Windows 10环境下无密钥部署加密密码的可行性问询

阿华AIGC实验室

2026-4-21

当然可以做到！在Windows 10下，你完全能实现类似Linux那种「预生成密码哈希、部署后直接设置用户密码，全程无需明文或额外密钥」的操作，我来给你拆解具体做法：

核心原理

Windows本地用户的密码哈希（类似Linux的shadow文件存储）是直接存储在SAM数据库中的，常见的有NTLM哈希，以及现代Windows默认使用的PBKDF2-SHA256哈希（更安全）。你只需要在安全环境预先生成对应明文密码的合规哈希，把这个哈希值部署到目标机器后，就能直接写入用户账户，不需要解密操作——和你用mkpasswd + chpasswd --encrypted的逻辑完全一致。

步骤1：在安全环境生成密码哈希

你可以在任意Windows机器（甚至用跨平台工具，推荐用Windows工具保证兼容性）生成对应明文密码的哈希，这里以PowerShell为例：

生成NTLM哈希（兼容旧版系统）

# 替换为你的明文密码
$plainPassword = "s£cr3t"
# 转换为UTF8字节数组，计算MD5得到NTLM哈希
$utf8Bytes = [System.Text.Encoding]::UTF8.GetBytes($plainPassword)
$ntlmHash = [System.Security.Cryptography.MD5]::Create().ComputeHash($utf8Bytes)
# 转换为十六进制字符串，方便存储和部署
$ntlmHashHex = [System.BitConverter]::ToString($ntlmHash).Replace("-", "").ToLower()
# 输出哈希字符串，复制下来用于部署
$ntlmHashHex

生成PBKDF2-SHA256哈希（Windows 10默认推荐）

如果目标系统用的是现代密码存储策略，建议生成这种更安全的哈希：

$plainPassword = "s£cr3t"
# 自定义盐值（类似mkpasswd的--salt参数，可自行设定）
$salt = [System.Text.Encoding]::UTF8.GetBytes("your-custom-salt")
# Windows 10默认PBKDF2迭代次数为100000，和系统保持一致
$iterations = 100000
# 生成PBKDF2-SHA256哈希
$pbkdf2 = [System.Security.Cryptography.Rfc2898DeriveBytes]::New($plainPassword, $salt, $iterations, [System.Security.Cryptography.HashAlgorithmName]::SHA256)
$pbkdf2Hash = $pbkdf2.GetBytes(32)
# 转换为十六进制字符串
$pbkdf2HashHex = [System.BitConverter]::ToString($pbkdf2Hash).Replace("-", "").ToLower()
# 别忘了把盐值和迭代次数也记录下来，部署时需要用到
Write-Host "哈希值：$pbkdf2HashHex"
Write-Host "盐值：$([System.BitConverter]::ToString($salt).Replace("-", "").ToLower())"
Write-Host "迭代次数：$iterations"

步骤2：部署哈希到目标Windows 10机器并设置密码

把生成的哈希字符串（以及PBKDF2需要的盐值、迭代次数）部署到目标机器后，执行以下PowerShell脚本（以管理员权限运行）：

设置NTLM哈希的脚本

# 替换为你部署过来的NTLM哈希十六进制字符串
$ntlmHashHex = "your-generated-ntlm-hash"
# 转换回字节数组
$ntlmHash = [System.Byte[]]::new(16)
for ($i=0; $i -lt 32; $i+=2) {
    $ntlmHash[$i/2] = [System.Convert]::ToByte($ntlmHashHex.Substring($i,2), 16)
}

# 定位目标用户
$userContext = [System.DirectoryServices.AccountManagement.PrincipalContext]::new([System.DirectoryServices.AccountManagement.ContextType]::Machine)
$targetUser = [System.DirectoryServices.AccountManagement.UserPrincipal]::FindByIdentity($userContext, "user")

# 设置哈希并保存
$targetUser.SetPasswordHash($ntlmHash)
$targetUser.Save()

设置PBKDF2-SHA256哈希的脚本

# 替换为部署过来的哈希、盐值、迭代次数
$pbkdf2HashHex = "your-generated-pbkdf2-hash"
$saltHex = "your-salt-hex"
$iterations = 100000

# 转换为字节数组
$pbkdf2Hash = [System.Byte[]]::new(32)
for ($i=0; $i -lt 64; $i+=2) {
    $pbkdf2Hash[$i/2] = [System.Convert]::ToByte($pbkdf2HashHex.Substring($i,2), 16)
}
$salt = [System.Byte[]]::new($saltHex.Length/2)
for ($i=0; $i -lt $saltHex.Length; $i+=2) {
    $salt[$i/2] = [System.Convert]::ToByte($saltHex.Substring($i,2), 16)
}

# 定位目标用户并设置哈希
$userContext = [System.DirectoryServices.AccountManagement.PrincipalContext]::new([System.DirectoryServices.AccountManagement.ContextType]::Machine)
$targetUser = [System.DirectoryServices.AccountManagement.UserPrincipal]::FindByIdentity($userContext, "user")

# 对于PBKDF2哈希，需要同时设置哈希、盐值和迭代次数
$targetUser.SetPasswordHash($pbkdf2Hash)
$targetUser.SetPasswordSalt($salt)
$targetUser.PasswordIterationCount = $iterations
$targetUser.Save()

注意事项

生成哈希时一定要在安全、离线的环境操作，绝对不能让明文密码泄露。
部署哈希时，建议用加密的传输方式（比如SCP、加密的脚本分发工具），避免哈希在传输过程中被窃取。
可以先在目标机器上执行Get-LocalUser | Select-Object Name, PasswordHashAlgorithm查看用户当前的哈希算法，确保生成的哈希格式匹配。

备注：内容来源于stack exchange，提问作者Steve Folly