安全攻防实战：使用winlogonhack获取系统密码

（1）Winlogon桌面：主要显示Windows 安全等界面，如你按下“CTRL+ALT+DEL”快捷看所出现的登陆的界面等。

（2）应用程序桌面：我们平时见到的那个有我的电脑的界面。

（3）屏幕保护桌面：屏幕保护显示界面。

在默认情况下，Gina.dll或者Msgina.dll显示登陆对话框，用户输入用户名及密码。所以要获得用户名和密码，则可以写一个新的Gina.DLL或者Msgina.dll，其中提供接口调用msgina.dll的函数是WlxLoggedOutSAS。启动就用winlogon通知包，当有3389，连上服务器时。新创建的 winlogon.exe会在登录前加载，注册了 “Startup”的dll，Hook了函数，登录成功后，记录密码到 boot.dat 文件，并取消Hook。退出3389后，dll文件即可删除。在实现上只要msgina.dll中WlxLoggedOutSAS函数的前五个字节：

mov edi,edi

push ebp

mov ebp,esp

关于WinlogonHack工具如何具体实现3389远程终端密码的截取，请查看Winlogonhack的源代码以及程序（http://www.antian365.com/bbs/forumdisplay.php?fid=180）。

三、使用WinlogonHack获取密码实例

在WinlogonHack之前有一个Gina木马主要用来截取Windows 2000下的密码，WinlogonHack主要用于截取Windows XP以及Windows 2003 Server。

1．执行install.bat安装脚本

一种方法是将WinlogonHack的安装程序文件Hookmsgina.dll、install.bat、On.reg以及ReadLog.bat复制到一个相同文件夹下面，然后在Dos提示符或者GUI界面写直接运行install.bat即可。执行完毕后不需要重启，当有3389登上时，自动加载DLL，并且记录登录密码！保存在系统system32目录的boot.dat文件中，另外一种方法是将所有文件都放在同一个文件夹中，然后执行install命令即可，如图2所示，表示安装正确的一些提示。