Windows系统账户隐藏技巧

  • A+
所属分类:安全文章

0x001 系统账户隐藏


渗透一台主机后,一般都想办法给自己留后门,其中使用最多的就是账户隐藏技术。账户隐藏技术可谓是最隐蔽的后门,一般用户很难发现系统中隐藏账户的存在,因此危害性很大,本文就对隐藏账户这种黑客常用的技术进行复现。


0x002 新建特殊账户


通过 net user 命令创建隐藏账号,并将其加入 administrators 组


net user test$ 123456 /add
net localgroup administrators test$ /add

注:创建的用户名必须以 $ 符号结尾

添加后,该帐户可在一定条件下隐藏,输入net user无法获取信息

但是,在登录界面以及本地用户和组中却能够发现该帐户


0x003 赋予注册表权限


使用 WIN+R 键,输入regedit 打开注册表,展开注册表 [HKEY_LOCAL_MACHINESAM|SAM]


默认情况下 SAM 这个项里没有任何内容,这是因为用户对它没有权限。

在这个项的右键菜单里,为 administrator 用户赋予完全控制权限。

Windows系统账户隐藏技巧


然后重新启动注册表,即可看到如下效果

Windows系统账户隐藏技巧


0x004 导出注册表


在 [SAMDomainsAccountUsersNames] 项里显示了当前系统存在的所有账户,选中 test$ ,在其右侧有一个(默认)选项,类型为 0x3eb 的键值。


其中的 3eb 就是 test$ 账户 SID 的结尾,即 RID(这里使用十六进制表示)。另外,在 [SAMDomainsAccountUsers] 里还有一个以 3eb 结尾的子项。

Windows系统账户隐藏技巧


这两个项里都是存放了用户 test$ 的信息。在这两个项上单击右键,执行 导出 命令,将这两个项的值分别导出成扩展名为 .reg 的注册表文件。


Windows系统账户隐藏技巧


0x005 删除特殊账户


然后将 test$ 账户删除


net user test$ /del

再次重启注册表,此时上述两个项都没了

Windows系统账户隐藏技巧


0x006 导入 reg 文件


下面再通过命令行将刚才导出的两个注册表 .reg 文件进行重新导入



regedit /s test.reg
regedit /s test1.reg

此时在注册表里就有了 test$ 账户信息

Windows系统账户隐藏技巧


隐藏账户制做完成,控制面板不存在帐户 test$


通过 net user 无法列出该帐户


通关 WIN+R 键,输入lusrmgr.msc 打开本地用户和组,查看用户,也无法列出该帐户

Windows系统账户隐藏技巧



但可通过如下方式查看,这种方式的前提是必须已经清楚隐藏账户的名字,所以一般是管理员是不会发现的


Windows系统账户隐藏技巧


使用这个隐藏账户可以登录系统,但缺点是仍然会产生用户配置文件,下面再对这个账户做进一步处理,以使之完全隐藏。


0x007 隐藏用户配置文件


展开 [SAMDomainsAccountUsersUsers] 注册表项中,找到 administrator 用户的 RID 值 1f4,展开对应的 000001F4 项,其右侧有一个名为 F 的键值,这个键值就存放了用户的 SID 。


下面将这个键值的数据全部复制,并粘贴到 000003EB 项的 F 键值中,也就是将 administrator 用户的 SID 赋给了 test$


这样在操作系统内部,实际上就把 test$ 当做是 administrator,test$ 成了 administrator 的影子账户,与其使用同一个用户配置文件,test$ 也就彻底被隐藏了。

Windows系统账户隐藏技巧


0x008 删除隐藏用户


使用普通的账户删除命令是无法删除隐藏账户的,提示用户不属于此组

Windows系统账户隐藏技巧


只能将删除注册表 [HKEY_LOCAL_MACHINESAMSAMDomainsAccountUsers]下对应帐户的键值(共有两处),也就是刚刚创建 test$ 所产生的那两个注册表文件


Windows系统账户隐藏技巧

删除完这两个注册表项后,即可完全清除隐藏账户 test$


0x009 防御隐藏用户


打开注册表的 [HKEY_LOCAL_MACHINE] 项,检查该项下的 [SAMSAMDomainsAccountUsers] 是否有可疑账户


默认管理员权限无法查看注册表,需要分配权限或是提升至 Sytem 权限隐藏帐户的登录记录,可通过查看日志获取


参考文章


https://www.cnblogs.com/wjvzbr/p/7906855.html


来源: Luckysec
作者: Luckysec
链接:
本文章著作权归作者所有,任何形式的转载都请注明出处。


推荐阅读Windows系统账户隐藏技巧
觉得不错点个“赞”、“在看”,支持下小编Windows系统账户隐藏技巧

本文始发于微信公众号(乌雲安全):Windows系统账户隐藏技巧

发表评论

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: