《入侵生命周期细分实践指南系列》：创建恶意账号

美创科技为了更好地进行入侵检测和防御，参照各种安全威胁框架和自身的实践与思考，提出了基于入侵生命周期的攻击管理模型，作为美创新一代安全架构的三大支柱之一。

入侵生命周期v1.0把入侵过程划分为7个阶段：探索发现、入侵和感染、探索感知、传播、持久化、攻击和利用、恢复。入侵生命周期v1.0同样以ATT&CK作为基本战术知识库，匹配到不同的入侵阶段。需要注意的是，并非所有的入侵都会经历这7个阶段，也没有绝对的线性次序。

1）探索发现

在这个阶段中，攻击者会先锁定攻击对象，然后利用某些技术手段，尽可能多地获取目标暴露出来的信息，如通过端口扫描、指纹探测等方式，发现敏感端口及版本信息，进而寻找攻击点，为下一步入侵做准备。

2）入侵和感染

在这个阶段，攻击者会根据“探索发现”阶段所发现的重要信息，来对目标暴露出的攻击面进行攻击尝试，在“探索发现”阶段收集到的信息越多，攻击对象所暴露的攻击面也就越多，攻击更易成功。

3）探索感知

攻击者在成功进入系统内部后，由于是首次进入所以会出现对内部环境不熟悉的情况，这时攻击者的动作一般会是对当前所处环境进行探索，摸清内部大致的网络结构，常常伴随着被入侵本机的敏感信息收集以及对内网大量的端口进行扫描，后续根据攻击者的目的进行下一步操作。

4）传播

在此阶段，攻击者根据上一阶段在内网探索感知收集到的信息，选择特定的攻击手法。如若发现内部是域环境，攻击者可能会尝试先攻破域控服务器，再传播其他机器。若是工作组环境，可能会利用收集到的端口和服务信息，选择特定漏洞进行批量扫描攻击，来尽可能多地继续获得其他计算机的控制权。

5）持久化

攻击者在对资产进行恶意操作后，为了能够减少再次连接的攻击成本，方便下次进入，会进行“留后门”的操作，常见的后门如：建立计划任务，定时连接远程服务器；设置开机启动程序，在每次开机时触发执行特定恶意程序；新建系统管理员账号等。这样便于攻击者下次快速登录并控制该系统。

6）攻击和利用

攻击者在此阶段便会开始对目标资产进行恶意操作，按照攻击者意愿，对能利用的数据进行窃取、利用；对操作系统、敏感文件进行破坏、删除。所有的防御手段都应该极力阻止攻击者进行到这一阶段。

7）恢复

攻击者在执行所有的攻击操作时，往往会在系统上留下大量的行为日志，因此在这一阶段，攻击者会对记录自身痕迹的所有日志进行处理，或删除或混淆，从而消灭证据，逃避追踪。

本系列文章基于美创科技入侵生命周期1.0架构，细分各阶段攻击者的常用攻击手段，并对相关攻击手段的具体实施方式进行逐一剖析，为安全防御建设提供有力知识补充和反制准备。

创建恶意账号（持久化）

创建账号指的是黑客攻击某台机器并可获取服务器权限时，不需要在系统上部署持久性远程访问工具，可通过创建本地系统账户的方式来获取控制服务器的权限，创建账号后，可通过注册表操作来进行隐藏账号以增加发现账号难度。

根据攻击者的入侵流程和操作手段，攻击者可以利用创建的账号登录系统，可对服务器上的文件进行查看、操作，也可上传横向渗透工具进行横向渗透。

从入侵生命周期角度分析，创建账号一般作用于入侵生命周期的持久化阶段。

从攻击行为链路的上下文来看，针对创建账号的行为链条输入输出如下。

输入：黑客成功攻击某台机器

输出：黑客创建本地系统账户的方式来获取控制的权限，并可利用注册表对账户进行隐

针对创建账户，目前主要有以下几种常见手段

1.net user username password 和 net user username password domain使用命令行创建隐藏用户

（1）net user admin$ admin /add，创建admin$隐藏账户，且net user 命令无法发现隐藏用户。

（2）控制面板——账户管理中，可发现该隐藏账户

(3)查看系统安全日志，可以看到事件 ID 为 4720（已创建用户账户）的日志。

2.利用注册表进行账户隐藏

（1）点击开始→运行，输入 regedit 来打开注册表编辑器，在这个注册表编辑器里可以对系统账户的键值进行修改操作。找到 HKEY_LOCAL_MACHINE→SAM，右击第二个 SAM，给用户配置权限，如下图：

（2）确认后需要关闭注册表编辑器，重新打开注册表编辑器，点击Domains→Account→Users→Names，发现创建的隐藏账户

（3）Names 里存放的子键是和 Users 里的子键一一对应的，如 Names 里的 Administrator，点击后会出现 0xF4 的注册表，那么 Users 里也会有相同命名的子键。如下图

（4）接下来导出一下我们刚才导出 admin$用户的注册表，我命名为 admin$.reg

（5）继续导出对应的 Names 里的 03E9，命名为 03E9

（6）这时候，删除刚才创建的用户，admin$用户（net user 发现不了，但可以删除）如下图；

（7）接下来复制 administrator 的注册表文件（导出的 adminis.reg）里的用户名到 3E9.reg 里相应位置，保存 3E9.reg。

（8）这时候 adminis.reg 可以删除了。依次双击 admin$.reg、3E9.reg,即可，注册表里已经出现 admin$的注册表。

（9）通过 net user 命令，不能发现隐藏账户

（10）通过控制面板——账户管理，也不能发现隐藏账户

（11）但从系统安全日志中，依然可以查看到事件 ID 为 4720（已创建用户账户）的日志

原文始发于微信公众号（第59号）：《入侵生命周期细分实践指南系列》：创建恶意账号