Windows 2003 Active Directory：使用所使用的密码记录失败的登录尝试？

Question

Windows 2003 Active Directory：使用所使用的密码记录失败的登录尝试？我不仅要记录用户名，还要记录用于调试目的的密码。有没有办法做到这一点？其中一个应用程序不能用少于9个字符的密码连接，所以我想看看Windows 2003系统收到的用户名和密码是什么。

Answer 1

不，你不能这样做。无论如何，这将是可怕的安全实践，因为您将收集很长的用户名和密码列表，您的用户可能会将这些用户名和密码用于其他服务。

您可以做的是在组策略中强制执行最小密码长度为 9 个字符，考虑到手头的问题，这似乎是明智的做法。

Answer 2

记录明文密码在技术上甚至是不可能的，因为服务器根本不接收它——Windows 当前使用的所有身份验证协议都使用所谓的“NT 哈希”（UTF-16LE 密码表示的 MD4 哈希）而不是密码，甚至 NT 哈希也不会直接传递到服务器（即使以加密形式），而是用作 HMAC 密钥（在NTLMv2 中），或用作 Kerberos TGT 的加密密钥。因此服务器只能检查密码是否正确，而无法确定连续几次错误的密码尝试是否使用相同的密码。