空口令账号的兜底限制
允许空口令账号远程登录属于灾难级配置：任何能连到共享或 RDP 的人都可以直接进入。Windows 的安全选项“使用空密码的本地账户只允许进行控制台登录”（对应注册表值 LimitBlankPasswordUse）默认即为启用，它把这类账号的网络登录路径堵住，只保留控制台。要注意它只是兜底：真正要解决的是不允许存在空口令账号。
基本信息
| 适用平台 | Windows Server / Windows 10、11 |
|---|---|
| 注册表路径 | HKLM\SYSTEM\CurrentControlSet\Control\Lsa |
| 值名 | LimitBlankPasswordUse（DWORD，1 为启用限制） |
| 风险等级 | 高 |
| 基线 | 值为 1（系统默认），且不存在空口令账号 |
典型使用场景
- 安全基线核查：作为本地安全选项的固定检查项
- 新机交付：确认优化工具没有把默认值改掉
- 合规整改：等保对身份鉴别与访问控制有明确要求
- 应急排查：发现异常账号时检查其是否为空口令
- 多用户终端管理：避免新增本地账号时留下空口令
核查与修复
核查与修复
Get-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Control\Lsa' -Name LimitBlankPasswordUse
Set-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Control\Lsa' -Name LimitBlankPasswordUse -Value 1
# 查找空口令风险的本地账号（配合口令策略一起看）：
net user | Select-Object -First 20
Get-LocalUser | Select-Object Name, Enabled, PasswordRequired, PasswordLastSet
secedit /export /cfg C:\evidence\secpol.cfg /areas SECURITYPOLICY取值与相关项读法
| 项 | 含义 | 正常与异常 |
|---|---|---|
| LimitBlankPasswordUse=1 | 空口令账号仅可控制台登录 | 默认值，基线要求 |
| LimitBlankPasswordUse=0 | 允许空口令网络登录 | 高危，应立即恢复为 1 |
| PasswordRequired | 账号是否要求口令 | 为 False 的账号是风险源头 |
| PasswordLastSet | 最近设置口令时间 | 长期未设置需跟进 |
| 本地账号列表 | 是否存在多余账号 | 来历不明的账号需核实 |
根治办法是杜绝空口令账号（口令策略加锁定策略）：本项只是兜底，不替代口令治理，也不限制控制台访问。
落地要点
- 该值只限制网络登录，控制台仍可空口令进入：物理安全与 BIOS 口令同样要管
- Windows 默认即为 1，被优化工具改掉才需修复，核查记录要注明依赖默认值
- 与本地账号盘点结合：清理不必要的账号才能根本消除风险
- 域环境注意域账号与本地账号策略不同，需分别核查
- 把该值纳入基线报告，作为身份鉴别项的支撑证据
部分旧应用通过本地账号做集成认证：清理账号前先确认依赖关系，避免影响业务。