【Try to Hack】Windows系统账户安全

原创已于 2022-06-30 17:29:59 修改 · 1.3k 阅读

0 ·

CC 4.0 BY-SA版权

文章标签：

#windows #安全

于 2022-06-30 16:29:41 首次发布

本文教你如何在Windows系统中创建、隐藏和保护隐藏用户账户，包括使用命令行工具如`netuser`，注册表调整，以及利用D盾检查安全。通过LogParser分析日志，确保账号安全并检测异常登录。

📒博客主页：开心星人的博客主页
🔥系列专栏：Try to Hack
🎉欢迎关注🔎点赞👍收藏⭐️留言📝
📆首发时间：🌴2022年6月30日🌴
🍭作者水平很有限，如果发现错误，还望告知，感谢！

请勿违法犯罪！！！本文全部内容，均来自互联网，仅作为自己学习的记录。

1、低于Windows10，使用命令lusrmgr.msc
查看是否有新增/可疑的账号

2、高于Windows10，控制面板->用户账户
在这里插入图片描述

3、
net user
在这里插入图片描述

但是不能查看到隐藏账号

net user 具体的某一个用户
在这里插入图片描述

尤其要注意Guest用户是否启用，因为黑客可能不添加新的用户而是启用Guest用户
在这里插入图片描述
net user hacker$ 111111 /add
用户名以$结尾为隐藏用户，111111位用户密码。上述命令为添加一个隐藏用户

可以看到被拦截了，直接允许操作即可

net localgroup administrators hacker$ /add
将隐藏用户加入管理员组，隐藏用户具有管理员权限了

在这里插入图片描述

在控制面板中可以看到我们的隐藏用户

4、有没有方法能"命令提示符"和"计算机管理"中同时隐藏账户
有，通过注册表
运行->regedit
在这里插入图片描述

HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\Name
在这里插入图片描述
可以看到我们的隐藏用户

administrator账户所对应的项为"000001F4"

我们将hacker$导出为hacker.reg。同时将"000003F3"和"000001F4"项的F键值分别导出为user.reg，admin.reg
在这里插入图片描述
用"记事本"打开admin.reg，将其中"F"值后面的内容复制下来，替换user.reg中的"F"值内容，完成后保存。

net user hacker$ /del
删除隐藏用户

将hacker.reg和user.reg导入注册表，隐藏用户制作完成了
在这里插入图片描述

我们还是可以正常使用hacker$这个隐藏用户
在这里插入图片描述

但是这个时候，管理员还是可以通过注册表删除我们的隐藏用户，该怎么隐藏？

来到"HKEY_LOCAL_MACHINE\SAM\SAM"处，设置"SAM"项的权限，将"administrators"所拥有的权限全部取消即可。
在这里插入图片描述

这样管理员就删不掉了

5、D盾
使用D盾来检查系统账号安全
在这里插入图片描述
还是非常有效的，立刻告警了

但是发现也删不掉。

具体怎么删除，有待研究

6、结合日志分析
查看管理员登录时间、用户名是否存在异常
运行->eventvwr.msc
在这里插入图片描述
Log Parser
下载地址：https://www.microsoft.com/en-us/download/confirmation.aspx?id=24659
默认下载到C:\Program Files (x86)\Log Parser 2.2

1、查询登录成功的事件
登录成功的所有事件
LogParser.exe -i:EVT –o:DATAGRID  "SELECT *  FROM c:Security.evtx where EventID=4624"

指定登录时间范围的事件：
LogParser.exe -i:EVT –o:DATAGRID  "SELECT *  FROM c:Security.evtx where TimeGenerated>'2018-06-19 23:32:11' and TimeGenerated<'2018-06-20 23:34:00' and EventID=4624"

提取登录成功的用户名和IP：
LogParser.exe -i:EVT  –o:DATAGRID  "SELECT EXTRACT_TOKEN(Message,13,' ') as EventType,TimeGenerated as LoginTime,EXTRACT_TOKEN(Strings,5,'|') as Username,EXTRACT_TOKEN(Message,38,' ') as Loginip FROM c:Security.evtx where EventID=4624"

2、查询登录失败的事件
登录失败的所有事件：
LogParser.exe -i:EVT –o:DATAGRID  "SELECT *  FROM c:Security.evtx where EventID=4625"

提取登录失败用户名进行聚合统计：
LogParser.exe  -i:EVT "SELECT  EXTRACT_TOKEN(Message,13,' ')  as EventType,EXTRACT_TOKEN(Message,19,' ') as user,count(EXTRACT_TOKEN(Message,19,' ')) as Times,EXTRACT_TOKEN(Message,39,' ') as Loginip FROM c:Security.evtx where EventID=4625 GROUP BY Message"

3、系统历史开关机记录：
LogParser.exe -i:EVT –o:DATAGRID  "SELECT TimeGenerated,EventID,Message FROM c:System.evtx where EventID=6005 or EventID=6006"

.\LogParser.exe -i:EVT –o:DATAGRID "SELECT EXTRACT_TOKEN(Message,13,' ') as EventType,TimeGenerated as LoginTime,EXTRACT_TOKEN(Strings,5,'|') as Username,EXTRACT_TOKEN(Message,38,' ') as Loginip FROM E:\onedrive\桌面\11.evtx where EventID=4624"
在这里插入图片描述