powershell不能直接检测弱口令，因windows仅存储密码哈希且不提供明文验证接口；实际做法是检查密码策略合规性、识别高风险账户、强制重置密码及监控异常登录行为。
powershell 本身不能直接检测弱口令，因为 windows 不会以明文或可逆方式存储用户密码，系统仅保存密码的哈希值（如 ntlm、ntlmv2 或 kerberos 密钥），且默认不提供接口让脚本“猜测”或“验证”密码强度。所谓“检测弱口令”，实际只能通过间接策略控制和合规性检查来实现——即：检查密码策略是否启用、是否符合复杂度要求、是否定期更换，以及对已知高危账户（如 administrator）执行强制重置或审计。
一、检查并启用强密码策略
Windows 域环境（AD）和本地组策略均可配置密码策略。PowerShell 可读取当前生效的策略，确认关键项是否启用：
- 密码必须符合复杂性要求：至少含大写、小写、数字、符号中三类
- 密码长度最小值 ≥ 8（建议 ≥ 12）
- 密码最长使用期限 ≤ 90 天
- 强制密码历史 ≥ 24（防止循环复用旧密码）
执行命令检查本地策略（需管理员权限）：
secedit /export /cfg policy.inf && findstr /i "PasswordComplexity MinPasswordLen MaxPasswordAge PasswordHistorySize" policy.inf二、识别高风险账户并标记（非实时检测口令，而是定位隐患）
脚本可扫描本地或域内是否存在以下高风险账户，作为“弱口令高发对象”进行干预：
- 用户名为 Administrator 且未重命名
- 密码永不过期（
PasswordNeverExpires为 True） - 账户已禁用但密码仍有效（易被启用后滥用）
- 上次密码设置时间超过 180 天
示例（本地管理员账户检查）：
Get-LocalUser | Where-Object { $_.Name -eq 'Administrator' -and $_.PasswordLastSet -lt (Get-Date).AddDays(-180) } | Select-Object Name, Enabled, PasswordLastSet三、强制重置指定账户密码（需管理员权限 + 合理授权）
对确认风险的账户（如过期、默认账户），可脚本化重置密码并禁用简单密码选项：
- 使用
Set-LocalUser或Set-ADAccountPassword（域环境） - 新密码需满足复杂度：至少 12 位，含大小写字母、数字、符号
- 重置后立即设置
PasswordNeverExpires $false和ChangePasswordAtLogon $true
本地账户重置示例（生成随机强密码）：
$pw = ([char[]]([char]33..[char]95) + ([char[]]([char]97..[char]126)) + 0..9 | Sort-Object { Get-Random })[0..15] -join ''Set-LocalUser -Name "Administrator" -Password (ConvertTo-SecureString $pw -AsPlainText -Force)
四、日志记录与告警（替代“实时检测”的实用方案）
无法破解密码，但可监控异常登录行为，间接反映弱口令风险：
- 查询安全事件日志中失败登录次数（事件 ID 4625）
- 统计 1 小时内同一账户失败 ≥ 5 次，可能遭暴力破解
- 导出结果并邮件通知管理员
简要脚本片段：
Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4625; StartTime=(Get-Date).AddHours(-1)} | Group-Object -Property TargetUserName | Where-Object Count -ge 5 | Select-Object Name, Count不复杂但容易忽略：真正的弱口令防护靠的是策略前置+行为审计+人工响应，而非脚本“扫描密码”。PowerShell 的价值在于自动化策略核查、批量加固和异常感知——把人从重复劳动中解放出来，把精力留给研判与处置。
