NetUserChangePassword 1351错误及NetUserSetInfo（含DPAPI）问题咨询

1. 错误1351的根源 #

错误码1351对应ERROR_NO_SUCH_DOMAIN，在登录前的Winlogon DLL上下文触发该错误的核心原因是：NetUserChangePassword的执行依赖已建立的用户安全上下文：

• 该函数必须验证旧密码的有效性，但登录前Winlogon进程仅持有系统级权限，未加载目标用户的配置文件与安全令牌，无法完成旧密码的哈希验证流程。
• 即便是本地账户，NetUserChangePassword也需要交互式登录会话的上下文支持，而登录界面阶段的会话尚未完成用户身份初始化，导致函数无法正常访问SAM数据库的验证接口。

2. NetUserSetInfo导致DPAPI异常的原因 #

DPAPI（数据保护API）的加密逻辑绑定用户的DPAPI主密钥，而主密钥需通过用户密码哈希解锁：

• NetUserSetInfo(1003)属于强制密码重置操作，直接修改SAM数据库中的密码哈希，绕过了Windows完整的密码变更生命周期流程，系统不会自动更新用户的DPAPI主密钥。
• 原主密钥仍依赖旧密码哈希解锁，新密码无法解密该主密钥，导致依赖DPAPI的程序无法读取加密数据，触发异常。

3. 解决方案 #

针对1351错误 #

登录前的Winlogon上下文无法正常调用NetUserChangePassword，建议继续使用NetUserSetInfo，但需补充DPAPI主密钥的修复步骤：

• 在密码重置完成后，通过LogonUser获取用户令牌模拟登录上下文，调用CryptUnprotectData触发DPAPI主密钥重新生成：

  HANDLE hToken;
  if (LogonUser(L"目标用户名", L".", L"新密码", LOGON32_LOGON_INTERACTIVE, LOGON32_PROVIDER_DEFAULT, &hToken)) {
      // 执行一次空DPAPI操作，触发主密钥更新
      DATA_BLOB dataIn = {0}, dataOut = {0};
      CryptProtectData(&dataIn, L"dummy", NULL, NULL, NULL, 0, &dataOut);
      CryptUnprotectData(&dataOut, NULL, NULL, NULL, NULL, 0, &dataIn);
      LocalFree(dataOut.pbData);
      LocalFree(dataIn.pbData);
      CloseHandle(hToken);
  }
  

• 该操作会生成与新密码绑定的DPAPI主密钥，同时保留旧主密钥的访问权限，确保原有加密数据可正常解密。

避免DPAPI异常的核心原则 #

除非特殊场景，优先在用户已登录的上下文使用NetUserChangePassword完成密码变更；若必须在登录前重置密码，必须手动触发DPAPI主密钥的更新流程。

4. 两个函数的核心差异 #

内容的提问来源于stack exchange，提问作者wcahn