Hook PasswordChangeNotify

一、简介

Hook PasswordChangeNotify这个概念最早是在2013年9月15日由clymb3r提出，通过HookPasswordChangeNotify拦截修改的帐户密码。
需要了解的相关背景知识如下：

1. 在修改域控密码时会进行如下同步操作：
   a. 当修改域控密码时，LSA首先调用PasswordFileter来判断新密码是否符合密码复杂度要求
   b. 如果符合，LSA接着调用PasswordChangeNotify在系统上同步更新密码
2. 函数PasswordChangeNotify存在于rassfm.dll
3. rassfm.dll可理解为Remote Access Subauthentication dll，只存在于在Server系统下，xp、win7、win8等均
   不存在
   Hook PasswordChangeNotify有如下优点：
4. 不需要重启
5. 不需要修改注册表
6. 甚至不需要在系统放置dll

二、利用过程

实现Hook PasswordChangeNotify共包含两部分：Hook dll和dll注入。
https://github.com/3gstudent/Hook-PasswordChangeNotify
编译工程，生成HookPasswordChange.dll
MFC设置为在静态库中使用MFC

上传HookPasswordChangeNotify.ps1和HookPasswordChange.dll到域控主机
管理员权限执行：

PowerShell.exe -ExecutionPolicy Bypass -File HookPasswordChangeNotify.ps1

手动修改域控密码后
在C:\Windows\Temp下可以找到passwords.txt，其中记录了新修改的密码。