1.基於Win7漏洞的密碼破解
此漏洞比較簡單，且在最新版本的Win7中已經被修復，我們在Win7虛擬機中做相應實驗：
首先為我們當前登錄的Win7賬戶隨便設置一個密碼：
以管理員身份運行CMD，此權限下可以用net user+用戶名+密碼指令修改指定賬戶的密碼，如下圖所示：
(用戶與組管理指令參考https://www.cnblogs.com/czw52460183/p/13287853.html)
此時我已經給當前的名為czw的賬戶設置了一串不易記住的密碼。
現在重啟此虛擬機，我們講一下此漏洞的原理：
在登錄界面，連點5下shift，會彈出粘滯鍵彈窗，如下圖所示：
重點來了，這個粘滯鍵對應的程序其實是位於C:\Windows\System32目錄下的名為sethc的應用程序，如下圖所示：
那么就是說即使我們未成功登錄，也可以通過連按5次shift的方式訪問到C盤中的應用程序，那么假如我們把Cmd.exe的名稱改成sethc，豈不是直接就可以在登錄界面進入到命令行？那么我們在未登錄的情況下運行的命令行程序是什么用戶權限呢？是administrator嗎？這個我們一會做完就有答案了。
(權限相關知識參考https://www.cnblogs.com/czw52460183/p/13287853.html)
那我們怎么在未登錄的情況下把Cmd的名稱改為sethc呢？這就牽涉到Win7的另一個漏洞了：
在Win7的啟動界面強行關閉虛擬機，然后重新啟動，此時啟動后會彈出Windows錯誤恢復的界面，如下圖所示：
我們選擇點擊啟動修復(推薦)，隨后會提示是否使用系統還原，這個點取消，如下圖所示：
此時會露出后面的啟動修復界面，提示系統正在嘗試修復，此時需要等待幾分鍾，隨后會提示系統無法修復，並詢問是否要發送信息給Microsoft，如下圖所示：
我們點開"查看問題詳細信息"的下拉菜單，找到下面"脫機閱讀隱私聲明"對應的鏈接點開：
發現了沒？我們居然在未登錄的情況下打開了記事本！！此時點擊文件->打開我們直接可以訪問到我的硬盤中的文件：
注意，此時的C盤是安裝系統時的系統保留空間，看大小就可以看出來，此時的D盤才是我們平時使用的C盤。
接下來的事情就比較簡單了，去Windows\System32目錄下，先把文件類型下拉菜單選成所有類型，然后先找到sethc這個程序，隨便重命名一下：
然后找到Cmd應用程序(是的它也在Windows\System32目錄下)，重命名為sethc:
大功告成！接下來我們關掉所有窗口並重啟，到登錄窗口后點5下shift：
可以看到，我們成功地開啟了命令行，而且是以sysyem32這個賬戶開啟的，這是最高權限！
既然取得了最高權限，那接下來就比較簡單了，我們直接把要登錄賬戶的密碼改為空就行了：
好了，現在直接點擊->箭頭就可以進入系統了，神奇不？
當然，這么做的弊端是用戶下次登錄時會發現自己的密碼被改了，很容易暴露，可以轉換一下思路，我們不改該賬戶的密碼，而是直接創建一個新賬戶並提升其權限為管理員，做完想做的事后再將此賬戶刪除：
2.基於PE系統的系統密碼破解
此方法比起第一種方法有一定優勢，它無需系統有漏洞。
其基本思路如下：
賬戶名和密碼被加密並存放於C:\Windows\System32\config\SAM中，雖然由於加密的原因我們無法得知其信息到底是什么，但我們可以自己設定個密碼，用同樣的算法加密后，替換掉此SAM文件，變相實現密碼的修改。
現在的問題是開機過程中SAM文件是禁止被訪問的，如何去替換它呢？
我們可以使用用U盤制作相應的版本的PE系統，修改BIOS使系統從U盤引導登錄，此時系統中的所有盤都被視為此PE系統的硬盤，自然也可以隨意修改其內容。
我們以WinXP虛擬機做演示：
先用之前的方法為XP設置一個密碼，這個就不演示了，隨后關機，由於我們用虛擬機演示，就不用U盤引導了，直接從網上下載個大白菜，制作相應的PE鏡像，設置為虛擬機的光驅：
隨后我們要開機進BIOS來修改啟動引導盤，正常要進BIOS是在開機時不停按F2即可，由於是在虛擬機中，開機時需要先點擊虛擬機以便從主機聚焦到虛擬機中，此時再按F2才行，但由於時間間隔太短，很難成功。好在VMWare為我們提供了相應的解決方案，如下圖所示：
點擊打開電源時進入固件就可直接在開機時進入BIOS，移動到Boot頁簽下，按shift+"+"號設置CD-ROM順序在Hard Drive前(用U盤引導的話則是USB)：
隨后按下F10保存並退出，此時會進入大白菜PE系統的引導界面，我們選擇第2項，即"啟動Win2003PE"(雖然我們的虛擬機是XP，但沒關系，都可以用)：
進入后桌面有個系統密碼修改的工具，直接點擊它，然后點擊打開按鈕，可以看到當前所有用戶信息：
點擊要改密碼的用戶，按提示修改密碼即可：
至此密碼已經破解完成，隨后我們關機，修改BIOS為從硬盤引導，重新啟動后會發現密碼已經修改，這個就不貼圖了。