原理

Windows 2000 預設 15 分鐘無操作啟動登入畫面的螢幕保護程式 logon.scr (位於 C:\WINNT\System32)，以 System 權限執行。將其替換為 explorer.exe，即可在無人登入狀態下取得 System 權限的資源管理員視窗。

操作步驟

1. 將原 logon.scr 改名為 logon.zqs (備份)。
2. 複製 C:\WINNT\explorer.exe 至 C:\WINNT\System32 並改名為 logon.scr。需離線操作 (掛載硬碟至他機或使用 PE/開機光碟)，因檔案受系統保護無法在線替換。
3. 重新開機，於登入對話框等待 15 分鐘不操作。
4. 螢幕保護程式啟動，彈出以 System 權限執行的資源管理器 (定位 C:\)。
5. 利用「輸入法漏洞」或直接在資源管理器中操作：重設密碼、複製檔案、植入後門等。

限制與風險

• 需物理接觸或離線存取硬碟。
• 修改系統檔案可能觸發 Windows 檔案保護 (WFP) 還原，需同時處理 dllcache 或暫停 WFP。
• 屬於本地提權技術，非遠端攻擊向量。

防禦措施

• 設定 BIOS 密碼並鎖定開機順序，防止離線硬碟操作。
• 啟用 Syskey 強化 SAM 加密。
• 部署完整性監控 (如 Tripwire) 偵測關鍵系統檔變更。
• 縮短螢幕保護啟動時間或停用螢幕保護程式 (透過群組原則)。