パスワードを解除したい
-
パスワードを忘れた
わからなくなったWindowsのパスワードを解析して突破する手法については、Part1(Windows XP)、Part2(Vista)、Part3(Windows 7)
で検証したが、Windows 8/8.1/10では対策が取られたのか、ophcrackでは解析ができなくなった。
そこで、今回はシステムファイルを差し替える方式で管理者権限を奪取して、パスワードを解除する手法について実験してみる。
Windows 10 Pro Insider Preview Build 14971.rs_prereleaseを使用
写真では Windows 10 Pro Insider Preview Build 14971になっているが、同様の手法でBuild 15063.332 （Creators Update）でも管理者権限の奪取ができた。
Windows 10のインストールメディアを用意する
Microsoftのサイトからメディア作成ツールを入手して、ISOファイルをDVD-Rに記録した。
完全なシャットダウンをする
Windows10がインストールされたパソコンで、Windows 10のインストールメディアから起動するためには、完全なシャットダウンをする必要があるため、shiftキーを押しながら「再起動」を押す。
Windows 10のインストールメディアから起動した
「コンピュータを修復する」を選ぶ
コマンドプロンプトを起動させる
「トラブルシューティング」を選ぶ
「コマンドプロンプト」を選ぶ
コマンド？
-
システムファイルを置き換える
Windowsがインストールされたドライブの Windows¥System32¥utilman.exe を utilma.bak にリネームするWindowsがインストールされたドライブの Windows¥System32¥cmd.exe をコピーして utilman.exe と言う名前で保存するD:¥Windows¥System32>ren utilman.exe utilma.bak
なお、Windows 10のインストールメディアから起動した場合、WindowsがCドライブにインストールされていても、D:¥Windows¥System32>copy cmd.exe utilman.exe
書き換えるべきシステムファイルのあるドライブはCにはならず、DやEドライブなどとなる。
OSのバージョンやMicrosoftUpdateの実施具合によって書き換えるべきファイルが異なり、
Windows 8/8.1/10の場合、Windows¥System32¥utilman.exe を、
Windows 7の場合、Windows¥System32¥utilman.exe か Windows¥System32¥sethc.exe のどちらか一方となる。
このコマンドプロンプト上で、パスワードを書き換えることができれば話は非常に簡単なのだが、
コマンド net user test-user uso800 などと打っても拒否される。
通常起動させる
-
ログイン画面
Microsoftアカウントの管理者ユーザー、ローカルアカウントの管理者ユーザーがある。
コンピューターの簡単操作
画面右下よりコンピューターの簡単操作からユーザー補助を起動する。
ログイン画面でコマンドプロンプトが起動する
ユーザー補助を起動しようとすると、代わりにログイン画面でコマンドプロンプトが管理者権限で立ち上がる。
utilman.exe や sethc.exe はユーザー補助の実行ファイルで、これをコマンドプロンプト cmd.exeに差し替えていることからこのような動作となる。
ユーザーの情報を操作する
-
ユーザー名
ユーザー名の一覧を取得する。
C:¥Windows¥System32>net user
パスワード
ローカルアカウントのユーザー名 test-user のパスワードを uso800 に置き変える。
C:¥Windows¥System32>net user test-user uso800
隠しアカウントの administrator
Microsoftアカウントのユーザー名 ■■■■■■■ についてはパスワードを置き変えることはできないので、
代わりに隠しアカウントの administrator を有効化する。
C:¥Windows¥System32>net user administrator /active:yes
administratorのパスワード
隠しアカウントの administrator のパスワードを uso800 に設定する。
C:¥Windows¥System32>net user administrator uso800
管理者権限を持つユーザーが追加できた
-
ユーザー名
このパソコンの場合、Microsoftアカウントの管理者ユーザー、隠しアカウントの administrator、ローカルアカウントの管理者ユーザーがある。
administratorでログインする
管理者権限を持つユーザー administrator でWindowsにログインする。
新しいパスワード
ユーザー名 test-user について新しいパスワードでログインする。
ログインできた
-
成功
ローカルアカウントの場合は、これで良いが、
Microsoftアカウントでサインインしている場合は、この手法ではパスワードは解除できないので、
このあと administrator でログインして、さらに新しい管理者ユーザーのローカルアカウントを追加して、
Microsoftアカウントになっているユーザーのデータを新しいローカルアカウント側に移動し、
さらに、Microsoftアカウントになっているユーザーを削除するという作業を行うことなる。
なお、ローカルアカウントのプロファイルが破損して正しいパスワードでもログインできなくなった場合も、
同様にローカルアカウントの作り直しとデータ移行で、リカバリーせず復旧させることができる場合がある。
改変した部分を元に戻す
-
システムファイルを元に戻す
Windowsがインストールされたドライブの差し替えられている Windows¥System32¥utilman.exe を 削除する
D:¥Windows¥System32>del utilman.exe
Windowsがインストールされたドライブの Windows¥System32¥utilma.bak を utilman.exe にリネームする
D:¥Windows¥System32>ren utilma.bak utilman.exe
ユーザー補助を起動してみる
元のユーザー補助に戻った
administratorのパスワード
隠しアカウント administrator のパスワードを削除する。
administratorを無効化する
隠しアカウント administrator を無効化しておく。
C:¥Windows¥System32>net user administrator /active:no
Microsoftアカウントの扱い
-
Microsoftアカウントのユーザー
Microsoftアカウントのユーザーをローカルアカウントに戻そうとしても、パスワードが必須なので戻すことはできない。
しかし、パスワードが分からない状態でも、Microsoftアカウントのユーザーを削除することはできる。
この手法への対策について
-
Windowsのインストールメディアでの起動を制限するためBIOSにパスワードをかけても、マザーボードを交換すれば回避できる
また、BIOSの設定でインストールメディアでの起動を制限しても、HDDを取り出して他のPCにつなげばファイルは差し替えできる。
この手法でのパスワード解除を防ぐには、ハードディスク上のファイルにアクセスさせないことが必要で、
HDDパスワードをかけたり、BitLockerで起動ドライブ全体を暗号化し、電源投入時に必ずパスワードが要求されるように設定する必要があるだろう。