另类方法破解管理员密码
技术难度：Level 200
版权声明：如需转帖或者登载，请与pen.aihua AT gmail.com联系
重要说明：本方法在Windows XP环境下测试通过，有兴趣的朋友可以尝试在Windows 2000下进行测试。
原理简述：在正常计算机上加载故障计算机的SYSTEM配置单元，然后通过修改注册表将一个批处理文件安装为服务（以LocalSystem权限运行），在开机时自动运行，新建一个管理员帐户。
如果遇到管理员密码遗忘的问题，常见解决方法是采用之前创建的密码重设盘进行恢复（仅限于Windows XP），或者借助ERD Commander维护光盘中的LockSmith，或者O&O BlueCon进行密码重设。
这里介绍一个另类的方法，将一个添加新用户的批处理文件安装为系统服务，该服务会在系统登录之前自动运行，这样我们就可以利用新建的用户登录系统。
下面简单介绍步骤：
（1）新建一个批处理文件AddUser.bat，内容如下：
@echo off
net user test /add
net localgroup administrators test /add
（2）利用Windows 98启动盘引导故障计算机，然后复制出C:\WINDOWS\system32\config\system文件。并将先前创建的AddUser.bat批处理文件复制到C盘根目录下。
如果C盘为NTFS格式，则需要加载NTFSDOS Pro，下载地址如下：
http://www.sysinternals.com/Utilities/NtfsDosProfessional.html
如果C:\WINDOWS\system32\config\system文件容量超过软盘的剩余空间，则需要在DOS下加载USB驱动，以便可以将system文件复制到USB存储器里。
也可以将故障计算机的硬盘挂接到正常的计算机，以便复制出C:\WINDOWS\system32\config\system文件。
（3）在正常的计算机上打开注册表编辑器，然后选中HKEY_LOCAL_MACHINE，并单击文件、加载配置单元，定位到先前复制出的system配置单元文件，并指定加载到HKEY_LOCAL_MACHINE\Test System。
（4）定位到以下键值，并记下该键值的数值数据x，该键值记录故障计算机默认加载的ControlSet00x（例如是ControlSet001）。
HKEY_LOCAL_MACHINE\Test SYSTEM\Select\Default
（5）根据步骤（4）所记录的数值，展开以下注册表项：
HKEY_LOCAL_MACHINE\Test SYSTEM\ControlSet00x\Services
（6）在其下新建一个注册表项AddUser。
（7）在新建的HKEY_LOCAL_MACHINE\Test SYSTEM\ControlSet00x\Services\AddUser注册表项下新建以下键值：
类型：DWORD值，名称：ErrorControl，数值数据：0x1
类型：可扩充多字符串值，名称：ImagePath，数值数据：C:\AddUser.bat
类型：字符串值，名称ObjectName，数值数据：LocalSystem
类型：DWORD值，名称：Start，数值数据：0x2
类型：DWORD值，名称：Type，数值数据：0x20
这样就可以新建一个AddUser服务，以LocalSystem帐户的身份启动，类型为“自动”。
（8）修改结束以后，单击文件、卸载配置单元，保存所做的设置。
（9）将修改好的system文件复制回故障计算机。
（10）重启系统，并用Test用户登录系统，然后重设管理员密码，并删除HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\AddUser注册表项。
注意：尽管在事件查看器里会提示新建的AddUser服务启动失败，但是实际上该服务确实可以生效。