SAM 核心地位

SAM（Security Accounts Manager）負責控制與維護安全帳號數據庫，是 Windows 帳號管理核心。數據庫位於註冊表 HKLM\SAM\SAM（受 ACL 保護），磁盤文件為 %systemroot%\system32\config\sam，與 security 文件關聯密切。包含所有用戶/組信息：密碼 Hash、SID 等。

註冊表 SAM 樹結構（中文 Win2K Adv Server 示例）

HKLM\SAM\SAM
└─ Domains
   ├─ Account
   │  ├─ Aliases → Members, Names
   │  ├─ Groups → Names, 00000201...
   │  └─ Users → Names (Administrator, Guest...), 000001F4, 000001F5, 000003E8...
   └─ Builtin
      ├─ Aliases → 00000220, 00000221... Members (SID), Names (Administrators, Users...)
      └─ Groups → Names

關鍵發現與推斷

1. 帳號查找邏輯： 從 Names 獲取類型（相對標識符 RID），再定位 Users\RID 讀取帳號信息。若修改帳號名對應的類型值，可將該帳號導向另一帳號信息（如將普通用戶指向 Administrator RID），實現權限提升，但可能導致系統啟動錯誤。
2. 雙重 RID 存儲不同步： 每帳號在 Users\RID 子鍵名與其 V 值中偏移量 48-51 字節處各存一份 RID。登錄時用 V 值中的 RID，API 查詢用子鍵名 RID，微軟未同步此兩值，造成邏輯缺陷，可被利用製作隱蔽後門（如「克隆管理員帳號」技術）。
3. 密碼 Hash 存儲： V 值中包含 LM Hash 與 NT Hash，破解時可分別處理。

SAM 文件結構標記

• nk (6E 6B)：鍵/子鍵名
• vk (76 6B)：值
• lf (6C 66)：子鍵列表
• sk (73 6B)：權限

結論與防範

SAM Hack 風險極高，錯誤修改導致系統啟動崩潰（需刪除 SAM 文件恢復）。熟悉結構可實現帳號/組互換、偽造，極其隱蔽。管理員應學習相關技術，做好安全檢測。可下載簡易檢測工具輔助，但核心在於掌握知識。