若出现登录失败、自动填充失效、凭据管理器条目异常消失或未授权修改，表明凭证数据可能已被篡改；需依次检查凭证管理器异常变动、Windows安全中心篡改防护状态、注册表凭据键值完整性、安全日志事件ID异常序列及LSASS进程内存注入模块。
如果您在使用 Windows 11 过程中发现登录失败、自动填充失效、凭据管理器中条目异常消失或出现未授权修改痕迹，则可能是凭证数据已被篡改。以下是识别凭证被篡改的关键方法：
一、检查凭证管理器中条目的异常变动
Windows 凭证管理器是存储网络密码、Windows 凭据及证书的核心位置，任何非主动操作导致的条目增删、时间戳倒退或内容截断均为高危信号。
1、按下 Win + S 打开搜索，输入“凭证管理器”并打开。
2、依次点击“Web 凭据”和“Windows 凭据”选项卡，观察各条目右侧的“最后修改时间”。
3、若发现某条目的修改时间早于系统当前时间但晚于您最近一次手动编辑时间，且该时间点与您无操作记录吻合，则存在被动修改可能。
4、对比相同服务名（如 TERMSRV/* 或 outlook.office.com）下密码字段是否为空、显示为“******”但无法编辑，或长度明显异常（如仅显示 1 位星号），则表明底层加密凭证已损坏或被覆盖。
二、核查 Windows 安全中心中的篡改防护状态
篡改防护（Tamper Protection）可阻止未经授权的应用程序修改 Windows 安全设置，包括凭证相关策略。若其被关闭，攻击者可能绕过保护机制直接操作凭据存储区。
1、在任务栏搜索框中键入“Windows 安全中心”，并选择对应应用。
2、进入后点击“病毒和威胁防护”，再点击“管理设置”下的“病毒和威胁防护设置”。
3、向下滚动至“篡改防护”选项，确认其开关状态是否为“打开”。
4、若显示为“关闭”，且您未主动执行该操作，则该状态变更本身即为凭证环境遭干预的重要佐证。
三、比对注册表中凭据相关键值完整性
Windows 将部分凭证元信息写入注册表，篡改行为常伴随注册表项被清空、权限重置或值类型异常变更。
1、按 Win + R 打开运行框，输入 regedit 并回车。
2、导航至路径：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon。
3、检查右侧是否存在名为 DefaultUserName 和 DefaultPassword 的字符串值（即使为空），若二者均缺失或被设为 REG_NONE 类型，则表明登录凭据初始化层已被破坏。
4、继续导航至：HKEY_CURRENT_USER\Software\Microsoft\Protected Storage System Provider，确认该主键下是否存在子项；若整个主键被删除或权限被设为“拒绝读取”，则凭证加密容器已被强制隔离。
四、分析安全日志中的事件 ID 异常序列
Windows 安全日志会记录与凭据操作强相关的事件，连续出现特定 ID 组合可指向系统性篡改行为。
1、按 Win + R 输入 eventvwr.msc，打开事件查看器。
2、展开左侧树形结构，定位到“Windows 日志 → 安全”，右键“筛选当前日志”。
3、在“事件ID”框中输入：4624, 4625, 4672, 4688, 4776，点击确定。
4、重点筛查以下组合：4776（凭据验证失败）紧随 4688（新进程创建）之后，且进程名为 lsass.exe 外的非常规程序，表明有第三方工具正在暴力试探或注入凭据缓存。
5、若同一用户 SID 在 5 分钟内触发超过 10 次 4625（登录失败），且源 IP 为本地回环（127.0.0.1）或未知主机名，则极可能存在本地凭据提取脚本正在运行。
五、验证 LSASS 进程内存中是否存在可疑注入模块
LSASS（Local Security Authority Subsystem Service）负责管理 Windows 登录会话与凭据缓存，其内存若被注入恶意 DLL，将直接导致凭证被窃取或篡改。
1、以管理员身份运行 PowerShell，执行命令：Get-Process lsass | ForEach-Object { $_.Modules } | Where-Object {$_.FileName -notlike "*C:\Windows\*"} | Select-Object FileName,FileVersion。
2、若输出中出现非系统路径的 DLL 文件（如位于 Temp、AppData 或用户文档目录），则该模块极大概率是凭据抓取工具（如 Mimikatz 变种）。
3、进一步执行：wmic process where name='lsass.exe' get Handle,ParentProcessId,CreationDate，比对创建时间是否与系统启动时间严重偏离（如相差数小时以上）。
4、若 LSASS 进程的 ParentProcessId 显示为非 4（即非 System 进程），而是某个未知 PID（如 1234），则表明其已被父进程劫持重载，原始凭据上下文已不可信。
