监守阵地 坚固Windows XP的密码防线

　　为维护用户自身利益、防止计算机资源被他人非法侵用和盗取等目的，使用密码保密是最主要也是最直接的手段。作为计算机的主人，当然希望自己的计算机安全系数高一些！虽说漏洞满天飞的Windows频频被病毒攻击，但Windows操作系统还是绝对优势占据着市场。

　　对于Windows计算机的内部管理（如公用计算机、设置多用户的Windows等），密码无不充当着抵挡非法用户的第一道“防火墙”，但是你又是怎么给Windows设置密码呢？以Widows XP为例，仅仅是在“控制面板→用户账户”中使用一个自己认为难以破解的密码而沾沾自喜！其实，要坚固Windows xp的密码防线还是有一些必须条件，下面两个“案例”足以体现出来——

　　案例一：利用net命令漏洞添加用户入侵Widows XP登录

　　入侵可行性分析：Windows XP系统分区文件系统为FAT32格式、待入侵的Windows XP系统已创建的超级管理员账户名称中没有汉字。

　　入侵全过程：

　　1.开机启动Windows XP，当屏幕显示“正在启动Windows XP”步骤时，按“F8”键调出系统启动选择菜单，选择“带命令行的安全模式”命令项；

　　2.一会儿后，列出Administrator和其他用户的选择菜单，选择Administrator后回车，进入命令行模式；

　　3.键入命令：“net user USERa 123456 /Add”（不包括全角引号，下同），回车后，系统自动添加以USERa为名称、密码为123456的用户。如果系统中已经存在USERa用户，那么也可以将现有的USERa用户的密码更改为123456，注意，是无需输入原密码就可以更改的噢；

　　4.接着使用“net localgroup administrator USERa /Add”命令提升USERa用户为管理员级别，即拥有所有权限操作系统；

　　5.最后一步，就是重新启动计算机，在登录窗口中使用新增加的账户，输入刚刚更改的新密码，已经成功登录。

　　防范措施：

　　防范建议一：尽量用NTFS文件系统安装Windows XP，虽然NTFS在纯DOS状态还可以通过NTFS for DOS工具来访问，但这也给入侵增加一些难度。如果你的Windows XP分区文件系统格式为FAT32，可以按以下操作将其转换成NTFS格式：

　　1.点击“开始→运行”，在文本框输入“cmd”，回车；

　　2.在新打开的“命令提示符”窗口中输入“convert C: FS:NTFS”（假设这里的XP系统所在分区是C盘），回车后，系统即检测当前分区文件系统，一会儿后提示输入卷标，原先分区有卷标应输入与原先相同的卷标，回车后即开始转换文件系统。

　　友情提示：

　　convert是Windows XP的一个DOS命令，其功能就是将FAT文件系统转换成NTFS文件系统，在“命令提示符”窗口中输入“convert /?”可以查看该命令的具体参数（如图1）。

图1

　　3.转换成功后，在资源管理器中右击C盘，选择“属性”命令，在“C盘 属性”窗口中选中“启用压缩节省磁盘空间”复选框，点击“确定”按钮后，系统即开始压缩C盘文件，一会儿会弹出一些文件正在使用警告框，选择全部忽略即可。

　　防范建议二：给“Administrator”名称的管理员账户应用密码，或修改此账户名称，具体方法后文将提及；另外创建的管理员账户最好包含汉字，目的是给入侵者输入过程带来麻烦。

　　案例二：通过替换密码管理文件入侵Widows XP

　　入侵可行性分析：Widows XP是通过“SPOOLSV.EXE”进程（如图2）管理Windows XP登录的，每次登录系统时，系统首先调用“SPOOLSV.EXE”进程检验当前系统是否使用密码。对于未设置登录密码的账户，“SPOOLSV.EXE”进程就记住后采用自动登录方式，即跳过密码检测步骤。所以此案例入侵的成功性非常高。

　　图2

　　入侵全过程：

　　1.找一台没有设置密码的Windows XP系统，进入XP系统盘的“/WINDOWS/system32”系统目录，把其中的名为“SPOOLSV.EXE”（50KB）拷贝到软盘或闪存里（如图3）。

　　图3

　　友情提示：

　　如果未在“/WINDOWS/system32”文件夹中找到指定文件，则说明当前系统隐藏显示系统文件，在资源管理器中点击菜单“工具→文件夹选项”，在“查看”标签页中撤消“隐藏受保护的操作系统文件(推荐)”复选框，并将“隐藏文件和文件夹”选择为“显示所有文件和文件夹”方式。

　　2.准备好密码文件后，先确认待入侵的Windows XP的文件系统，如果是FAT32，那么将非常方便，只需找一张启动盘，把软盘里的“SPOOLSV.EXE”拷贝到目标XP系统分区的“/WINDOWS/system32”文件夹覆盖即可。如果是NTFS文件系统，案例一已提及通过NTFS for DOS访问，当然如果是NT多系统共存，也可进入其它系统替换，反正最终目的是成功替换“SPOOLSV.EXE”文件。

　　3.替换文件后，正常方式启动Windows XP，一会儿后你会发现可以不用输入密码直接进入Windows XP桌面（多用户的XP系统会选择第一个用户登录），已成功入侵。

　　入侵后遗症：虽然本案例可以成功进入Windows XP，但切换或注销用户后将要求输入密码。换句话说，其实只是使系统启动跳过登录窗口，一旦激活登录窗口（切换或注销用户），就正常执行密码检测步骤。另外，它将破坏系统的休眠功能。

　　防范措施：注意一下案例一的“防范建议一”，给入侵带来些麻烦；启用Windows XP的密码策略功能，即本文的主题。

　　通过以上两个案例，似乎感觉到Widows XP的密码形同虚设。其实这只是Widows XP默认设置密码步骤隐藏的危险，通过其定义更安全的密码规则用到的是系统的“本地安全设置”工具我们完全可以坚固Widows XP密码防线。

　　1.运行“本地安全设置”工具

　　点击“开始→运行”中输入“secpol.msc”激活它。在主窗口的左侧目录树依次展开“账户策略→密码策略”，我们要定义的密码规则就是在右侧面板显示的选项了（如图4所示）！

　　图4

　　2.设置密码规则各选项

　　首先双击“密码必须符合复杂性要求”，将安全设置设为“已启用”，此时用户在“控制面板→用户账户”中创建的密码必须包含大小写英文、阿拉伯数字及特殊字符（如标点符号、!@#$%^&()等等）三种类型字符，如果未包含其中一种字符，将会弹出对话框提示。

　　友情提示：测试密码安全的条件：

　　⑴.不以自己的名称、生日和从词典中查找得到的简单的单词或数字作为密码的全部组成部分；

　　⑵.在自己的密码中加入特殊字符，如“+-*/~”等，必要的话，可以交替大小写，虽然大部分程序支持汉字作为密码，但介于输入的弊端（即在其它文本框中输入汉字，采用剪贴拷贝的方法输入），建议还是不要使用汉字密码；

　　如果你觉得这样创建密码简单，但不容易记住，那么可以尝试这种方法：首先造一句自己非常熟悉易记的英文句子，可以是名言名句或者如“Hello!Is it my PassWord?”类似的句子，这样我们就可以按部就班出“H!IimPw?”的简短密码，在输入密码时，在心中默念这个句子（千万别读出声噢！），输入其中的关键字即可。

　　密码长度最小值（如图5所示）：用户创建密码的最小位数，可以输入0至14之间的阿拉伯数字，0表示不要求检测创建的密码长度。一旦用户创建的密码不满足要求的位数，系统也将弹出对话框警告；

　　图5

　　密码最长存留期（如图6所示）：这个选项比较有意思，是设置密码的过期时间，即在指定的周期时间内必须更换一次符合要求的新密码。当然，设置为0则表示密码永久不作废，最长的周期时间是999天；

　　图6

　　密码最短存留期（如图7所示）：与“密码最长存留期”选项相对，即设置密码的存活的最少时间，在这段时间内，用户不允许更改密码。同样，设置为0可以随时更改密码，密码可存活的最长时间是998天；

　　图7

　　强制密码历史（如图8所示）：频繁更改密码，必然产生多个不同的密码，而此时系统会帮你“记忆”你曾经使用过的密码，帮你记忆的密码数量就由你来“告诉”系统了。0表示不用系统保留密码历史，系统最多也只能帮你记忆24个密码历史，原来系统的记忆力也有限制的^-^；

　　图8

　　为域中所有用户使用可还原的加密来储存密码：为保证密码安全，建议停用此功能。

　　清楚了各选项的具体意思和范围，我们就可以灵活定制密码规则了，笔者这里提供一个参考方案：密码复杂性要求启用、密码长度最小值设为8个字符、强制密码历史设置为0后，接着确定密码最长（短）存留期，一般将最长存留期设为最短存留期的2至3倍，如最长存留期设为30天，那么最短存留期可以设置为10天，这样比较合理。

　　3.重命名系统管理员账户

　　Windows XP默认的系统管理员账户名称是“Administrator”（即所谓的真正的系统管理员账户），不少系统高手建议用户得这个账户设上密码，原因是该账户在正常系统状态下是隐藏的，而在安全模式里，该账户毅然出现在登录画面里，在未设置密码的情况下，当然是不用密码就可以“闯入”系统。在“本地安全设置”里，我们可以重命名系统管理员账户名称，在左侧目录树中展开“本地策略→安全选项”，双击右面板的“账户:重命名系统管理员账户 Administrator”，在弹出的窗口中可以输入新的系统管理员账户（如图9所示）。不过经测试几次，新的系统管理员账户名称不能是当前登录的管理员账户名称，否则弹出如图10的“未能保存 本地策略数据库”错误对话框。

　　图9

图10

　　4.Windows XP正常模式使用“Administrator”账户昵称技巧

　　其实早在安装Windows XP系统时，创建的账户昵称不允许为Administrator和Guest名称，如果你和笔者一样，想使用“Administrator”账户昵称，此时不必在账户昵称中输入任何字符，直接冷启系统，重新启动后，Windows XP已经跳过账户昵称步骤，直接以Administrator账户登录系统。

　　本文主要向读者提个醒，用好Windows XP系统的密码策略，如果要防止本文列出的两个“案例”入侵，建议将Windows XP的分区的文件系统转换为NTFS，并时时注意Windows XP的安全补丁包，如最近发布的SP2，极大增强了系统安全，这份大餐可别错过！