관리자 암호를 잃어버렸다면 복구하기위해 다음과 같은 절차를 따라야 한다.

준비

1. 자신의 Windows NT 웍스테이션, 서버 또는 PDC등 복구할 컴퓨터에 로칼로 로그온할 수 있는 정상적인 사용자 계정. 만약 사본 NT가 있는 경우에는 복구과정의 단계 2로 건너뛴다.
2. Windows NT CD-ROM과 셋업 디스크(CDROM으로부터 셋업 디스크를 만들기위해 winnt /ox 명령을 사용한다)
3. NT 사본을 설치할 하드 디스크의 공간.
4. 최신 서비스 팩

Regedt32을 사용해서 다음 레지스트리의 REG_EXPAND_SZ형의 값을 조사한다.

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion
    \Explorer\User Shell Folders

가정:

1. PC의 로칼 관리자의 그룹원이다.
2. 도메인 계정은 로칼 프로파일을 가지고 있다.

자신의 도메인 프로파일을 공유하는 로칼 계정을 생성하기위해

정상적인 사용자는 PDC에 로칼 그룹을 생성할 수 있다. 이 기능으로 사용자들은 자신의 공유 자원을 훨씬 쉽게 접근하기위해 스스로 권한을 할당할 수 있게된다. Sales 관리자는 로칼 Sales 그룹을 생성하고 이 그룹내에 사용자와 전역 그룹을 둘 수 있다. 이 것을 하기위해

net localgroup groupname ["UserName1" "UserName2" "GlobalGroup1" ...] /add /comment:"text" /domain

를 실행하면 된다. 추가적인 사용자나 그룹을 추가하기위해

net localgroup groupname "UserName3" "SalesDom\UserName4" "GlobalGroup2" /add /domain

을 수행한다. 사용자나 전역 그룹을 제거하기위해

net localgroup groupname "UserName2" "SalesDom\UserName4" /delete /domain

을 수행하고 로칼 그룹을 제거하기위해

net localgroup groupname /delete /domain

을 수행한다. 반복적인 제출에의해 공격받았다면 원하지않는 그룹을 수작업으로 제거한 후 KB 기사 Q140380를 사용해서 SAM을 압축할 수 있다. 3번째 방법과 Windows NT 4.0 리소스 킷 - 보충2의 RegBack와 RegRest를 사용하라.

사용자가 도메인에 로칼 그룹을 추가하는 권한을 사용않기위한 도구를 알아보기위해 Q169556를 검사한다.

groupmonitor를 이용해서 이러한 형태의 공격을 일시적(Microsoft가 적당한 픽스를 만들때까지)으로 막을 수 있다.

다음의 접근방법은 완벽하지는 않지만 대부분 정상적으로 동작한다.

1. 사용자의 웍스테이션에서 작업관리자를 연다.
2. 프로세스 탭을 클릭하고 보기/열 선택 대화상자에서 임의의 항목을 선택하거나 선택 취소한다.
3. 작업관리자를 종료한다.
4. 작업관리자를 연다.
5. 프로세스 탭을 선택하고 단계 2의 작업을 취소한다.
6. 응용 프로그램 탭을 선택한다.
7. 응용 프로그램이라는 단어 바로 아래 부분을 두번 클릭한다. 이 것으로 메뉴가 사라질 것이다.
8. 다음과 같은 DoATask.bat 파일을 생성하고 읽기 권한, 파일 속성은 RSH로 설정한다:(이 예는 리소스 킷에 포함된 유틸리티(Soon과 Kill)가 경로내에 있는 것으로 가정하고 있다). @echo off soon 10 cmd /c "kill.exe taskmgr.exe" start /high taskmgr.exe exit
9. DoATask.bat에대한 바로가기를 생성하고 이 바로가기의 이름을 Task Manager로 변경한다.
10. 이 바로가기를 모든 사용자용 시작메뉴로 이동시킨다(수작업으로 시작 메뉴 다루기을 본다.)
11. 이 바로가기에 우측클릭하고 등록정보를 선택한다. 바로가는 아이콘 탭의 실행을 아이콘 표시로 설정한다.
12. 작업관리자를 닫기위해 이 바로가기를 두번 클릭한다.

사용자가 이 바로가기를 클릭할 때마다 10초를 대기한 후 작업관리자를 닫게될 것이다. 작업막대에 우측클릭을 해서 작업관리자를 불러왔다면 작업관리자를 닫기위해 이 바로가기를 사용해야 할 것이다.