windows_影子账户

今天早上一觉起来，家被偷了，变为疫情风控区，吃的都没有，真难啊....

然后不知道该干嘛，打游戏吧，也觉得没意思，就想起前段时间弄了几个菠菜的站点，然后发现漏洞都修复了，当时也没有做权限维持，就没办法在上去玩，就想学学权限维持，方便以后对这类站点使用....

正文：

需要管理员权限，手动添加的话需要修改注册表文件，在自己的win虚拟机测试的，没有找win server测试。

创建带$符号的账户->打开注册表把管理员的值复制到创建账户得注册表下->导出注册表删除掉自己创建的账户内容->导入

虽然这里没有账户，但是在用户管理或者控制面板里面能够看出来。

下面需要修改注册表。

HEKY_LOCAL_MACHINESAMSAMDomainsAccountUser。

注册表地址。

可以看到wc$用户类型为0x3F0，所以导出000003F0得注册表。我这边导出为1.reg，同时也得导出Names下自己创建的用户注册表，命名为2.reg。

同理导出administrator的，因为我要复制administrator用户，但是只需要导出000001F4即可，不需要导出names下的数据。

然后打开方式使用txt打开1.reg和administrator.reg文件。

把管理员里面的f值复制给你创建的账户里，然后保存。

然后就可以删除你创建的用户，必须重新进入注册表，然后会发现账号都没有了，000003F0那个文件。

双击1.reg和2.reg，选择确定，然后就会导入进去。

导入进去之后就可以重新进入注册表，会看到000003F0文件又回来了，账号也会存在。如果只有000003F0文件，并没有wc$文件，就是没有导入2.reg。

可以看到用户确实存在，都可以修改密码，但是用户管理里是看不到的。

到这里影子账户创建完成。不过手动确实很麻烦，找到WgpSec（狼组安全团队）写的一个exe。

https://github.com/wgpsec/CreateHiddenAccount

它还可以检测影子用户。

这个账户是没办法使用命令删除的。

狼组的工具使用-d就可以删除，通过注册表删除，也可以。建议先新建一个管理员账户，保证系统可以登陆。

原文始发于微信公众号（一个小白帽的成长之路）：windows_影子账户