[ 应急响应基础篇 ] Windows系统隐藏账户详解（Windows留后门账号）

亦凉 2024-04-29 02:02 93阅读 0赞

> ## ? 博主介绍 ##
> 
> ?? 博主介绍：大家好，我是 [\_PowerShell][PowerShell] ，很高兴认识大家~  
> ✨主攻领域：【渗透领域】【数据通信】 【通讯安全】 【web安全】【面试分析】  
> ?点赞➕评论➕收藏 == 养成习惯（一键三连）?  
> ?欢迎关注?一起学习?一起讨论⭐️一起进步?文末有彩蛋  
> ?作者水平有限，欢迎各位大佬指点，相互学习进步！

#### 文章目录 ####

*  ? 博主介绍
 *  一、Windows系统添加隐藏用户介绍
 *  二、Windows系统添加隐藏用户步骤
 *   *  1、环境介绍
     *  2、创建一个隐藏账号
     *  3、隐藏不彻底
     *   *  1.管理账户查看
         *  2.管理工具查看
         *  3.注销登录页面查看
     *  4、修改注册表
     *   *  1.首先打开注册表编辑器
         *  2.确保可以看到SAM路径下的文件
         *  3.找到用户对应的表
         *  4.替换F值
         *  5.导出需隐藏用户的表
         *  6.删除需要隐藏的用户
         *  7.导入需隐藏用户的表
         *  8.隐藏状态
     *  5、登陆界面隐藏账户
     *  6、用户被完全隐藏
     *  7、用户正常登录
 *  三、应急响应发现隐藏账户
 *   *  1、注册表中用户
     *  2、管理账户中用户
     *  3、管理工具中用户

## 一、Windows系统添加隐藏用户介绍 ##

> 系统隐藏账户是一种最为简单有效的权限维持方式，其做法就是让攻击者创建一个新的具有管理员权限的隐藏账户，因为是隐藏账户，所以防守方是无法通过控制面板或命令行看到这个账户的。

## 二、Windows系统添加隐藏用户步骤 ##

### 1、环境介绍 ###

> 前提条件:  
> 假设在攻击的过程中通过利用各种getshell，已经拿到目标服务器administrator权限  
> 环境：windows Server2012  
> IP：192.168.223.182

### 2、创建一个隐藏账号 ###

net user powershell$ w123456! /add

> 添加powershell$隐藏用户

net localgroup administrators powershell$ /add

> 将powershell$用户添加进管理员组中

![在这里插入图片描述][06d7b8efef0544cdac50950065f32c0c.png]

> 创建完成之后，输入net user 查看账户，发现我们创建的隐藏用户隐藏成功

net user

![在这里插入图片描述][2f6f9da9a6cf458ba1abfac911842a1b.png]

### 3、隐藏不彻底 ###

> 虽然用net user 看不到，但是还有其他方式可以看到

#### 1.管理账户查看 ####

> 通过控制面板–>用户账户–>管理账户查看

![在这里插入图片描述][e2138c18f2fa4ec4b66cc075b475cb34.png]

#### 2.管理工具查看 ####

> 通过管理工具–>计算机管理–>本地用户和组–>用户也可以看到

![在这里插入图片描述][1845510f85804395b987b68fa2678230.png]

#### 3.注销登录页面查看 ####

> 这里也可以看到创建的隐藏账户

![在这里插入图片描述][033cac26ff484e749ce8f699b6bc3d6e.png]

### 4、修改注册表 ###

> 为了更好的隐藏新建的账户，还需要进行修改注册表文件操作。

#### 1.首先打开注册表编辑器 ####

regedit

![在这里插入图片描述][64e5ac5bf23448b2bea271331d3c7f4a.png]

#### 2.确保可以看到SAM路径下的文件 ####

> 找到HKEY\_LOCAL\_MACHINE\\SAM\\SAM，点击右键，选择“权限”将Administrator用户的权限，设置成“完全控制”，

![在这里插入图片描述][0d1e536685f84030be05f6143a30e8ae.png]

> 重新打开注册表，确保可以看到SAM路径下的文件

![在这里插入图片描述][79b960f44e344f86ae8ec33b95a18dd0.png]

#### 3.找到用户对应的表 ####

> 其次前往SAM/Domains/Account/Users/Names处，选择Administrator用户，在右侧的键值处可以找到对应的值如0x1f4，然后从左侧的Users目录下可以找到对应的文件。

![在这里插入图片描述][5f7fb24716ac4f869077aa554c854f40.png]

> 其次前往SAM/Domains/Account/Users/Names处，选择Administrator用户，在右侧的键值处可以找到对应的值如0x3ec，然后从左侧的Users目录下可以找到对应的文件。

![在这里插入图片描述][74c0b71963c84b0ab49a6f0c7c0755f0.png]

#### 4.替换F值 ####

> 然后从对应的000001F4文件中将键值对F的值复制出来。然后同理找到隐藏账户powershell 所对应的文件，并将从 A d m i n i s t r a t o r 文件中复制出来的 F 值粘贴进 p o w e r s h e l l 所对应的文件，并将从Administrator文件中复制出来的F值粘贴进 powershell 所对应的文件，并将从Administrator文件中复制出来的F值粘贴进powershell文件中。

![在这里插入图片描述][efff400cb2314875bfca39a539cc1fc2.png]

> 把之前复制的f值粘贴到0x3ec的f值中

![在这里插入图片描述][ef520bda508c419291f8fa3e188277f7.png]

#### 5.导出需隐藏用户的表 ####

> 最后将powershell$ 和000003EC从注册表中右键导出，并删除powershell 用户，然后将刚刚导出的两个文件重新导入进注册表中即可实现 p o w e r s h e l l 用户，然后将刚刚导出的两个文件重新导入进注册表中即可实现powershell 用户，然后将刚刚导出的两个文件重新导入进注册表中即可实现powershell用户的隐藏。  
> 导出powershell$表

![在这里插入图片描述][d0dd8bcd77e9400ea964355e54309834.png]

> 导出000003EC表

![在这里插入图片描述][4129eb5e3a93420297236af4ead038c9.png]

> 导出来的表如下

![在这里插入图片描述][4b363b48885f432c999ea09dc5d868b5.png]

#### 6.删除需要隐藏的用户 ####

net user powershell$ /del

![在这里插入图片描述][e6944139a1d5474181b508b0b1574adc.png]

> 此时注册表

![在这里插入图片描述][149830fe97084a0baf800cda19a57373.png]

#### 7.导入需隐藏用户的表 ####

> 导入000003EC表

![在这里插入图片描述][d61c39ecc03542f6b2b455e568c8115c.png]

> 导入powershell$表

![在这里插入图片描述][295bc0e6833940dd8a1106ec16f5cc5d.png]

> 此时注册表

![在这里插入图片描述][856499e9fbb64f88bf2f96309d8d92e2.png]

#### 8.隐藏状态 ####

> 管理账户下看不到隐藏用户

![在这里插入图片描述][0d1eeafb747348d6b52934660b027821.png]

> 计算机管理用户下看不到隐藏用户

![在这里插入图片描述][6ea74efeccee43909c4986238c3d9541.png]

> 注销登录页面查看任然可以看到创建的隐藏账户  
> ![在这里插入图片描述][15a6c8bf021548ab8e20b20602e912ae.png]

### 5、登陆界面隐藏账户 ###

> 在注册表中进行设置，使用户不在登录界面显示。  
> 终端中输入： regedit 回车打开注册表编辑器。

regedit

![在这里插入图片描述][da2048bf6d2d49c892f6e85cd83007a5.png]

> 依次定位到：进入注册表HKEY\_LOCAL\_MACHINE\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon\\  
> 右键新建项SpecialAccounts

![在这里插入图片描述][7d24dc4d636b415885e146be64a263ad.png]

> 右键新建项UserList

![在这里插入图片描述][0a39779842174c878487cc10daa080cd.png]

> 右键新建项DWORD32值

![在这里插入图片描述][bbc8f821e51b41b8bd0ece096b7d34c1.png]

> 名称为需要隐藏的账户，值为0  
> 值为0表示隐藏，值为1表示显示

![在这里插入图片描述][d8cc10fbde9d4eb1a767dd3c49ffda57.png]

> 最终如下

![在这里插入图片描述][4d8f31bf5612449f879027427c0dcb97.png]

### 6、用户被完全隐藏 ###

> 登录界面也看不到了

![在这里插入图片描述][0bd9c8730bbd4fada0734f0350ea686c.png]

### 7、用户正常登录 ###

> 采用powershell$登录，成功登录

![在这里插入图片描述][99c8488cd3964eb8b488dc51880f898e.png]

> 登陆进来用的是administrator的身份

![在这里插入图片描述][c2028dd5ef184b38ad03300cbc677809.png]

## 三、应急响应发现隐藏账户 ##

> 对比以下三张表数量及名称，发现powershell$隐藏用户

### 1、注册表中用户 ###

> 查看注册表中HKEY\_LOCAL\_MACHINE\\SAM\\SAM\\Domains\\Account\\Users\\Names 位置的用户名

![在这里插入图片描述][b1b4a4848ff341d18c4d10ac23c6e9a7.png]

### 2、管理账户中用户 ###

> 控制面板–>用户账户–>管理账户

![在这里插入图片描述][278063a0a7914cc29f32af0e374aeac4.png]

### 3、管理工具中用户 ###

> 管理工具–>计算机管理–>本地用户和组–>用户

![在这里插入图片描述][11de629ad8a94cfa8b71b7d515b33dba.png]

[PowerShell]: https://blog.csdn.net/qq_51577576
[06d7b8efef0544cdac50950065f32c0c.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/29/4bc9b74c4c07470d9de458f8f00ce6a2.png
[2f6f9da9a6cf458ba1abfac911842a1b.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/29/21768dcfdce54cb7b210b62fe537459f.png
[e2138c18f2fa4ec4b66cc075b475cb34.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/29/f47c95152f85431780dda3b43bf18cab.png
[1845510f85804395b987b68fa2678230.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/29/06cda2f05c2c4e05b2c36d61c24fd777.png
[033cac26ff484e749ce8f699b6bc3d6e.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/29/f1bceb038268497682876ab1a1d8c1bd.png
[64e5ac5bf23448b2bea271331d3c7f4a.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/29/9e6f2c26f8094fb7932a285aac22d2ae.png
[0d1e536685f84030be05f6143a30e8ae.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/29/2a4b4f6b47c4411d9b6b140d1f85fc64.png
[79b960f44e344f86ae8ec33b95a18dd0.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/29/b72336fe5d4245d4837c92dd0f4f64d4.png
[5f7fb24716ac4f869077aa554c854f40.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/29/9dedcca809c44d77ad79beea8173c6e7.png
[74c0b71963c84b0ab49a6f0c7c0755f0.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/29/d61316682a944d9d91b353121ef45095.png
[efff400cb2314875bfca39a539cc1fc2.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/29/de7bd91d27634ebbb72082387e43aad9.png
[ef520bda508c419291f8fa3e188277f7.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/29/0b50fc1d4cb1439ca9cb9a6b9369b67e.png
[d0dd8bcd77e9400ea964355e54309834.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/29/113cae68a39a452287117d6ee6eccd45.png
[4129eb5e3a93420297236af4ead038c9.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/29/8c2732eca182403f9975077e9cb308df.png
[4b363b48885f432c999ea09dc5d868b5.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/29/2eab807400104a4ba80e532a462123f1.png
[e6944139a1d5474181b508b0b1574adc.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/29/7878343a157144698ca67b47af57a5e0.png
[149830fe97084a0baf800cda19a57373.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/29/e9cc79851b8e43959522b767e1f63526.png
[d61c39ecc03542f6b2b455e568c8115c.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/29/5546eb5ed787414ab692ec0efa5980bc.png
[295bc0e6833940dd8a1106ec16f5cc5d.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/29/cd1cc100d0844c178cf6a99865ef4286.png
[856499e9fbb64f88bf2f96309d8d92e2.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/29/e58b55d7ec7e479dbcc312f9ab9b04f8.png
[0d1eeafb747348d6b52934660b027821.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/29/a65520ed9ca040449580bd0f9ed34041.png
[6ea74efeccee43909c4986238c3d9541.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/29/f58e59dc0b8f45bda41035f49a2dbfd1.png
[15a6c8bf021548ab8e20b20602e912ae.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/29/55e689bf51dd465fbf26103101218f59.png
[da2048bf6d2d49c892f6e85cd83007a5.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/29/d0d19d86da8f4fb2bee7580d5bc69312.png
[7d24dc4d636b415885e146be64a263ad.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/29/740a831dbba2426db91a5f1a66ffa91c.png
[0a39779842174c878487cc10daa080cd.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/29/de058c746df54658878b405c3d461971.png
[bbc8f821e51b41b8bd0ece096b7d34c1.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/29/59ca5a33a7664193803a546371106792.png
[d8cc10fbde9d4eb1a767dd3c49ffda57.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/29/402fa01163b94efcb6d1bbd927a60242.png
[4d8f31bf5612449f879027427c0dcb97.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/29/93e60115e7de48cea241b14ec91d5906.png
[0bd9c8730bbd4fada0734f0350ea686c.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/29/a525cc96f4c04bdb97c0d89b1c316fd2.png
[99c8488cd3964eb8b488dc51880f898e.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/29/af78463f715e4b269c8dc38d3cb90f82.png
[c2028dd5ef184b38ad03300cbc677809.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/29/ac93ef256e8c438f969784d2b0c8034e.png
[b1b4a4848ff341d18c4d10ac23c6e9a7.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/29/be4a560c4fca42a78a2d3e35f6e77e18.png
[278063a0a7914cc29f32af0e374aeac4.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/29/56eae53af26f482483b7dad88913e15c.png
[11de629ad8a94cfa8b71b7d515b33dba.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/29/456c2daecd7545ed9f14b738e4bcadf8.png