2017-11-28-00:08:55
0x01 帳戶隱藏的方法
該方法在網上已有相關資料，本節只做簡單復現
測試系統：·win7 x86/winxp
1、對登錄檔賦予許可權
預設登錄檔hkey_local_machine\sam\sam\只有system許可權才能修改
現在需要為其新增管理員許可權
右鍵-許可權-選中administrators，允許完全控制，如下圖：
重新啟動登錄檔regedit.exe，獲得對該鍵值的修改許可權。
2、新建特殊帳戶
net user www$ 123456 /add注：使用者名稱要以$結尾新增後，該帳戶可在一定條件下隱藏，輸入net user無法獲取，如下圖：net localgroup administrators www$ /add
但是，在控制面板能夠發現該帳戶，如下圖：
3、匯出登錄檔
在登錄檔hkey_local_machine\sam\sam\domains\account\users\names下找到新建的帳戶www$
獲取預設型別為0x3eb
將登錄檔hkey_local_machine\sam\sam\domains\account\users\names\www$匯出為1.reg
在登錄檔下能夠找到對應型別名稱的登錄檔項hkey_local_machine\sam\sam\domains\account\users\000003eb
如下圖：
預設情況下，管理員帳戶administrator對應的登錄檔鍵值為hkey_local_machine\sam\sam\domains\account\users\000001f4
同樣，右鍵將該鍵匯出為3.reg:
將登錄檔項hkey_local_machine\sam\sam\domains\account\users\000003ea下鍵f的值替換為hkey_local_machine\sam\sam\domains\account\users\000001f4下鍵f的值，即2.reg中鍵f的值替換成3.reg中鍵f的值替換後，如下圖:
4、命令列刪除特殊帳戶
net user test$ /del5、匯入reg檔案
隱藏賬戶製做完成，控制面板不存在帳戶www$
通過net user無法列出該帳戶
計算機管理-本地使用者和組-使用者也無法列出該帳戶
但可通過如下方式檢視：
無法通過net user test$ /del刪除該使用者，提示使用者不屬於此組，如下圖:
刪除方法：
刪除登錄檔hkey_local_machine\sam\sam\domains\account\users下對應帳戶的鍵值(共有兩處)
注：工具hideadmin能自動實現以上的建立和刪除操作【此工具只適用於win xp】
0x02 防禦
針對隱藏帳戶的利用，檢視登錄檔hkey_local_machine\sam\sam\domains\account\users\即可
當然，預設管理員許可權無法檢視，需要分配許可權或是提公升至sytem許可權
隱藏帳戶的登入記錄，可通過檢視日誌獲取
滲透技巧 Windows系統的帳戶隱藏
在之前的文章 滲透技巧 windows系統遠端桌面的多使用者登入 介紹過windows系統遠端桌面的利用技巧，實現了非伺服器版本windows系統的多使用者遠端登入，而最近我和evilcg一起研究了通過帳戶轉殖實現隱藏帳戶的利用技巧。如果將二者結合，會有什麼利用技巧呢，本文將會一一介紹。該方法在網上...
windows 系統使用技巧
2 自定義關機 shutdown s t time，可寫在快捷方式中 shutdown a 取消自動關機 3 批處理指令碼，同時開啟多個程式，以.bat結尾的文字檔案即可 start 為知筆記 c program files x86 wiznote wiz.exe start vmware c pr...
windows 系統快捷鍵小技巧
psr.exe 螢幕步驟錄製器 msconfig 系統配置啟動禁用程式 osk 螢幕鍵盤 calc 啟動計算器 cleanmgr 磁碟清理 mspaint 畫圖板 syskey 系統加密 gpedit.msc 接觸上網限制，網速100 計屬相算機配置 管理模板 網路 qos資料報計畫程式 限制保留頻...