你知道吗？据 2024 年网络安全报告显示，超过 68% 的 Active Directory 账户入侵事件，根源并非密码不满足复杂度要求，而是用户使用了Qwerty123、P@ssw0rd这类 “合规但极弱” 的密码。明明启用了大小写、数字、特殊字符的强制规则，为何账户仍频频失守？问题就在于，默认 AD 密码策略无法拦截这些可预测的 “伪强密码”—— 而这正是本文要解决的核心痛点。
本文将介绍如何在本地 Active Directory 域中创建并强制执行密码禁用列表，以阻止用户设置弱密码或已泄露密码，保护账户免受字典攻击和暴力破解攻击。
使用 PassFiltEx 实现密码禁用列表
首先，我们来了解一下 PassFiltEx，这是一个轻量级的开源库，它为在Active Directory中拦截常见的弱密码提供了简单的解决方案。
当AD用户更改密码时，域控制器上的LSA进程会检查该密码是否与已注册的密码筛选器相匹配。在检查新密码时，PassFiltEx库可以作为附加筛选器透明地发挥作用。
要部署PassFiltEx，需从该项目的GitHub仓库中下载此项目，并将它们复制到域控制器的%SystemRoot%System32目录中。
- PassFiltEx.dll – PassFiltEx库文件
- PassFiltExBlacklist.txt – 一个纯文本文件，包含你希望在AD中禁止使用的密码
注意事项：
- PassFiltEx 每 60 秒会重新加载一次黑名单文件。
- PassFiltExBlacklist.txt 文件中禁止使用的密码模式不区分大小写（MyPassword 和 mypassword 会被视为相同）。
- 目前不支持 Unicode 字符。
配置密码禁用列表
将下载到的文件解压缩到域控制器的%SystemRoot%System32目录中
编辑 PassFiltExBlacklist.txt 将禁用密码填些到此文本中。本次我们测试将 P@ssw0rd 放到禁用列表中。
接下来，打开注册表编辑器，导航至 HKLMSYSTEMCurrentControlSetControlLsa 项，然后在 Notification Packages 中的数值数据末尾添加 PassFiltEx 值。
如果你的组织中拥有多台域控制器，那么需要在每台域控制器上重复上面的步骤后，重启域控制器服务器。重启完成后，需要验证 lsass 进程是否已加载 PassFiltEx 库。
tasklist /m PassFiltEx.dll
现在，如果用户尝试将密码修改为与密码黑名单中任何模式匹配的密码，系统会弹出错误提示，表明该密码不符合密码策略要求。
写在最后：筑牢AD密码安全的“最后一道防线”
看完这篇教程，是不是发现拦截弱密码并没有想象中复杂？通过轻量级工具PassFiltEx，我们用简单的配置就补上了AD默认策略的漏洞，让“合规但极弱”的密码无处遁形。
网络安全的核心永远是“细节防守”——68%的入侵源于看似合规的弱密码，这提醒我们：安全策略不能只停留在“满足规则”，更要直击“实战风险”。定期更新你的密码禁用列表（比如加入近期泄露的密码、公司名称、常见序列等），配合多域控制器的同步配置，就能把字典攻击、暴力破解的风险降到最低。
如果你的团队正在被弱密码问题困扰，不妨按照本文步骤动手试试～ 操作中有任何疑问，欢迎在评论区留言交流，也别忘了分享给身边负责域管理的同事哦！
最后想说：安全无小事，每一个密码的加固，都是在为整个网络筑起一道坚不可摧的墙。咱们下期技术干货再见！ 🔒
<center><u>🌟 感谢阅读！喜欢就点个赞吧~</u></center>
📌 三步支持我，让更多朋友看到优质内容：
1.👍 点赞 – 喜欢的话别忘了右下角点个赞~
2.⭐ 关注 – 点击顶部蓝字，订阅不迷路
3.🔄 转发 – 分享到朋友圈，知识需要传递
（关注后右上角设为星标✨，更新第一时间看）
#弱密码 #activedirectory #WindowsServer
此文章为原创文章，作者：胖哥叨逼叨，如若转载，请与我联系并注明出处：https://www.pangshare.com/3891.htm
微信扫一扫 