当前位置： 首页 > article >正文

[ 应急响应基础篇 ] Windows系统隐藏账户详解（Windows留后门账号）

article 2024/11/10 6:09:46

🍬 博主介绍

👨‍🎓 博主介绍：大家好，我是 _PowerShell ，很高兴认识大家~
✨主攻领域：【渗透领域】【数据通信】 【通讯安全】 【web安全】【面试分析】
🎉点赞➕评论➕收藏 == 养成习惯（一键三连）😋
🎉欢迎关注💗一起学习👍一起讨论⭐️一起进步📝文末有彩蛋
🙏作者水平有限，欢迎各位大佬指点，相互学习进步！

文章目录

  • 🍬 博主介绍
  • 一、Windows系统添加隐藏用户介绍
  • 二、Windows系统添加隐藏用户步骤
    • 1、环境介绍
    • 2、创建一个隐藏账号
    • 3、隐藏不彻底
      • 1.管理账户查看
      • 2.管理工具查看
      • 3.注销登录页面查看
    • 4、修改注册表
      • 1.首先打开注册表编辑器
      • 2.确保可以看到SAM路径下的文件
      • 3.找到用户对应的表
      • 4.替换F值
      • 5.导出需隐藏用户的表
      • 6.删除需要隐藏的用户
      • 7.导入需隐藏用户的表
      • 8.隐藏状态
    • 5、登陆界面隐藏账户
    • 6、用户被完全隐藏
    • 7、用户正常登录
  • 三、应急响应发现隐藏账户
    • 1、注册表中用户
    • 2、管理账户中用户
    • 3、管理工具中用户

一、Windows系统添加隐藏用户介绍

系统隐藏账户是一种最为简单有效的权限维持方式，其做法就是让攻击者创建一个新的具有管理员权限的隐藏账户，因为是隐藏账户，所以防守方是无法通过控制面板或命令行看到这个账户的。

二、Windows系统添加隐藏用户步骤

1、环境介绍

前提条件:
假设在攻击的过程中通过利用各种getshell，已经拿到目标服务器administrator权限
环境：windows Server2012
IP：192.168.223.182

2、创建一个隐藏账号

net user powershell$ w123456! /add

添加powershell$隐藏用户

net localgroup administrators powershell$ /add

将powershell$用户添加进管理员组中

在这里插入图片描述

创建完成之后，输入net user 查看账户，发现我们创建的隐藏用户隐藏成功

net user

在这里插入图片描述

3、隐藏不彻底

虽然用net user 看不到，但是还有其他方式可以看到

1.管理账户查看

通过控制面板–>用户账户–>管理账户查看

在这里插入图片描述

2.管理工具查看

通过管理工具–>计算机管理–>本地用户和组–>用户也可以看到

在这里插入图片描述

3.注销登录页面查看

这里也可以看到创建的隐藏账户

在这里插入图片描述

4、修改注册表

为了更好的隐藏新建的账户，还需要进行修改注册表文件操作。

1.首先打开注册表编辑器

regedit

在这里插入图片描述

2.确保可以看到SAM路径下的文件

找到HKEY_LOCAL_MACHINE\SAM\SAM，点击右键，选择“权限”将Administrator用户的权限，设置成“完全控制”，

在这里插入图片描述

重新打开注册表，确保可以看到SAM路径下的文件

在这里插入图片描述

3.找到用户对应的表

其次前往SAM/Domains/Account/Users/Names处，选择Administrator用户，在右侧的键值处可以找到对应的值如0x1f4，然后从左侧的Users目录下可以找到对应的文件。

在这里插入图片描述

其次前往SAM/Domains/Account/Users/Names处，选择Administrator用户，在右侧的键值处可以找到对应的值如0x3ec，然后从左侧的Users目录下可以找到对应的文件。

在这里插入图片描述

4.替换F值

然后从对应的000001F4文件中将键值对F的值复制出来。然后同理找到隐藏账户powershell 所对应的文件，并将从 A d m i n i s t r a t o r 文件中复制出来的 F 值粘贴进 p o w e r s h e l l 所对应的文件，并将从Administrator文件中复制出来的F值粘贴进 powershell 所对应的文件，并将从Administrator文件中复制出来的F值粘贴进powershell文件中。

在这里插入图片描述

把之前复制的f值粘贴到0x3ec的f值中

在这里插入图片描述

5.导出需隐藏用户的表

最后将powershell$ 和000003EC从注册表中右键导出，并删除powershell 用户，然后将刚刚导出的两个文件重新导入进注册表中即可实现 p o w e r s h e l l 用户，然后将刚刚导出的两个文件重新导入进注册表中即可实现powershell 用户，然后将刚刚导出的两个文件重新导入进注册表中即可实现powershell用户的隐藏。
导出powershell$表

在这里插入图片描述

导出000003EC表

在这里插入图片描述

导出来的表如下

在这里插入图片描述

6.删除需要隐藏的用户

net user powershell$ /del

在这里插入图片描述

此时注册表

在这里插入图片描述

7.导入需隐藏用户的表

导入000003EC表

在这里插入图片描述

导入powershell$表

在这里插入图片描述

此时注册表

在这里插入图片描述

8.隐藏状态

管理账户下看不到隐藏用户

在这里插入图片描述

计算机管理用户下看不到隐藏用户

在这里插入图片描述

注销登录页面查看任然可以看到创建的隐藏账户
在这里插入图片描述

5、登陆界面隐藏账户

在注册表中进行设置，使用户不在登录界面显示。
终端中输入： regedit 回车打开注册表编辑器。

regedit

在这里插入图片描述

依次定位到：进入注册表HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\
右键新建项SpecialAccounts

在这里插入图片描述

右键新建项UserList

在这里插入图片描述

右键新建项DWORD32值

在这里插入图片描述

名称为需要隐藏的账户，值为0
值为0表示隐藏，值为1表示显示

在这里插入图片描述

最终如下

在这里插入图片描述

6、用户被完全隐藏

登录界面也看不到了

在这里插入图片描述

7、用户正常登录

采用powershell$登录，成功登录

在这里插入图片描述

登陆进来用的是administrator的身份

在这里插入图片描述

三、应急响应发现隐藏账户

对比以下三张表数量及名称，发现powershell$隐藏用户

1、注册表中用户

查看注册表中HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\Names 位置的用户名

在这里插入图片描述

2、管理账户中用户

控制面板–>用户账户–>管理账户

在这里插入图片描述

3、管理工具中用户

管理工具–>计算机管理–>本地用户和组–>用户

在这里插入图片描述


http://www.kler.cn/a/9799.html

相关文章：

  • 如何在 Spring Boot 中实现多数据源的事务管理？
  • 注意力机制的目的:理解语义；编码器嵌入高纬空间计算；注意力得分“得到S*V”；解码器掩码和交叉注意力层用于训练；最终的编码器和输出实现大模型
  • 自己生成的页面，保存为图片，并下载word
  • 代码随想录 | Day38 | 动态规划 ：01背包应用 目标和一和零
  • 【HarmonyOS】not supported when useNormalizedOHMUrl is not true.
  • 大健康零售行业帮助中心的构建与客户服务优化
  • 从存算分离说起：金融行业数据库分布式改造之路
  • 【Linux】工具（5）——gdb
  • 浏览器：好用的浏览器插件，亲测好用
  • 分布式场景下，Apache YARN、Google Kubernetes 如何解决资源管理问题？
  • Quaternion插值方法
  • FFMPEG VCL Pack Crack显示位置支持或光标
  • 是面试官放水，还是公司实在是太缺人？这都没挂，字节原来这么容易进...
  • 【并发编程】异步编程CompletableFuture实战
  • MySQL开发05-MySQL开发规范
  • 分布式文件系统FastDFS
  • android framework实战车机手机系统开发环境相关问题补充
  • 为什么提升客户服务是长期成功的关键
  • 高精度尘埃粒子计数器工厂空气质量监测必备
  • FreeRTOS 列表和列表项
  • java equals和==的区别
  • 自由度的理解
  • SM59 RFC 目标 SAP_PROXY_ESR 设置到服务资源库连接的检查列表
  • ChatGTP如此强大，我们普通人如何利用它来赚钱？
  • 小程序页面跳转方法
  • SpringSecurity+OAUTH2集成多种登录方式