【渗透】windows渗透中后门用户的添加方法探究

0X01 基础：激活Guest用户

net user guest active/yes
net user guest xxxx 
net loaclgroup administrators guest /add

清清楚楚guest用户上线了…… 仿佛在给管理员明确的暗示你已经进来了

0X02 进阶：创建“隐藏”用户

我们也听说过有一种隐形账户，类似于admin$这样的，这样网上说管理员就看不到了，是不是这样呢？我们我也特地试验了一下。

首先，我们创建 admin$用户如下：

net user admin$ 123 /add
net loaclgroup administrators admin$ /add

然后是不是就看不到了？命令行确实看不见了。

图形化真的是无敌啊，admin$ 这种隐藏方式只能经得起命令行的检查，图形化一用就和没有一样，而且不只是登录界面，计算机管理中也看得到，所以这种方式的隐藏只是针对管理员用命令查看是否有多余的用户，局限性是很大的。

0X03 完善：“影子账户”的出现

首先需要让Guest账户处于一开始默认的禁用状态，然后打开注册表找到HKEY_LOCAL_MACHINE下面的SAM，看到SAM下面的东西了，我们找到administrators账户，看到他对应的十六进制编号是0x1f4，然后找到上面的0x1f4，双击F文件，将其中的16进制内容复制下来，再找到Guest对应的0x1f5，同样打开F文件，复制进去。

然后我们会惊奇的发现，原本已经被标记为禁用的账户Guest已经变成了非禁用模式，而且我们可以看到图标显示的状态还是Guest处于禁用中，如下图：

注意：
1.这里已经默认把Guest放在了管理员组，这一步的工作不再演示
2.我们要关注一下Guest的属性中有没有把下图的这一项的勾打上，如果打上了请去掉

3.很重要的一步就是还原注册表，因为我们刚刚改变了管理员的权限，我们还要改回去。

大功告成，我们看一下效果：

或许网上的教程都没有注意到这个登录界面？？？即使在计算机管理中看上去是禁用的，但是那个勾不打系统还是认为这个用户活着，登录界面就依然会显示，不过这个还是实现了对administrator账户的克隆，也就是说，这个账户和管理员是同步的，你的任何操作都会在管理员登陆的时候看到。

0X04 升华：真正的隐藏，管理员房间的另一扇门

我们可以先拿制作一个影子账户，然后把他的有关登陆的注册表导出来，然后再把这个账户删除，删除以后这个账户就没有其他信息在系统中了，然后我们只把有关登录的注册表导入回去就OK了，就相当于给管理员账户开了另一扇门，仅仅是一扇门，只能用户登录而已，但我们的目的已经达到了。

和上面重复的步骤我就不再演示：

我们新建一个admin$账户，完成放进管理组，完成影子账户的建立，然后把对应的注册表项右键导出，如下图：

两个都要导出，然后我们把用户删除

可以看到用户删除以后，注册表已经无法打开

双击导出的注册表，并连续点击确定（这里补充一下，如果你在实战中双击以后会出现无法导入的情况，那么其实你可以直接将其用鼠标拖入注册表的对应位置，其实是完全可以的）：

我们来看一下效果：

那我们就放肆的登录

转载至：https://www.k0rz3n.com/2018/06/26/windows%E6%B8%97%E9%80%8F%E4%B8%AD%E5%90%8E%E9%97%A8%E7%94%A8%E6%88%B7%E6%B7%BB%E5%8A%A0%E6%96%B9%E6%B3%95%E6%8E%A2%E7%A9%B6/