1. 虚拟机里忘记Windows密码这件事，到底该怎么收场
手头有一台虚拟机，里面跑着一个Windows系统，可能是用来做测试的、可能是很久以前搭的实验环境，突然某天开机发现登录密码想不起来了。这种事在运维和测试圈子里太常见了——虚拟机不像物理机那样可以找IT部门重置，也不像在线账户那样能通过邮箱找回。尤其是本地账户，密码一丢，连桌面都进不去。
我自己的习惯是给每台虚拟机做快照，但总有那么几次偷懒没做，或者快照回滚之后密码状态也跟着回去了。这时候最直接的思路就是：能不能绕过登录验证，直接把密码清掉或者改掉？答案是能，而且方法不止一种。今天要聊的NTPWEdit就是其中一种非常轻量、非常直接的做法——它不需要你重装系统，不需要你挂载什么复杂的工具链，只需要让虚拟机从另一个可引导环境启动，然后对目标系统的密码数据库文件动一次手术。
这篇文章适合几类人看：一是手头有虚拟机、忘了Windows登录密码、想自己动手解决的人；二是对Windows账户体系好奇、想知道密码到底存在哪里、怎么被校验的人；三是平时做安全测试或渗透练习、需要一个干净利落的本地密码重置手段的人。不管你是哪种，接下来的内容都会从原理到操作、从准备到排错，一步步讲清楚。
需要提前说明的是，本文所有操作都在虚拟机环境中进行，针对的是你自己拥有完全控制权的系统。物理机上的密码重置涉及更多硬件和引导层面的变数，不在本文讨论范围内。另外，NTPWEdit这个工具本身非常老牌，界面朴素，但胜在稳定可靠，对BIOS/MBR引导的Windows 7到Windows 10都能应付。
2. NTPWEdit凭什么能改掉Windows密码
2.1 Windows本地密码到底存在哪个文件里
要理解NTPWEdit为什么能改密码，得先知道Windows把密码放在哪儿。对于本地账户（非微软账户），密码哈希存储在C:\Windows\System32\config\SAM这个文件里。SAM是Security Account Manager的缩写，它不是一个普通文本文件，而是一个注册表 hive 文件，系统运行时被独占锁定，你没法直接在运行中的系统里编辑它。
SAM文件里存的是用户账户的密码哈希，具体来说是NTLM哈希（以及LM哈希，取决于系统版本和策略）。Windows登录时，你输入的密码会被转换成哈希，然后和SAM里存的哈希做比对，匹配就放行。所以理论上，只要能把SAM里的哈希替换成已知密码的哈希，或者直接清空某个账户的密码字段，就能实现密码重置。
但问题在于：SAM被系统锁着，你不可能在登录界面之前就把它改掉。这就引出了下一个关键点——引导环境。
2.2 为什么必须从PE或另一套系统启动
Windows正常运行的时候，config目录下的所有hive文件（SAM、SYSTEM、SECURITY等）都被内核独占。你就算用管理员权限，也没法直接写入SAM。所以必须让目标Windows处于离线状态，也就是不启动它，而是从另一个可引导介质启动，比如PE系统或者安装盘。
从PE启动后，目标系统的C盘只是一个普通的数据分区，SAM文件也只是一个普通的文件。这时候用NTPWEdit去打开它、修改它，就不会有任何锁定问题。修改完成后重启，目标Windows重新加载SAM，密码就已经变了。
这个逻辑其实和“修锁要先让门开着”是一个道理——你不能在门锁着的时候从外面换锁芯，得先把门打开（从别的入口进去），换完锁芯再关门。
2.3 NTPWEdit的工作方式：直接操作SAM hive
NTPWEdit做的事情说起来很简单：它解析SAM这个注册表hive文件，列出里面的本地用户账户，然后允许你对选中账户执行两种操作——清空密码或者修改密码。清空密码就是把密码字段置空，修改密码则是写入一个新密码对应的哈希。
它不需要知道原密码，也不做任何暴力破解。它本质上是一个离线注册表编辑器，专门针对SAM文件做了用户账户的解析和密码字段的写入。这也是它速度快、成功率高的原因——不涉及任何密码学攻击，就是直接改数据。
注意：NTPWEdit修改的是本地账户密码。如果目标系统用的是微软账户登录，SAM里对应的条目可能不完整，这种情况下清空本地密码不一定能让你进入系统，因为登录流程会走在线验证。本文讨论的前提是本地账户。
3. 动手之前的准备工作：虚拟机、PE盘和那个关键的SAM文件
3.1 虚拟机层面的准备：快照是最后的保险
在动任何手之前，先给虚拟机拍一个快照。这不是可选项，是必须项。原因很简单：你接下来要修改的是系统核心的账户数据库，万一改错了、改完了进不去、或者引导环境有问题，快照是你唯一的退路。
拍快照的操作在VMware Workstation里是“虚拟机”菜单下的“快照”->“拍摄快照”，在VirtualBox里是“控制”菜单下的“生成备份”。名字随便起，但建议带上日期，比如“20250101-改密码前”。拍完之后，即使后面把SAM改坏了，回滚快照就能回到动手之前的状态。
另外确认一下虚拟机的引导模式。NTPWEdit对BIOS/MBR引导的系统支持最好，如果是UEFI引导的Windows 10/11，PE盘也需要是UEFI可引导的，否则可能进不去PE。在VMware里可以在虚拟机设置里看到固件类型，VirtualBox里在“系统”->“主板”选项卡里能看到EFI是否勾选。
3.2 制作一个能用的PE启动盘
PE系统的选择很多，常见的有微PE、IT天空的U盘PE等。对于虚拟机场景，其实不一定需要U盘——可以直接把PE的ISO镜像挂载到虚拟机的光驱里，然后设置从光驱启动。这样比插U盘更方便，也不依赖物理USB设备。
以微PE为例，去官网下载ISO版本（不是exe安装版），然后在虚拟机设置里把CD/DVD指向这个ISO文件，同时勾选“启动时连接”。接着进入虚拟机的BIOS设置（VMware里开机按F2，VirtualBox里按F12或进入设置界面），把CD/DVD调到启动顺序的第一位。
提示：有些PE的ISO是专门为U盘制作的，可能不支持直接光驱引导。下载时注意看说明，选择支持ISO引导的版本。微PE的ISO版是可以直接挂载引导的。
如果你手头只有U盘PE，也可以把U盘连接到虚拟机（VMware里通过“虚拟机”->“可移动设备”->找到U盘->连接），然后从U盘启动。但ISO挂载的方式更干净，不涉及物理设备透传。
3.3 确认目标系统的SAM文件路径
从PE启动后，你需要找到目标Windows系统的安装分区。通常PE里会有一个“此电脑”或文件管理器，能看到各个分区。目标系统的SAM文件位于：
[系统盘]:\Windows\System32\config\SAM比如系统装在C盘，那就是C:\Windows\System32\config\SAM。但要注意，从PE里看到的盘符可能和正常启动时不一样。正常启动时是C盘，在PE里可能变成D盘或E盘。判断方法是看分区里有没有Windows文件夹，以及Windows\System32\config目录下有没有SAM、SYSTEM、SOFTWARE这些文件。
如果虚拟机有多块虚拟硬盘，更要仔细确认哪个分区才是目标系统所在的分区。选错了分区，NTPWEdit打开的就是另一个系统的SAM，改了也没用。
4. 用NTPWEdit清空密码的完整操作链路
4.1 在PE里启动NTPWEdit并打开SAM
进入PE桌面后，找到NTPWEdit的可执行文件。很多PE工具箱里已经集成了NTPWEdit，通常在“密码修改”或“Windows密码”之类的分类下。如果没有集成，可以提前把NTPWEdit.exe放到U盘或ISO的某个目录里，进PE后直接双击运行。
NTPWEdit的界面非常简洁，打开后首先看到的是一个文件路径输入框和一个“打开”按钮。默认路径通常是C:\Windows\System32\config\SAM，但这个C盘是PE环境下的C盘，不一定是目标系统。你需要手动把路径改成目标系统SAM的实际路径。
点击“打开”后，如果路径正确且文件可读，NTPWEdit会列出SAM中的所有本地用户账户。列表里会显示用户名、账户类型（管理员/普通用户）、以及账户是否启用等信息。找到你要重置密码的那个账户，选中它。
4.2 清空密码还是修改密码：两种策略的选择
NTPWEdit对选中的账户提供两个主要按钮：“清空密码”和“修改密码”。
清空密码是把该账户的密码字段直接置空，相当于把密码设成空。重启后登录时，密码框留空直接回车就能进。这个方式最省事，适合你只是想进去、不介意密码为空的情况。但要注意，某些Windows版本或安全策略可能不允许空密码登录，尤其是管理员账户。如果遇到这种情况，就需要用“修改密码”。
修改密码是让你输入一个新密码，NTPWEdit会把它写入SAM。这个方式更稳妥，因为新密码非空，不会触发空密码限制。操作时在弹出的对话框里输入两次新密码，确认即可。
我个人的习惯是优先用“修改密码”，设一个临时密码比如Temp@12345，进去之后再从系统里改成自己想要的密码。这样比空密码更可靠，也避免了空密码策略带来的意外。
注意：修改密码后，如果目标系统启用了BitLocker或设备加密，修改SAM可能导致下次启动时要求恢复密钥。虚拟机里一般不会开BitLocker，但如果你手动开过，动手前先确认恢复密钥在手。
4.3 保存修改并验证写入结果
点击“修改密码”或“清空密码”之后，NTPWEdit会执行写入操作。界面上通常会有提示表示成功。但不要急着关掉，先确认一下：可以再次点击“打开”重新加载SAM，看看账户列表里密码状态是否已经变了（有些版本会显示密码是否为空）。或者直接关闭NTPWEdit，重新打开一次，选中同一个账户，看是否还能看到“密码已清空”之类的状态。
确认无误后，关闭NTPWEdit，然后重启虚拟机。重启前记得把虚拟机的启动顺序改回硬盘优先，或者断开ISO挂载，否则可能又进PE了。
重启后到达Windows登录界面，用你设置的新密码（或者空密码）登录。如果成功进入桌面，说明整个操作链路走通了。
5. 那些让我多折腾了半小时的坑
5.1 盘符错乱导致打开错误的SAM
这是最常见的问题。PE环境下看到的C盘往往不是目标系统盘。我有一次在一台虚拟机里操作，PE里C盘是PE自己的虚拟盘，D盘才是目标系统。当时没注意，直接默认路径打开，结果NTPWEdit列出的用户根本不是我要找的那个。后来仔细看了分区内容才反应过来。
判断方法很简单：在PE的文件管理器里逐个分区点进去，看哪个分区有Windows\System32\config\SAM这个文件。找到之后，记下盘符，再在NTPWEdit里手动输入完整路径。不要依赖默认路径。
5.2 PE版本太老认不出新系统的SAM格式
NTPWEdit本身很老，但SAM的格式从Windows 7到Windows 10变化不大，一般都能识别。但如果你的PE里集成的NTPWEdit版本特别旧，而目标系统是Windows 11或者某个更新过的Windows 10，可能会遇到打开SAM后用户列表为空、或者报错的情况。
解决办法是换一个更新一点的PE，或者单独下载最新版的NTPWEdit（网上有独立版本）放进PE里运行。我一般会在U盘里常备一个独立版的NTPWEdit，不依赖PE自带的版本。
5.3 修改后登录提示“密码错误”或“账户被锁定”
如果修改密码后登录仍然失败，先确认你改的是正确的账户。SAM里可能有多个账户，比如Administrator、Guest、以及你自建的用户。选错了账户，改的就不是你要登录的那个。
另一个可能是账户被锁定了。Windows有账户锁定策略，多次输错密码后账户会被临时锁定。这种情况下即使密码正确也进不去，需要等锁定时间过去，或者在PE里用NTPWEdit把账户的锁定标志也清掉（有些版本支持）。如果NTPWEdit不支持，可以用另一个工具chntpw（Linux下的类似工具）来处理。
还有一种情况是系统启用了“必须按Ctrl+Alt+Delete登录”或者有其他安全策略，导致空密码无法使用。这时候改用“修改密码”设一个非空密码就能解决。
5.4 虚拟机引导顺序没改回来
改完密码重启，结果又进了PE，这种情况我遇到过不止一次。原因是虚拟机的启动顺序里光驱还在硬盘前面，而ISO还挂着。解决办法是在重启前进入BIOS把硬盘调到第一位，或者在虚拟机设置里断开ISO连接。VMware里可以在虚拟机运行时通过“虚拟机”->“设置”->“CD/DVD”->取消“启动时连接”来快速断开。
6. 比NTPWEdit更省事的替代思路
6.1 用快照回滚代替密码重置
如果你在忘记密码之前拍过快照，那最省事的办法就是回滚快照。快照会恢复整个系统状态，包括SAM文件。回滚之后，密码就是你拍快照时的那个。这个方式不需要PE、不需要NTPWEdit，几秒钟搞定。代价是快照之后的所有改动都会丢失，所以适合虚拟机里没有重要新数据的情况。
6.2 挂载虚拟磁盘到另一台虚拟机
另一个思路是把目标虚拟机的虚拟磁盘文件（VMDK或VDI）挂载到另一台正常的虚拟机上，然后在那台虚拟机里用NTPWEdit修改SAM。这样做的好处是不需要给目标虚拟机做PE引导，直接把它当数据盘处理。VMware里可以通过“虚拟机”->“设置”->“添加”->“硬盘”->“使用现有虚拟磁盘”来挂载。挂载后，在正常虚拟机里运行NTPWEdit，指向挂载进来的那个分区里的SAM文件即可。
这个方式适合你手头有另一台可用的虚拟机，而且不想折腾PE引导的情况。缺点是挂载虚拟磁盘时要注意不要同时启动原虚拟机，否则磁盘文件会被锁定。
6.3 重建一个本地管理员账户
如果目标系统里还有其他管理员账户可以登录，那最简单的办法是登录进去之后，用“计算机管理”->“本地用户和组”重置忘记密码的那个账户。但前提是你还记得另一个管理员账户的密码。如果所有管理员账户都忘了，那就只能回到PE+NTPWEdit的路子上。
还有一种极端情况：系统里只有一个账户，且是微软账户登录。这种情况下SAM里的本地密码重置可能无效，因为登录验证走的是在线服务。解决办法是断开网络，然后用PE里的工具把微软账户对应的本地条目改成普通本地账户，或者新建一个本地管理员账户。这个操作比单纯改密码复杂，涉及注册表里的一些标志位修改，不适合新手直接上手。
7. 关于虚拟机密码重置的一些个人体会
虚拟机里的Windows密码重置，说到底是一个“离线修改账户数据库”的操作。NTPWEdit把这个操作简化到了点几下按钮的程度，但背后的逻辑值得每个经常跟虚拟机打交道的人了解。知道了SAM是什么、为什么必须离线改、PE引导起了什么作用，遇到问题时才能自己判断是哪一步出了岔子。
我自己的习惯是：给每台虚拟机建好之后，先拍一个“干净系统”的快照，然后再装软件、做配置。这样即使后面密码忘了、系统搞崩了，回滚到那个干净快照就能重新开始。快照占不了多少磁盘空间，但省下来的时间远超那点空间成本。
另外，如果你经常需要做这类操作，建议在U盘或ISO里常备一套PE工具和独立版的NTPWEdit。不要依赖某个特定PE里集成的版本，因为PE更新频率不高，集成的工具可能过时。独立版NTPWEdit很小，几百KB，放在U盘里不占地方，关键时刻能省很多事。
最后说一个细节：修改完密码进入系统后，建议第一时间把密码改成自己记得住的，并且确认一下账户的密码策略。有些系统默认要求密码有复杂度，你设的临时密码如果太简单，下次改密码时可能被拒绝。这些都是在实际操作中容易忽略的小地方，但每一个都可能让你多折腾一轮。
