结论:当从Windows登录页面登录时,无论你输入什么密码只要你登录成功,从Windows内存用mimikatz获取的LM、NTLM、SHA1等密码哈希值将变成对应的密码的哈希值。
场景:我用大白菜winpe绕过登录密码后,到登录页面空密码登录,mimikatz获取的内存密码:用户明文密码为空,哈希值为:*** empty ***。注销后,随便输入登录密码111,登录成功,mimikatz获取的内存密码被改为111的哈希值。
拔掉U盘,重启,不输入正确密码,不成功,输入正确密码,mimikatz获取的内存密码恢复正常。