操作系统权限维持（二）之Windows系统-克隆账号维持后门

系列文章

操作系统权限维持（一）之Windows系统-粘贴键后门

克隆账号维持后门

隐藏账户

隐藏账户，顾名思义就是计算机上看不到的用户在一个用户名后面添加$符号，如（hack$）达到简单的隐藏用户目的，从而进行简单的权限维持

添加hack$用户，用net user命令是查询不到的

net user hack$ 123456 /add
net user

但是 net localgroup administrators 、用户管理、用户登录界面可以查看到

使用克隆账户创建后门

1、 添加隐藏账号：

net user hack$ Admin@123 /add

2、在注册表操作进行用户隐藏：

打开注册表

HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\Names\ 

导出之前创建的hack$用户注册表文件

导出成为一个注册表文件，这里导出保存为hack.reg

我们可以从这里看到Administrator的类型是0X1f4，在用户Users的目录下找到相同的数字打开

复制Administrator 中的F键值

找到hack$账户所对应的类型，在Users目录下找到相同的对应的文件这里是0x3f6，那我们就去Users找到000003F6

将Administrator账户所复制的值，粘贴到hack$对应的F值中

将hack$ 账户类型所对应的数据导出来

这里我们导出保存为hack2.reg

然后我们再去删除隐藏账户hack$

net user hack$ /del

此时我们打开计算机管理是看看不到hack$用户的

在注册表中也同样看不到

现在我们去执行我们刚刚导出的两个注册表文件，这里直接点击我们导出的注册表文件就好了

这时我们会发现注册表中重新出现了hack$这个用户

但是在用户管理的页面是看不到的

此时我们就可以对hack$账户进行远程连接，如果目标administrator账号在线则会被挤出

创建隐藏账号的工具介绍

该工具可以使用于创建隐藏账户

工具下载地址：https://github.com/wgpsec/CreateHiddenAccount

参数描述
-c 检查当前系统的隐藏账户
-d 指定要删除的用户名，如果添加的用户名不是以 $ 结尾，则工具会自动在用户名后添加上 $
-p 指定添加的用户的密码 
-u 指定要添加的用户名，如果添加的用户名不是以 $ 结尾，则工具会自动在用户名后添加上 $

工具使用

例如这里添加一个用户名为 test 的隐藏账号，工具会自动在用户名后添加 $ 符，因此创建后的用户名为 test$（使用的时候，记得在管理员权限下运行，不然会提示权限不足）

CreateHiddenAccount_upx_v0.2.exe -u test -p Admin123

创建完后，通过 net user 和控制面板等等都是看不到这个账号的

检查当前系统的隐藏账号

CreateHiddenAccount_upx_v0.2.exe -c

删除test 隐藏账号，当删除完账号后，再次检查当前系统的隐藏账号，可以看到就提示没有隐藏账号了

CreateHiddenAccount_upx_v0.2.exe -d test