mimikatz找回windows密碼的幾種常用方式

总体说明第一种方法适用还未关机，但忘记密码不敢关机的情况。其他方法适用已经关机再开机无法登陆情况

一、mimikatz大法：

1、管理员运行CMD，CD到mimikatz路径，输入如下代码：

cmd

1
2
3

mimikatz
privilege::debug
sekurlsa::logonpasswords

2、输入完成后会输出很多信息如下：

cmd

Authentication Id : 0 ; 218083 (00000000:000353e3)
Session           : Interactive from 1
User Name         : mszj
Domain            : WINMSZJ
Logon Server      : WINMSZJ
Logon Time        : 2019/05/05 20:37:18
SID               : S-1-5-21-1342926417-1197820339-3447114308-1001
        msv :
         [00000003] Primary
         * Username : mszj
         * Domain   : WINMSZJ
         * NTLM     : 120867de8e06dae2399e5799c8c51229
         * SHA1     : 9c490ef34e346e301cf7fc8926a8167902ff4695

3、找到Primary字样下方的Username为用户名，NTLM为密码的HASH值，百度md5解密，把NTLM的值粘贴到解密网站就可以得到密码

cmd

1 2	Username: mszj Password: noriko

二、SAM提取大法：

1、用WinPE启动电脑，找到要找回密码系统的盘符，依次打开如：

cmd

1 2	C:\windows\system32\config\SAM C:\windows\system32\config\SYSTEM

2、将此两文件复制一份出来，拷贝到KALI Linux中，使用命令：

cmd

1 2	cd /root samdump2 SYSTEM SAM -o sam.hash

3、可以看到输出内容为：

cmd

*disabled* Administrator:500:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0:::
*disabled* Guest:501:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0:::
*disabled* :503:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0:::
*disabled* :504:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0:::
mszj:1001:aad3b435b51404eeaad3b435b51404ee:120867de8e06dae2399e5799c8c51229:::

4、disabled为未使用的帐号，使用的帐号没有星号。数字之间用冒号分段，找到最后一串数字就是HASH值，在线MD5破解得到密码：

cmd

1 2	Username: mszj Password: noriko

三、文件替换大法

1、用WinPE启动电脑，打开管理员权限CMD，输入如下命令：

cmd

move c:\windows\system32\Magnify.exe c:\windows\system32\Magnify1.exe
move C:\windows\system32\Utilman.exe C:\windows\system32\Utilman1.exe
move C:\windows\system32\osk.exe C:\windows\system32\osk1.exe
move C:\windows\system32\sethc.exe C:\windows\system32\sethc1.exe
copy c:\windows\system32\cmd.exe c:\windows\system32\Magnify.exe
copy C:\windows\system32\cmd.exe C:\windows\system32\Utilman.exe
copy C:\windows\system32\cmd.exe C:\windows\system32\osk.exe
copy C:\windows\system32\cmd.exe C:\windows\system32\sethc.exe

2、移除PE重启电脑到登陆系统界面，按5次Shift、或打开讲述人、或打开屏幕键盘、或打开放大镜，弹出CMD窗口输入：

cmd

1	net user mszj 123456

3、如果是别的用户名，可以通过登陆界面查看到用户名，或在PE下查看常使用的用户名，将mszj替换为你的用户名
4、重启电脑使用123456登陆系统，记得恢复现场，命令为：

cmd

move c:\windows\system32\Magnify1.exe c:\windows\system32\Magnify.exe
move C:\windows\system32\Utilman1.exe C:\windows\system32\Utilman.exe
move C:\windows\system32\osk1.exe C:\windows\system32\osk.exe
move C:\windows\system32\sethc1.exe C:\windows\system32\sethc.exe

四、不推荐的恢复法

1、使用PE下工具直接清空密码或改密码，这种方式是直接操作SAM文件，损坏的可能性极大，很多人用PE恢复法后恢复无效，甚至系统损坏！