【Windows取证】隐藏用户

前言：

实验环境：Windows server 2019

实验目的：了解Windows隐藏账户的工作原理，有针对性地对隐藏账户进行应急处置。

目录

前言：

一、隐藏用户的建立

二、查看隐藏用户

 法一：计算机管理本地用户和组查看（compmgmt.msc）

 法二：注册表SAM次项查看

三、普通隐藏隐藏用户

（一）注册导出隐藏用户的值项和对应的reg文件

（二）利用命令行删除隐藏用户

（三）导入两个reg文件到注册表中

注意：

 四、深度隐藏隐藏用户

一、隐藏用户的建立

net user kaishui$ kaishui@321 /add

net localgroup administrators kaishui$ /add

---

 二、查看隐藏用户

注意：命令行查看不了隐藏用户。

net user

  法一：计算机管理本地用户和组查看（compmgmt.msc）

  法二：注册表SAM次项查看

计算机\HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\Names

 

---

三、普通隐藏隐藏用户

（一）注册导出隐藏用户的值项和对应的reg文件

（二）利用命令行删除隐藏用户

net user kaishui$ /del

（三）导入两个reg文件到注册表中

regedit /s kaishui.reg
regedit /s kaishui1.reg

  此时重新打开注册表SAM项发现还是有隐藏用户，但是计算机管理本地用户和组没有隐藏用户。

注意：

        这时候kaishui$可以进行登录，但是登录后（runas.exe /user:kaishui$ cmd）同样会在本地计算机用户目录（C:\Users）下产生用户文件夹信息。

runas /user:username cmd

---

 四、深度隐藏隐藏用户

        将kaishui$隐藏用户应的注册表键值替换为管理员帐户Administrator对应的注册表键值为"HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\000001F4"。

        这时候登录kaishui$用户共用administrator账户文件系统，将不记录用户自身文件信息。相当于一个影子账户。