了解密码清空的原理

大家知道Windows 10（当然也包括Windows 7/8）都有一个默认内置账户Administrator，不过该账户默认是禁用的，而每个账户对应的状态（禁用/激活）和密码是由注册表里相应的键值决定的，而且所有电脑的Administrator账户的这些键值都是一样的。

以管理员身份启动“注册表编辑器”，展开[计算机＼HKEY_LOCAL_MACHINE＼SAM＼SAM]，接着右键点击选择“权限”，在打开的窗口将“Administrators”账户组对该键值的权限设置为“完全控制”。完成上述操作后刷新注册表，依次展开到[HKEY_LOCAL_MACHINE＼SAM＼SAM＼Domains＼

Account＼Users]，其下的“00001F4→000003E9”（十六进制）数值是本机所有账户的代码，它分别和下方[name]（本机账户名称）相对应，比如00001F4对应Administrator账户（图1）。

查看账户和键值的关系

继续展开[HKEY_LOCAL_MACHINE＼SAM＼SA

M＼Domains＼Account＼Users＼000001F4]，右侧窗格对应的二进制“F”数据就是Administrator账户的激活状态和密码的值（图2）。

账户对应状态和密码值

对于所有Windows 10电脑来说，Administrator账户对应的注册表键值都是一样的。而保存账户信息的键值[HKEY_LOCAL_MACHINE＼SAM]，对应的则是“C：＼windows＼system32＼config＼sam”这个文件。因此如果需要进入一个有密码的Windows10系统，那么用户就可以通过[HKEY_LOCAL_MACHINE＼SAM＼

SAM＼Domains＼Account＼Users＼000001F4]鍵值替换，或者将本机已经激活Administrator账户（但没有设置密码）的“C：＼windows＼system32＼config＼sam”文件替换实现密码的破解。因为替换上述键值或文件后，本机内置Administrator账户就会自动变为激活，且未设置密码状态，从而可以使用该账户进行登录。

打造自动替换文件（或键值）恢复系统

了解了上面的知识后，下面就可以根据不同情况打造自动解锁系统。

情形1  员工尚未离职，电脑系统可以进入：替换Sam文件实现

进入系统后，在桌面右键点击“计算机→管理→本地用户和组→用户”，在右侧窗格选中Administrator账户打开，去除“账户已禁用”前的勾选，激活该账户（图3）。

激活账户

按住Shift键点击“开始→重启”，重启后会进入高级启动界面，按提示点击“疑难解答→高级选项→命令提示符”，进入命令提示符后输入“copyC：＼windows＼

system32＼config＼sam e：＼/y”，复制包含Administrator

账户的激活状态和密码信息的Sam文件到E：＼备用。

完成后重启进入Windows10，操作同上，恢复Administrator账户的“禁用”状态。接着启动记事本新建一个名为“winpeshl.ini”的文件，将它放置在E：＼备用，代码如下：

[LaunchApps]

xcopy，e：＼sam c：＼windows＼system32＼config＼ /y

代码解释：使用xcopy命令将e：＼sam文件复制到c：＼windows＼system32＼config＼替换同名文件，这里e：＼sam是上述操作导出文件。

继续启动命令提示符，依次输入下面的命令，将“e：＼winpeshl.ini”替换winre.wim中的同名文件，这样以后当用户在高级启动界面选择“命令提示符”时，就会自动替换Sam文件（Rem后为注释，不需要输入）：

Rem使用takeown命令将c：＼recovery的所有权赋予当前管理员组。

复制SAM文件

takeown /f c：＼recovery /a /r /d y

Rem使用cacls命令将当前管理员组设置为对c：＼recovery拥有完全读取权限。

cacls c：＼recovery /T /E /G administrators：F

Rem在E：＼新建名为“aa”的新文件夹，用于保存后续加载winre.wim镜像的保存目录。

Mkdire：＼aa

Rem使用dism命令将winre.wim镜像的第一个映像加载到e：＼aa。

dism /Mount-Wim /wimfile：c：＼recovery＼win

dowsre＼winre.wim /index：1 /mountdir：e：＼aa

Rem将上述新建的winpeshl.ini复制到winre.wim镜像的系统目录中。

copy e：＼winpeshl.ini e：＼aa＼windows＼system32

＼ /y

Rem卸载加载的winre.wim镜像，同时在卸载前保存加载的镜像。

dism /unMount-Wim /mountdir：e：＼aa /commit

这样完成上述命令后，以后进入WinRE修复环境后就会自动运行上述在“e：＼winpeshl.ini”中设置的命令，该命令会实现Sam文件的替换。以后如果发现员工离职没有交出登录密码，那么只要重启系统，在启动界面点击“其他启动选项→疑难解答→高级选项→命令提示符”，这样进入命令提示符后会完成Sam文件的替换，再次重启后就可以在登录界面使用没有密码的Administrator账户登录系统了。

情形2  员工已离职：使用PE替换键值解锁

如果还未在离职员工的电脑上执行上面的操作，员工就已经离职，且电脑系统不能进入，那么就需要准备一个4GB以上的U盘（建议格式化为FAT32，这样可以引导UEFI电脑），然后打开Windows 10安装文件（ISO格式），将全部文件复制到U盘（为了减少体积，可以删除“U：＼sources＼install.wim”文件，假设U盘的盘符为U：），这样即可完成启动U盘的制作。

同上先在任意一台正常电脑上，设置Administrator账户为激活（不要设置密码），接着展开注册表编辑器，定位到[HKEY_LOCAL_MACHINE＼SAM＼SAM＼Domains＼

Account＼Users＼000001F4]，右键点击选择“导出”，将该键值导出为“cpcw.reg”放置在U：＼备用。启动记事本打开上述文件，将其中的“[HKEY_LOCAL_MACHI

NE＼SAM”更改为“[HKEY_LOCAL_MACHINE＼cpcw

＼SAM”并保存，这里“cpcw”是后续在PE系统加载注册表配置单元的名称（图5）。

更改文件

现在使用这个U盘启动离职员工的电脑，进入PE系统后，在命令提示符下输入“regedit”启动注册表编辑器，定位到[HKEY_LOCAL_MACHINE]，点击菜单栏的“文件→加载配置单元”，选择“C：＼windows＼system32＼config＼sam”文件，并将加载配置单元的名称设置为“cpcw”（图6）。

加載配置单元

小提示：这里加载配置单元的名称一定要和上述修改的“cpcw.reg”文件中的名称相同，否则无法导入注册表。

返回命令提示符，输入“reg /import U：＼cpcw.reg”，重启后即可使用没有密码的Administrator账户登录系统了，当然也可以使用这个方法解锁任意电脑的登录密码。

如果原来离职员工使用的登录账户就是Administrator，那么执行上述操作后会清空当前账户密码。如果原来使用的是其他账户如为“cpcw”，那么使用无密码的Administrator账户登录系统后，启动命令提示符输入“net user cpcw 123456”，将其密码重置为“123456”即可。