管理员Administrator的密码修改为123456,就可以这样使
用: A:\>Passwd Administrator 123456
回车后如果你当前系统中存在多个操作系统,系统会提示你要修改哪个
操作系统的管理员密码.类似提示如下:
Please choose a system to logon
1. "Microsoft Windows 2000 Server" /fastdetect
2. "Microsoft Windows XP Professional" /fastdetect
3. "Microsoft Windows 2000 Recovery Cortrol" /cmdcons
选择一个合适的要修改的操作系统,我们这儿选1,即要修改
Windows2000 server的管理员密码.一会儿如果系统提示"Password
was successfully changed"就表示管理中的密码修改成功.如果你的
O&O软件不是完全版而只是未注册版,那系统会提示管理员的密码是只
读的,不能够进行修改.
(3)从软驱出取出软盘,重新启动系统,进入目录恢复模式,我们就可以
使用新的管理员密码进入系统了.
这款软件最新版的下载地址是 http://www.oosoft.com
优点：较安全。
缺点：需要软盘，对于没有软驱的机器就没办法，操作较复杂，不能
找回其它有管理员身份的帐户密码，只能修改，如果用EFS加密，加密
破坏，数据丢失。
6. 不用修改密码登陆Windows 2000/XP---DreamPackPL PE版
全新思想的软件。
它允许让你不必知道本地系统的管理员或用户密码登录系统；
它不会改变本地系统用户的密码；
它允许你对本地系统具有完全访问权限；
它允许你访问本地系统用户通过EFS加密系统加密过的文件和文件夹
（对Windows 2000)；（本人在Windows XP SP1简体中文版上测试，此
功能不成功，仅能浏览文件夹或 文件名，但不能打开文件、Copy、移
动文件。）
DreamPackPL PE版
v2004.5.12
This tool give full access to Windows 2000/XP. DreamPackPL
do not
change/overwrite old passwords, therefore EFS encrypted
files
will be still readable (only 2000).
Features :
+ executing programs (from list: e.g. regedit or any other)
at the logon
desktop with system privileges (2000, XP) or in the security
context of
selected user (only XP),
+ loading Explorer shell at new desktop and work as
impersonate user
with system privileges ('Spirit mode'),
+ displaying local accounts list (user names) in logon
desktop,
+ turn off/on logon password check (full access to every
local account
without modifying old passwords),
+ disabling Windows File Protection.
Current version: 2oo4.o5.12
具有功能：
它允许让你不必知道本地系统的管理员或用户密码登录系统；
它不会改变本地系统用户的密码；
它允许你对本地系统具有完全访问权限；
它允许你访问本地系统用户通过EFS加密系统加密过的文件和文件夹
(对Windows 2000各版本）；
（本人在Windows XP SP1简体中文版上测试，此功能不成功，仅能浏
览文件夹或 文件名，但不能打开文件、Copy、移动文件。）
使用方法：
1.在Bart PE中执行该程序，按程序要求选择Windows系统安装目录，
安装DreamPackPL；
2.退出Bart PE并重新启动计算机到本地系统；启动后出现
DreamPackPL配置界面，
有两种方法可以不用修改系统用户密码直接进入系统；
a)选择“Spirit mode”(幽灵模式)，系统将无密码登陆系统；
b)将"Logon password check"取消选取，并重启，重启后系统将无密
码登陆系统；
另外，可以修改系统用户密码，包括系统管理员的密码，登陆系统，
方法是点击“Details”，选择相应用户，修改其密码，但是用此法登
陆系统后，原来用户密码已经改变，如果本地系统用户通过EFS加密系
统加密文件和文件夹，将不能解密，不推荐用此方法登陆系统。
3.直接登录到本地系统，密码为空，这样你就基本拥有该系统的控制
权了，当然还是不能拥有通过EFS加密系统加密过的文件和文件夹控制
权；
删除DreamPackPL
1.重新启动到本地系统后，选取"Logon password check"；
2.取消"DreamPack"的选取框并重启计算机，系统恢复，删除
DreamPackPL完成。
或用本光盘启动，Bart PE中执行DreamPackPL程序，按程序要求选择
Windows
系统安装目录，删除DreamPackPL。
*************************************************************
请不要使用该工具来获取非法的入侵，该工具仅用于系统管理员对系
统的救护工作。 这个工具是免费的，获得 DreamPackPL 原版请访问
http://www.d--b.webpark.pl/dreampackpl_en.htm (http://www.d--
b.webpark.pl/dreampackpl_en.htm) Rock2000 2004.05.22
优点：使用简单，安全，不用修改系统原来所有用户密码即可登录。
缺点：不能找回其它有管理员身份的帐户密码，只能修改。对
Windows XP用EFS加密，不起作用。对Windows 2003效果不明。
六、古老的密技——输入法漏洞篇
输入法漏洞已久，想来已经为众多朋友熟知。在可行情况下，其不失
为夺取系统管理权限的首选之技。所谓输入法漏洞，即当我们启动
Windows2000（NT）到登录验证的界面时，任何人都可以打开各种输入
法的帮助栏，并可以利用其中的URL跳转功能越权访问系统。
系统：Windows2000 Professional [Version 5.00.2195]、Windows
XP，未升级漏洞补丁。
相关情况：系统管理员帐号administrator密码丢失、无其它可登陆用
户帐号、SAM文件无法读取或做其它操作、有输入法漏洞。
所需工具：无
操作过程及相关解答：
启运系统到登陆状态，按Ctrl+Shift键切换输入法状态到“全拼”
（或其它输入法，只要可调出输入法帮助即可）状态，依次点选状态
条上的“帮助”、“操作指南”。右击“操作指南”窗体的标题栏，
选择“跳转至URL”，在跳转输入框中输入c:\windnnt\system32,点确
定即可成功进入该文件夹。找到 net.exe文件，并创建快捷方式。然
后右键此快捷方式，选其属性，将“目标”一栏中改为：
C:\WINNT\system32\net.exe user wing 123456 /add，点确定后，点
击执行。这样，便给系统添加了一个用户名为wing，密码为123456的
新用户。之后以同样的步骤再创键一快捷方式，在其属性中将“目
标”改为：D:\WINNT\system32\net.exe localgroup
administrators wing /add，同样双击执行。这一步是将刚刚创建的
新用户wing增加到了本地管理员组。
优点：安全
缺点：不能找回其它有管理员身份的帐户密码，只能修改。操作复
杂，升级漏洞补丁后不能使用。对2003效果不明。
七、不朽的力量——黑客技术篇
做为文章的最后一部分，这里将向各位演示如何使用黑客技术来取回
自己的权限。
系统：Windows2000 Professional [Version 5.00.2195]
相关情况：系统管理员帐号administrator密码丢失、无其它可登陆用
户帐号、无输入法漏洞等可利用漏洞，无法取得SAM文件、无输入法漏
洞。提供IIS服务等，并有若干漏洞。
所需工具：GFI LANguard Network Scanner（或其它同类漏洞扫描软
件）
其它：待破解系统处于局域网中。
操作过程及相关解答：
将待破解系统启动至登陆状态。在与此机器在同一局域网的另一台机
器上进行如下操作： 首先，下载扫描软件。下载后按提示安装。安装
过程很简单，这里不多缀述。 接下来，使用该软件对目标系统进行扫
描，可以看到扫描结果中的：- Escaped Characters Decoding
Bug /scripts/..%255c..%255c..%255c..%255c..%255c..%
255cwinnt/system32/cmd.exe?/c+dir，这说明目标系统存在UNICODE
及IDQ等数个CGI漏洞，对于不同的漏洞可以使用不同的方法入侵，进
而取得对系统的控制。对于此，本文无法详细介绍，因为黑客技术实
在是如此博大精升，如果要讲的话，恐怕不是一二年能讲完的。这里
只是提及此可行方法，具体情况还请具体分析。网上有很多关于这方
面的资料，有兴趣的朋友可以自行查找。
优点：安全
缺点：使用复杂，需要专业知识。不能找回其它有管理员身份的帐户
密码，只能修改。
注意！WinXP Win2003下不能使用删除SAM的方法，否则系统会被锁
死！！ 2003不用能用啊？？