Hook PasswordChangeNotify 自动记录用户修改的明文密码

目录

介绍

Hook PasswordChangeNotify 实验

vs 生成 dll

注入 dll

介绍

Hook PasswordChangeNotify 的作用是当用户修改密码后在系统中进行同步。攻击者可以利用该功能获取用户修改密码时输入的密码明文。

在修改密码时，用户输入新密码后，LSA 会调用 PasswordFileter 来检查该密码是否符合复杂性要求，如果密码符合要求，LSA 会调用 PasswordChangeNotify，在系统中同步密码。这个过程中会有明文形式的密码进行传输，只需要改变PasswordChangeNotify的执行流，获取到传入的参数，也就能够获取到明文密码。

函数PasswordChangeNotify存在于rassfm.dll，rassfm.dll 只存在于在Server系统下，xp、win7、win8等均不存在。

Hook PasswordChangeNotify 实验

使用Hook PasswordChangeNotify有如下优点：

• 不需要注销或重启系统，立即生效
• 不需要修改注册表
• 不会在系统磁盘中留下 DLL 文件