組策略設置不當無法登陸故障解決方法
組策略有時候由于設置不當而使管理員無法登陸時怎么辦？具體內容如下所述。
在WINMAG雜志上筆者看到了在域環境上如果由于組策略設置不當，在拒絕本地登陸策略里設置了everyone組或管理員組造成管理員無法登陸的解決的辦法，但前提似乎要在域環境下，通過在DC上優先策略的發布替換原有策略，從而達到解決問題的目的，那么如果在對等網或單機的情況下該如何解決此類問題呢？在單機下可以解決的話，筆者想就不用區別是否是域環境了，也可以說是通用的方法了。來看看筆者的具體實話過程吧。（本實驗全部在虛擬機上完成，磁盤格式為NTFS，系統為XP。）
首先需要聲明的是，在單機環境下，如果在組策略的拒絕本地登陸上直接加入“everyone”或“administrator”是不允許的，會出現如下提示：
圖1：添加“everyone”組時系統拒絕提示
看來微軟也意識到了用戶可以會犯這么低級的錯誤，但令人感到遺憾的是這個功能只是檢測“everyone”或管理員，并不檢查其它組的組成員，如果某個組包含everyone或管理員的話，系統是允許通過的，于是就造成了問題所在，在實驗環境里，筆者新建了一個SLE的組，組成員為“everyone”，如圖：
圖2：新建包含“everyone”組成員的組“sle”
確定以后，再運行“組策略”，并在“拒絕本地用戶”里添加了“SLE”組，系統并沒有給出任何提示，完全通過，如圖：
圖3：在拒絕本地登陸里添加包含“everyone”組成員的“sle”組
然后把系統重啟，不出所料，當筆者用“administrator”進行登陸時，系統給出了出錯提示：
圖4：系統拒絕登陸
很明顯，如果是在單機環境下，已經沒有什么辦法可想了，只能轉移。筆者先用XP的安裝光盤啟動，選修復，輸入管理員密碼后，進入控制臺，因為在控制臺下，組策略不起作用，所以不會拒絕登陸的，如圖：
圖5：進入控制臺
把當前目錄切換到“c:\windows\system32”下面，然后把“cmd.exe”拷至其它目錄，筆者是拷到了C盤根目錄下，然后把“cmd.exe”改名為“logon.scr”，再把這個由“cmd.exe”改名而來的“logon.scr”重新拷到“c:\windows\system32”下，系統提示：“要改寫logon.scr嗎？”，選擇“Yes”，***輸入“exit”退出重啟。
圖6：將“cmd.exe”改成“logon.scr”并覆蓋原有文件
啟動到登陸畫面時，請不要動鍵盤鼠標，過一會，系統就會啟動“logon.scr”的屏保程序，但由于筆者們在前面已經把“cmd.exe”改成了“logon.scr”，所以這回啟動的可不是屏保，而是“cmd.exe”，如圖：
圖7：系統啟動了由“cmd.exe”改名的“logon.scr”
接下來就方便了，只要輸入“gpedit.msc”，就可以啟動組策略了：
圖8：運行組策略
然后筆者再到“用戶權利指派”里，雙擊“拒絕本地登陸”：
圖9：刪除包含成員everyone組的sle
把筆者添加的那個包含“everyone”的組“sle”刪除。確定退出，然后再在登陸畫面里輸入管理員帳號的密碼，成功登陸！
此方法主要是利用了在登陸界面里，如果長時間不動鍵盤鼠標，則系統自動啟動“logon.scr”這一漏洞解決問題的。現在筆者模擬的環境是在知道管理員密碼的情況下完成的，如果不知道密碼也沒有關系，只要用2K PRO的安裝光盤啟動XP，進入控制臺里是不用輸入密碼的（又是一個安全漏洞），此方法不僅可以解決單機環境下的組策略設置不當問題，還可以破解系統的管理員密碼，包括DC在內，希望微軟下一系統—Longhorn能避免此類問題，使系統更加安全！
組策略設置不當無法登陸故障解決方法希望能夠對讀者有所幫助。更多有關組策略的知識有待于讀者去學習餓鞏固。
【編輯推薦】
