一、基于WINDOWS SERVER 2003 本地管理员密码破解
WINDOWS 2003
工作组计算机的本地管理员密码保存在本地c:\windows\system32\config\sam下，一般破解本地系统管理员的密码就是利用WINPE引导盘进入PE系统，然后利用里面自带的工具进行密码破解即可，如下图1.1
（图1.1）
根据提示你可以手动提供WINDOWS文件夹的路径，也可以选择第二个选项让工具帮你查询MS SAM数据库的位置。然后工具会自动帮你找到位置，如下图1.2
（图1.2）
从图中我们可以看到找到了SAM的位置了。然后我们要选择需要修改或破解的账户，如下图1.3
（图1.3）
最终我们找到了三个账户，其中2个账户应该是禁用状态，我们不管，只需要修改administrator账户的密码即可。选择下一步，开始破解，如下图1.4
（图1.4）
我们看到，我们这里选择了“密码永不过期”和“清空这个用户的密码”只要选择Save即可。做完以后重启计算机看一下，如下图1.5
（图1.5）
现在我们不输入任何密码登陆一下看看。
现在我们发现已经可以成功登陆系统了，如下图1.6
（图1.6）
当然不同的PE可能里面携带的工具不同，有的工具不仅仅是清空密码，还可以在不知道密码的情况下直接修改。不过我个人还是偏爱在工作组模式下的计算机清空密码然后再重新设置。
二、基于目录服务还原模式下的管理员密码的破解
当一台工作组模式的WINDOWS SERVER2003提升为DC的时候，默认的本地管理员账号administrator会被提升为域管理员administrator，密码保持不变（在密码复杂度符合规定）另外一个就是要求你设置目录服务还原模式的管理员密码。这个密码通常是提升域控时候设置的，有时候日久年深的或者是你的上一任在临走的时候没有给你交代，那么等你的活动目录数据需要恢复的时候发现密码忘记那就虾米了，因为没有密码是进不去的。好吧，幸好我们还有域管理员密码。
1、
先使用域管理员账号登陆到DC系统中
2、
单击开始，单击运行，键入 ntdsutil，然后单击确定。
3、
输入set dsrm password 重置还原模式管理员密码，如下图2.1
（图2.1）
4、
要重置您正在使用的服务器的密码，请键入 reset password on server null（null代表本机）或者可以直接输入完整计算机名，如下图2.2
（图2.2）
5、
然后根据提示输入重置的密码，我本想偷个懒的，所以第一次输密码没有符合复杂度的要求。在这里我个人建议不要修改默认的域控策略，取消密码复杂度，微软默认这样做还是为了安全考虑如下图2.3
(
图2.3)
要重置另一台服务器的密码，请键入 reset password on server 服务器名，其中服务器名 是在其中重置 DSRM 密码的服务器的 DNS 名称。根据提示键入新密码。请注意，键入密码时不会显示任何字符。
6、
在 DSRM 命令提示符处，键入 q。
7、
在 Ntdsutil 命令提示符处，键入 q 以退出命令提示符。
然后重启计算机，按F8进入目录服务还原模式，输入重置密码即可进入了。
三、基于WINDOWS SERVER2003 域管理员密码的破解
如果我们把域管理员密码忘记怎么办？这个时候我还利用PE工具中的密码破解，但是域管理员密码是保存在c:\windows\system32\ntds 中了，不过没有关系，只要给定WINDOWS目录路径，剩下的就不用我们管了。如下图3.1
（图3.1）
这次我使用的是PE下的另一个工具，目的是：不要清空密码，而是修改密码。注意：在域控上最好还是做修改密码，而不是清空密码，如下图3.2
（图3.2）
点击应用，会提示密码修改成功，如下图3.3
（图3.3）
设置完毕后，我们重新启动系统，然后看一下改掉的是否可以进入了。
经过测试已经修改掉了域管理员的账号，可以登录了。
注：经过我反复测试，发现这个PE下的破解密码工具甚至可以破解2008 R2 系统下的域管理员密码，可谓异常强大，不过这个工具有一个非常致命的缺点。那就是如果将默认的域管理员账号更名，那么破解将失败。比如我改成admin，而在图3.1中，只能找到administrator和GUEST用户，无法找到改名后的admin用户。
另外，如果是生产环境，可能不止一台DC，如果这样强行修改密码，可能会造成DC同步的问题，最好的办法还是新建一个管理员权限的用户，然后登陆进去修改掉administrator的密码。我们测试一下。如下图3.4
（图3.4）
现在，我们新建了一个叫admin的用户，现在我们重新启动计算机，看一下是否可以登录。
神奇的事情发生了，我们发现在AD中没有找到admin这个账户，而原来的administrator账户的密码被改成我们新建admin时设置的密码了。如下图3.5
（图3.5）
看来要想实现这个功能，还得另找工具。
（二）另一个PE工具的使用
这个工具是来自MCSE.ORG的原创工具，据说是准备用来破解域管理员密码的工具，我们测试一下。如下图3.6
（图3.6）
引导后进入如上图界面，我们根据提示按“S”键开始破解，如下图3.7
（图3.7）
根据提示说明，它会新建一个叫mcse，密码为P@ssw0rd的管理员账号，我们利用这个账号登陆后，然后修改administrator的密码即可，如下图3.8
（图3.8）
果然新建了一个账户，而且在Users容器中。
虽然这款工具据说可以破解2008R2系统下的域管理员账号，但是我测试了一下，结果让我失望了。如下图3.9
（图3.9）
第一次测试发现提示参数不正确，经过反复测试，后来发现，原来2008 R2系统安装的时候会创建一个100MB的引导分区，在WINPE下，会默认把它当C分区，结果WINDOWS目录变成了D分区了。如下图3.10
（图3.10）
第二次测试修改了WINDOWS的路径，虽然提示成功了，但是重启之后发现并没有新增mcse用户，并且登录报错。如下图3.11、3.12
(
图3.11)
（图3.12）
以上问题，暂未找到解决方案。另外说一下，网上还有一种古老的破解域管理员密码的办法。
破解思路是：
1
、先破解windows域还原模式管理员密码（如果没有忘记则无需破解）
2
、进入目录还原模式下，打开组策略添加dsadd的启动脚本；此启动脚本，作用是在域下添加一个具有域管理员权限的用户达到破解的目的。
重新启动电脑，用新添加的用户登录修改原管理员密码即可。
脚本样本：
dsadd ou ou=test,dc=z00w00,dc=net
dsadd user "cn=aa,ou=test,dc=z00w00,dc=net" -pwd QQqq1111 -pwdneverexpires yes -mustchpwd no -acctexpires never
net group "domain admins" aa /add
dsadd user "cn=aa,ou=test,dc=z00w00,dc=net" -pwd QQqq1111 -pwdneverexpires yes -mustchpwd no -acctexpires never
net group "domain admins" aa /add
脚本说明：此脚本保存成bat格式，作用：在域下新建一个OU test,再在这个OU 下新建一个AA的帐号，密码为：QQqq1111，再将此用户添加至域管理员组，让其拥有域管理员权限。
本文转自 z00w00 51CTO博客，原文链接：http://blog.51cto.com/z00w00/977649，如需转载请自行联系原作者
