BitLocker锁屏绕过

首先，选择“忘记密码”。这个选项会启动一个附加会话，并根据需要创建/删除帐户。用户个人资料服务把它当作默认帐户。它的第一个名称为defaultuser1，defaultuser100000，defaultuser100001，以此类推。

要绕过锁定就必须用“Narrator”，因为如果我们设法启动某些内容，我们是看不到这些内容的，但用“Narrator”，我们将能够对其进行操控。但是，如何启动我们想要的内容？

如果我们连续快速地按5次shift键，就会弹出一个打开“设置”应用程序的链接，该链接实际上是有效的。我们看不到已启动的“设置”应用程序。点击链接，程序启动后，点击其可以看得到的地方。最简单的方法就是，每秒点击两次该链接。粘滞键窗口会消失。继续点击！然后，“设置”应用程序就会出现的屏幕中央，现在，你可以停止点击了。

现在，用CapsLock +左箭头操作“设置”应用程序，按着直到回到“主页”。回到“主页”后，按住CapsLock，再按Enter。用CapsLock +右箭头操作“设置”，页面锁定后，按CapsLock + Enter进入“设备”。

进入“自动播放”页面，点击CapsLock + Enter，然后选择“打开文件夹查看文件（文件资源管理器）”。现在插入准备好的U盘，等待几秒钟，Narrator告知驱动器已打开，窗口已锁定。选择Exploit.exe文件，用CapsLock + Enter执行。这是任意代码执行，且无需任何密码。但是，我们只能运行默认配置文件。

由于无法截屏，所以我用手机录了个视频。

ClientRecoveryPasswordRotation开发工作需要用到RPC Control的符号链接。USB驱动器上的可执行文件用对DefineDosDevice进行两次调用，创建链接，让该链接成为永久链接，可以随时注销/登录。

然后启动一个循环，其可执行文件会执行以下操作：

• 尝试创建子目录。

• 将有效载荷comctl32.dll植入其中。

我们可以清楚地看到循环何时运行，因为Narrator会移动焦点框，且每秒显示一次“访问被拒绝”。现在，我们可以使用RPC Control创建的链接。拔掉U盘，然后重新插入。在System32创建可写入目录；在下一个循环迭代会植入有效载荷，退出exploit.exe。若要测试漏洞利用程序是否成功，请重启“Narrator”。

如果Narrator不起作用，那是因为已植入DLL，且Narrator执行了该DLL，但是由于它以defaultuser1的身份启动，所以无法添加帐户。植入有效载荷后，要点击返回登录页面，启动“Narrator”。接着会发出3声哔哔声，一个消息框弹出来，显示SYSTEM，说明已加载DLL。帐户已创建，但不在列表中。点击“忘记密码”，然后单击返回，更新列表。

最后会出现一个名为hax的新帐户，密码为hax。