计算机本地管理员密码更改记录表
信息系统口令密码和密钥管理
信息系统口令密码和密钥管理The final edition was revised on December 14th, 2020.信息系统口令、密码和密钥管理1范围本标准规定了信息网网络安全管理人员的职责、管理内容和工作要求，以及信息系统口令、密码和密钥管理。
本标准适用于公司所有信息网络、应用系统及设备和用户所有层次的口令管理。
2规范性引用文件下列文件中的条款通过本标准的引用而成为本标准的条款，凡是注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本标准，然而，鼓励根据本标准达成协议的各方研究是否可使用这些文件的最新版本。
凡是不注日期的引用文件，其最新版本适用于本标准。
1994 国务院中华人民共和国计算机信息系统安全保护条例国务院273号令商用密钥管理条例1998 国家保密局中华人民共和国计算机信息系统保密管理暂行规定2000 国家保密局中华人民共和国计算机信息系统国际联网保密管理规定2003 公司网络与信息安全管理办法（试行）2006 公司信息网防病毒运行统计管理规范（试行）2006 公司信息网用户行为规范（试行）3术语与定义以下术语和定义适用于本标准。
信息系统信息系统是用系统思想建立起来的，以电子计算机为基本信息处理手段，以现代通讯设备为基本传输工具，且能为管理决策提供信息服务的人机系统。
即，信息系统是一个由人和计算机等组成的，能进行管理信息的收集、传输、存储、加工、维护和使用的系统。
密钥密钥是一组信息编码，它参与密码的“运算”，并对密码的“运算”起特定的控制作用。
密钥是密码技术中的重要组成部分。
在密码系统中，密钥的生成、使用和管理至关重要。
密钥通常是需要严格保护的，密钥的失控将导致密码系统失效。
4职责信息中心职责4.1.2 信息中心负责信息网系统的服务器、网络设备的口令、密码和密钥的设置和保管，指导相关部门设置应用系统的口令、密码和密钥；指导各用户设置开机口令。
信息中心各专职职责4.1.3 网络安全管理员负责保管网络设备及相关安全防护设备(系统)的账号、口令的设置和更改。
利用net user命令来强制修改administrator密码.doc
利用net user命令来强制修改administrator密码我们知道在Windows XP中提供了“net user”命令，该命令可以添加、修改用户账户信息，其语法格式为：net user [UserName [Password | *] [options]] [/domain]net user [UserName {Password | *} /add [options] [/domain]net user [UserName [/delete] [/domain]]每个参数的具体含义在Windows XP帮助中已做了详细的说明，在此笔者就不多阐述了。
好了，我们现在以恢复本地用户“zhangbq”口令为例，来说明解决忘记登录密码的步骤：1、重新启动计算机，在启动画面出现后马上按下F8键，选择“带命令行的安全模式”。
2、运行过程结束时，系统列出了系统超级用户“administrator”和本地用户“zhangbq”的选择菜单，鼠标单击“administrator”，进入命令行模式。
3、键入命令：“net user zhangbq 123456 /add”，强制将“zhangbq”用户的口令更改为“123456”。
若想在此添加一新用户（如：用户名为abcdef，口令为123456）的话，请键入“net user abcdef 123456 /add”，添加后可用“net localgroup administrators zhangbq /add”命令将用户提升为系统管理组“administrators”的用户，并使其具有超级权限。
4、重新启动计算机，选择正常模式下运行，就可以用更改后的口令“123456”登录“zhangbq”用户了。
二、利用“administrator”我们知道在安装Windows XP过程中，首先是以“administrator”默认登录，然后会要求创建一个新账户，以便进入Windows XP时使用此新建账户登录，而且在Windows XP的登录界面中也只会出现创建的这个用户账号，不会出现“administrator”，但实际上该“administrator”账号还是存在的，并且密码为空。
计算机终端安全配置手册(Windows平台)
计算机终端安全配置手册（Windows 平台）目录1审核策略设置 (3)1.1开启密码策略 (3)1.2开启帐户锁定策略 (4)1.3开启审核策略 (4)2帐户设置 (5)2.1UAC（用户帐户控制）提醒 (5)2.2禁用Guest 帐户 (6)2.3取消“密码永不过期” (7)2.4修改密码 (8)3系统设置 (8)3.1设置计算机名 (8)3.2设置屏幕保护程序 (13)3.3防病毒软件设置 (16)3.4设置时钟同步 (19)3.5系统补丁自动更新 (20)3.6设置防火墙 (23)3.7日志文件设置 (24)4FAQ (25)附录 (27)1.常见的服务和功能说明 (27)2.常见端口说明 (30)1审核策略设置1.1开启密码策略计算机终端启用密码策略，设置帐户密码时会依据密码策略校验密码是否符合要求，以避免设置帐户密码为非强密码对计算机终端造成安全风险。
设置要求：必须设置方法：1、打开『控制面板』->『所有控制面板项』->『管理工具』，双击“本地安全策略” ，或在『运行』->输入secpol.msc，并确认。
2、在『安全设置』->『帐户策略』->『密码策略』下，进行密码策略的设置。
密码策略包括：∙密码必须符合复杂性要求：已启用∙密码长度最小值：8 位∙密码最长留存期：90 天∙强制密码历史：3 个记住的密码1.2开启帐户锁定策略计算机终端启用帐户锁定策略，可以有效防止攻击者使用暴力破解方式猜测用户密码。
设置要求：必须设置方法：1、打开『控制面板』->『所有控制面板项』->『管理工具』，双击“本地安全策略”，或在『运行』-> 输入secpol.msc，并确认。
2、在『安全设置』->『帐户策略』->『帐户锁定策略』下，进行帐户锁定策略的设置。
先修改“帐户锁定阈值”设置，其它两项会自动提示修改∙帐户锁定阈值：10 次无效登录∙帐户锁定时间：30 分钟∙重置帐户锁定计数器：30 分钟之后1.3开启审核策略审核策略是计算机终端最基本的入侵检测方法，当尝试对系统进行某些方式（如尝试用户密码、改变帐户策略、未经许可的文件访问等）入侵时审核策略会进行系统日志记录。
12密码使用安全管理制度
X门户网站平台--密码使用安全管理制度--修订及审核记录目录第一章、总则 (1)第二章人员及职责 (1)第三章用户安全管理 (1)第四章账号安全管理 (2)第五章密码安全管理 (5)第六章密码分级定义 (6)第七章密码安全策略 (7)第八章附则 (9)一、总则第一条为了规范和加强X门户网站系统内外网的主机操作系统、网络设备、网络应用系统的帐号和密码安全管理，预防口令泄漏和身份假冒等带来的风险, 为主机操作系统、网络设备、网络应用系统生成密码、保护密码以及变更密码等建立相应的策略；为数据的保护和加密建立相应的策略。
为保障X门户网站系统功能的正常运行，特制定本制度。
第二条各系统可以自行规定本系统的帐号和口令的管理细则，并针对本系统采取有关技术手段进行安全保障，但必须达到或高于本制度规定的级别。
第三条本管理办法适用于上海市X发展研究院信息技术推广部管理的所有信息应用系统及附属设备；适用于需要帐号和密码进行业务操作的相关部门和人员；适用于因业务关系需要使用本院信息系统的第三方服务商或者供应商。
第四条本文档将依据信息技术和信息安全技术的不断发展和信息安全风险的演变及信息安全保护目标的不断变化而进行版本升级。
二、人员及职责第五条上海市X发展研究院信息技术推广部主任负责监督此文档的落实。
第六条上海市X发展研究院各应用系统的系统管理员负责制定执行本管理规定的具体要求。
三、用户安全管理第七条创立新的用户角色或对用户组或用户角色定义进行修改时，应考虑不相容职责分工原则，由业务部门主管（或授权人员）对用户角色的权限设定进行审阅并签字确认，以确保在系统中分配给用户的权限与其职责相符。
第八条应对业务应用系统中的用户的权限进行周期性审计，以确保用户在系统中的权限与其职责相符。
如发现与其职责不符相，应及时通知应用系统管理员，对用户的权限进行调整。
第九条第三方人员使用系统时必须先向X发展研究院信息技术推广部提出申请，在得到信息技术推广部主任审批后，由相关系统管理员为其创建临时帐号。
windows登录类型及安全日志解析
用户名: clientUserName
域: COMPUTERNAME
域: COMPUTERNAME
登录 ID: (0x0,0x158DFFBF)
登录类型: 3
"
'*************************************************************************
帐户名:
IUSR_COMPUTERNAME
工作站:
COMPUTERNAME
"
2006-5-9 7:00:34 Security 成功审核 系统事件 515 NT AUTHORITY\SYSTEM COMPUTERNAME "受信任的登录过程已经在本地安全机制机构注册。 将信任这个登录过程来提交登录申请。
' 计划任务运行程序日志（管理员帐号）
'*************************************************************************
2006-5-9 1:08:04 Security 成功审核 登录/注销 538 COMPUTERNAME\clientUserName COMPUTERNAME "用户注销:
域: COMPUTERNAME
登录 ID: (0x0,0x17BF45CB)
登录类型: 3
登录过程: IIS
身份验证程序包: MICROSOFT_AUTHENTICATION_PACKAGE_V1_0
实验一Windows系统网络命令的使用
实验⼀Windows系统⽹络命令的使⽤实验⼀ Windows系统⽹络命令的使⽤——实验报告⼀、实验⽬的1、了解Windows操作系统提供的各种⽹络命令的功能。
2、熟悉Windows操作系统提供的各种⽹络命令的使⽤⽅法和输出格式。
3、掌握常⽤的⽹络命令，能⽤ping 、ipconfig等命令⼯具来进⾏⽹络测试、使⽤tracert路由跟踪命令、使⽤route、netstat、arp等命令查看⽹络状态。
⼆、实验内容1、常⽤⽹络测试命令PING的使⽤。
2、⽹络配置查看命令IPCONFIG的使⽤。
3、⽹络连接统计命令NETSTAT的使⽤。
4、⽹络路由表操作命令ROUTE的使⽤。
5、地址解析命令ARP的使⽤。
6、路由跟踪tracert命令的使⽤。
三、实验步骤（⼀）常⽤的⽹络测试⼯具－PING.EXE1、⼯作原理Ping的主要作⽤是验证与远程计算机的连接。
该命令只有在安装了 TCP/IP 协议后才可以使⽤。
向远程计算机通过ICMP协议发送特定的数据包，然后等待回应并接收返回的数据包，对每个接收的数据包均根据传输的消息进⾏验证。
默认情况下，传输四个包含 32 字节数据（由字母组成的⼀个循环⼤写字母序列）的回显数据包。
过程如下：（1）通过将 ICMP 回显数据包发送到计算机，并侦听回显回复数据包来验证与⼀台或多台远程计算机的连接。
（2）每个发送的数据包最多等待⼀秒。
（3）打印已传输和接收的数据包数。
2、⽤法ping [-t] [-a] [-n count] [-l length] [-f] [-i ttl] [-v tos] [-r count] [-s count] [[-j computer-list] | [-k computer-list]] [-w timeout] destination-list参数⼀览表：编号参数描述1-t Ping 指定的计算机直到中断。
2-a将地址解析为计算机名。
3-n count发送 count 指定的 ECHO 数据包数。
系统权限的设置
系统权限的设置１、磁盘权限(如下设置，我们已经写一个CMD脚本，按要求复制运行即可以取代如下手工设定)系统盘及所有磁盘只给Administrators 组和SYSTEM 的完全控制权限系统盘\Documents and Settings 目录只给Administrators 组和SYSTEM 的完全控制权限系统盘\Documents and Settings\All Users 目录只给Administrators 组和SYSTEM 的完全控制权限系统盘\Windows\System32\cacls.exe、cmd.exe、net.exe、net1.exe、ftp.exe、tftp.exe、telnet.exe 、netstat.exe、regedit.exe、at.exe、attrib.exe、文件只给Administrators 组和SYSTEM 的完全控制权限另将\System32\cmd.exe、、ftp.exe转移到其他目录或更名Documents and Settings下所有些目录都设置只给adinistrators权限。
并且要一个一个目录查看，包括下面的所有子目录。
删除c:\inetpub目录修改3389远程连接端口修改注册表.开始--运行--regedit依次展开HKEY_LOCAL_MACHINE/SYSTEM/CURRENTCONTROLSET/CONTROL/ TERMINAL SERVER/WDS/RDPWD/TDS/TCP右边键值中PortNumber改为你想用的端口号.注意使用十进制(例10000 )HKEY_LOCAL_MACHINE/SYSTEM/CURRENTCONTROLSET/CONTROL/TERMINAL SERVER/WINSTA TIONS/RDP-TCP/右边键值中PortNumber改为你想用的端口号.注意使用十进制(例10000 )注意：别忘了在WINDOWS2003自带的防火墙给+上10000端口修改完毕.重新启动服务器.设置生效.5.删除c:\inetpub目录，删除iis不必要的映射，建立陷阱帐号，更改描述禁用不必要的服务，提高安全性和系统效率Computer Browser 维护网络上计算机的最新列表以及提供这个列表Task scheduler 允许程序在指定时间运行Routing and Remote Access 在局域网以及广域网环境中为企业提供路由服务Removable storage 管理可移动媒体、驱动程序和库Remote Registry Service 允许远程注册表操作Print Spooler 将文件加载到内存中以便以后打印。
域环境批量修改本地管理员密码
在比较大一点的环境中，我们会经常遇到这样的情况，由于电脑的批次不一样，或IT人员流动的问题，造成电脑的本地管理员密码不一致，当我们需要登录到本地管理员的时候，往往会不知道本地管理员密码，虽然我们可以通过进PE的办法破解密码，但如果电脑比较多，那么这将是一个讨厌的工作。
如果是域环境，我们可以组策略的方式批量修改计算机的本地管理员密码。
在生产环节中不建议直接修改域策略，我们可以创建一个新策略；如果是针对个别OU的，一定要注意很多时候，我们把计算机加入到域后，就将计算机放在了默认的容器里面了，应该将计算机也放入到对应的OU里面；
1、点击服务器任务栏左下角的开始，再点击管理工具
2、组策略管理--右击default domain policy策略（或者新建GPO），在选择编辑
3、展开计算机配置--首选项--控制面板--本地用户和组
4、在右边空白的地方，右键点击，选择新建--本地用户
5、在操作选择更新；用户名选择administrator（内置），并重新输入密码；密码的一些属性，这个根据实际情况选择；
注意：如果是清装原版的系统，都会新建一个管理员账户的，所以在这里并不一定是Administrator
6、选择确定
7、更改好，在右边会出现一个Administrator的账户
注意：如果客户端是Windows XP需要安装KB943729补丁
当然批量修改管理员密码的方法不止这一种，也可以通过脚本，但相对来说使用组策略比较简单，不过组策略的排错有点麻烦，但相对于脚本，我觉得这种方法比较简单，可以根据自己的
情况，选择合适的方法。