自动登录为什么是高风险项
Winlogon 的 AutoAdminLogon 配合 DefaultPassword 会把账号口令以明文形式写进注册表，任何本地用户都能读到。这在自助终端、看板机与行业设备上很常见，一旦设备被接触，相当于把该账号的凭据直接交出去，且该账号常常还带本地管理员权限。
基本信息
| 适用平台 | Windows（含行业自助终端与看板机） |
|---|---|
| 注册表位置 | HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon |
| 关键值 | AutoAdminLogon、DefaultUserName、DefaultPassword |
| 基线 | 无明文默认口令，无自动登录配置 |
典型使用场景
- 终端与办公机巡检：批量扫描是否存在明文 DefaultPassword
- 行业终端整改：自助设备确需自动会话时改用受限方案
- 合规检查：自动登录与明文凭据是常见扣分项
- 事件后排查：确认攻击者是否通过读取注册表获得可用凭据
扫描与清除
扫描与清除
# 查看当前配置
Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon' | Select-Object AutoAdminLogon, DefaultUserName, DefaultPassword
# 清除明文口令
Remove-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon' -Name DefaultPassword -ErrorAction SilentlyContinue
# 关闭自动登录
Set-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon' -Name AutoAdminLogon -Value '0'相关值读法
| 注册表值 | 含义 | 风险 |
|---|---|---|
| AutoAdminLogon | 是否自动登录 | 设为 1 时开机直接进入会话 |
| DefaultUserName | 自动登录使用的账号 | 常为本地管理员 |
| DefaultPassword | 账号口令（明文） | 任何本地用户可读，发现即轮换 |
| AutoLogonCount | 自动登录次数 | 配合重启流程使用，易被忽略 |
配套检查点
- 基础镜像与模板：镜像里残留的自动登录项会让新装机器批量带病上线
- 应答文件：无人值守安装的应答文件若含明文口令，安装完成即写入注册表
- 组策略与注册表偏好：确认下发的策略本身没有打开自动登录，避免整改完又被推回去
- 排查工具：Sysinternals 的 Autologon 可直接查看该项是否启用，适合分散终端巡检
- 远程注册表读取：批量巡检不必逐台登录，用远程读取即可完成初筛
残留位置对照
| 位置 | 内容 | 说明 |
|---|---|---|
| Winlogon 键 | AutoAdminLogon、DefaultUserName、DefaultPassword | 明文口令所在地，删除后仍需轮换账号 |
| 系统级存储 | 自动登录口令的系统副本 | 需系统权限才能读取，属于删除后的残留 |
| 安装应答文件 | 装机期设置的口令 | 安装完成后仍会写入注册表，需一并清理 |
| 基础镜像与模板 | 预置的自动登录项 | 新装机批量继承，最容易长期无人察觉 |
DefaultPassword 是明文存放的：一旦确认存在，该账号口令应视为已泄露并立即轮换，只删除注册表值不足以消除影响。
行业终端确有自动会话需求时，用受限的 Kiosk 账号加无本地管理权限，比内嵌管理员口令安全得多，也更符合最小权限原则。
批量核查可结合组策略与脚本下发：把注册表项作为检查项定期扫描，新上架设备与重装机器也能自动纳入覆盖范围。
整改后复测一次开机流程：确认机器仍能正常进入桌面，且不再携带明文凭据，避免为了合规把设备改成无法使用。
清理顺序建议先扫注册表值再确认残留：删掉 DefaultPassword 只是移除了明面上那一份，系统维护的副本仍在，彻底做法是轮换该账号口令并按新口令重新评估权限。