隨筆檔案(496)

　　1：清除sam文件：

　　WinNT系列的系統(tǒng)賬戶信息是存在%systemroot%\system32\config\sam這個注冊表文件里的。 如果系統(tǒng)里沒有重要的賬戶，或者賬戶比較少，用刪除%systemroot%\system32\config\sam的方法是比較簡單的，不過因為系統(tǒng)會還原為只有administrator（密碼為空）和guest二個賬戶，所以有些程序因為它們所依賴的賬戶丟失了，如iis、vmware就不能啟動了。

　　　原來聽說這種方法只能適用于nt workstation系列（2kpro），不能用于server，我在2000professional和2000 advanced server上試驗都是成功的。不知道為什么會有上述說法，可能是活動目錄ad下不行吧。

　　　當然首先你要能夠訪問系統(tǒng)分區(qū)，來把sam文件改名或者刪除。如果是fat32、fat分區(qū)，使用98啟動盤就行了。如果是ntfs分區(qū)，可以使用winternal的ntfs for dos、ntfs for 98或者是支持ntfs的啟動光盤，再或者掛到其他win2000、linux等機器上，再再或者重新安裝一個新的win2000。 　　

　　2：專用工具：

　　windows管理員密碼丟失還有一個解決方法是使用Petter Nordahl-Hagen的The Offline NT Password Editor(http://home.eunet.no/~pnordahl/ntpasswd/)，這個工具是離線修改注冊表文件sam來設置密碼的。需要用他的映像文件制作啟動盤來引導，進而訪問ntfs分區(qū)重新設置密碼；雖然作者經(jīng)常更新他的程序，不過我還是會擔心他直接操作sam文件的安全性，可能有時會導致系統(tǒng)出錯?？赡苓€有其他類似工具吧，恕我無知。

　　3：還有一種想法就是用一個修改密碼的小程序來替換系統(tǒng)啟動的必要程序，然后系統(tǒng)啟動時就會替換密碼，隨后把被替換的程序在還原就行了。當然首先你還是要能夠訪問系統(tǒng)分區(qū)，來替換隨系統(tǒng)啟動的程序。 　　

　　替換系統(tǒng)啟動的必要程序的一種方法是我寫的一個清除administrator密碼的小程序(CleanPwd：http://www.BingleSite.net/myprog/CleanPwd/CleanPwd.rar)，他所作的就是把administrator密碼清空。使用方法如下：

　　1)：用雙系統(tǒng)或者啟動盤或者掛到別的系統(tǒng)上，如果是NTFS分區(qū)其他系統(tǒng)或啟動盤要能讀寫NTFS分區(qū)，把windows安裝目錄下的system32\svchost.exe改名svchost.bak.exe備份，把CleanPwd.exe拷貝成svchost.exe。 　　

　　2)：啟動該系統(tǒng)，就把administrator的密碼清空了，可以直接登陸。 　　

　　3)：把svchost.bak.exe 恢復就行了（如果使用替換的是svchost，最好再啟動rpc服務）。為什么選用svchost.exe而不是其他程序，因為每個windows2000系統(tǒng)都有這幾個進程，System(kernel Executive and kernel)、smss(session manager)、csrss(win32 subsystem)、winlogon(logon process)、services(Service control manager)、lsass(local security authentication server ) 如果任何一個被殺掉或者出錯，系統(tǒng)將重新啟動。不過在lsass啟動之前你不能修改密碼，所以不能選用這幾個程序。

　　另外系統(tǒng)中一般還有以下一些程序：svchost.exe(Remote Procedure Call (RPC) 還有其他一些服務)、WBEM\WinMgmt.exe(Windows Management Instrumentation)、mstask.exe(Task Scheduler)、regsvc.exe(Remote Registry Service) 可能還有其他服務程序，你可能禁止了除RPC之外的其他服務，但不會禁止rpc，否則系統(tǒng)工作就不正常了。所以我選擇了svchost，如果你知道其他服務會自動啟動，你也可以選擇它。當然如果系統(tǒng)安裝了殺毒軟件的話，你替換殺毒軟件也可以，因為一般殺毒軟件都會在系統(tǒng)啟動是啟動殺毒防火墻來殺毒的。