网安系列：Windows影子账户创建与防御

坦笑&&life

已于 2024-05-30 13:45:59 修改

阅读量335

点赞数 4

CC 4.0 BY-SA版权

分类专栏：网络安全文章标签： windows

于 2024-05-30 13:25:42 首次发布

本文链接：https://blog.youkuaiyun.com/weixin_54626591/article/details/139321449

网络安全专栏收录该内容

219 篇文章 ¥299.90 ¥399.90

订阅专栏

本文探讨了Windows系统中攻击者可能创建的影子账户，这是一种隐藏的管理员账户，旨在实现攻击的持久化。防御措施包括定期更新系统补丁、限制创建用户权限、监控日志数据以及部署终端安全平台。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

Windows影子账户创建与防御

Windows影子账户创建与防御
- 前提
- - 创建
- 防御
- 参考

Windows影子账户创建与防御

摘要：免责声明：由于传播、利用本文章所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，本篇文章作者不为此承担任何责任，一旦造成后果请自行承担！

前提

·在攻击者获取到系统权限后，一般会创建账号进行持久化，在ATT&CK框架持久化技术中有一个步骤是创建本地账户Create Account: Local Account(T1136.001)，创建完账号之后还需要考虑隐藏防御，那么影子账号是一种实现方法。

影子账户：是指系统隐藏帐户，在“控制面板-本地用户和组”里面看不见，但却有管理员权限的帐户

创建

1、假设当前你有足够的权限进行创建账号并赋予管理员权限。

net user haha$ 123456 /add：创建一个名为 "haha$" 的用户，并设置密码为 "waynes"。
net localgroup administrators haha$ /add：将

了解本专栏

订阅专栏解锁全文

确定要放弃本次机会？

福利倒计时

: :

立减 ¥

普通VIP年卡可用

立即使用

坦笑&&life

关注关注

4
点赞
踩
0

收藏

觉得还不错? 一键收藏
0
评论
分享

复制链接

分享到 QQ

分享到新浪微博

扫一扫
打赏
打赏
打赏举报

举报

专栏目录

订阅专栏

网安知识系列：Windows影子用户（Windows权限维持）

weixin_54626591的博客

05-30

245

Windows影子用户（Windows权限维持）

windows操作系统实验之影子账户

m0_55525922的博客

04-14

721

在Windows系统登录界面状态下，粘滞键仍可以以连续按5下SHIFT键运行，并且此时应用程序会以WINDOWS的最高权限－SYSTEM权限运行，所以计算机一旦被安装该后门，入侵者便可悄无声息地远程操纵计算。找到名字为sethc的文件（随便点击一个文件，按s键就可以快速查找s开头的文件），也就是粘滞键，把文件名改成任意名。是计算机最高的权限，那么就可以输入命令修改账户的密码，或者新建一个用户，赋予它管理员的权限。然后在Users中找到对应数字的F值，将3e9的F值替换为1f4的F值。

参与评论您还未登录，请先登录后发表或查看评论

权限维持-Windows影子用户

weixin_52829570的博客

11-07

1681

在windows中创建一个影子用户，影子用户拥有和正常用户一样的权限和功能影子用户只可在注册表中看到演示环境：windows server 2012（靶机）前提：需要一个高权限用户（administrator 或者是 system）

创建影子用户

woshicainiao666的博客

04-16

606

在内网渗透过程中，当我们拿到shell时，肯定要进行权限维持，影子用户就是在用户不知情的状态下，创建一个具有管理员权限的用户。至此：控制面板看不到。net user看不到。本地用户组看不到，但是注册表还是可以看到的。将00003e9导出为1.reg,hacker$导出为2.reg。按顺序点击1.reg和2.reg文件，重新导入。复制1F4中F的值，粘贴到3E9的F中。------->打开注册表。

权限维持——创建影子账户

mingyqf的博客

02-18

636

影子账户通常在拿到服务器后会创建一个带$符号的账户，因为在常规cmd下是无法查看到的。但是在控制面板的账户管理界面能直接看到。通过创建影子账户则可以完全解决这种问题。打开注册表 HEKY_LOCAL_MACHINE\SAM\SAM\Domains\Account\User 在其中能看到我们的test，点击test，点击test，点击test能在右侧看到类型为0x3eb，所以我们在User中找到3EB结尾的账户，这就是test$的账户；而administrator的是0x1f4所以Adminis

创建影子帐户

weixin_34080951的博客

11-08

562

使用注册表工具在WINDOWS系统中创建影子帐户 1.首先在Windows中使用命令创建一个普通帐号USERA,密码也是USERA: "net user usera usera /add" 2.在命令行中输入"regedit"打开注册表,打开:HKEY_LOACL_MACHINE\SAM\SAM 3.首先大家发现无法打开SAM子项目,要把权限给予并刷新: 4...

Windows权限维持--创建隐藏账户（影子账户）

qq_54735393的博客

11-03

4752

影子账户就是在windows中比较隐蔽的用户，一般在后渗透的权限维持阶段会用到。影子账户主要是利用在权限维持上，通过先建立带$符号的账户，然后利用注册表修改里面的值，使得管理员无法通过cmd及计算机管理等地方查看攻击者所创建的账户，从而实现权限维持。

蓝队基础：企业网络安全架构与防御策略

最新发布

2401_87640455的博客

11-15

1459

企业网络通常划分为不同的安全区域，以控制区域之间的访问权限。划分安全区可以防御外部和内部攻击。DMZ(非军事区):隔离内部与外部系统，提供安全的访问通道。蜜罐:引诱和分析入侵者，收集攻击信息和行为式。代理:对外提供有限的服务，保护内部网络免受外部攻击。在红队也可以增加攻击的保密性，甚至挂三四层代理（本机连云服务器，云服务器再连接云服务器，再挂代理）一般这样溯源难度非常高VPN:员工与合作商通过VPN连接内网，确保远程访问的安全性和保密性。核心网络:通常物理分离、冗余设计，确保网络的稳定性和可靠性。

HW面试初中高级题目整合（后续更新答案）

weixin_51339377的博客

06-14

1556

总的来说，网安的技术这么些年没什么大的进步，所以24年的hw题目和22年的hw题目几乎可以说没什么区别，问的也大差不差。--->一般判断“误报”指的是安全设备的告警类型与实际payload能不能对的上，如果对不上就是误报，对的上就进一步根据特征，和代码逻辑进行判断是不是告警。2.参加的是哪个单位的，是公安部的护网么，是做为外包公司去的么，是以什么身份去的呢（这里我不清楚，回答：和这次一样）没发现攻击行为，但是有一个文件落地了，会怎么做，怎么对他这个文件进行分析是恶意的还是免杀的。

200道网络安全常见面试题合集（附答案解析+配套资料）

m0_60571990的博客

03-15

6231

200道网络安全常见面试题合集（附答案解析+配套资料）

网络安全专业名词解释

aixmmmlll的博客

05-16

4466

1.Burp Suite 是一款信息安全从业人员必备的集成型的渗透测试工具，它采用自动测试和半自动测试的方式，通过拦截HTTP/HTTPS的Web数据包，充当浏览器和相关应用程序的中间人，进行拦截、修改、重放数据包进行测试，是Web安全人员的一把必备的瑞士军刀。 2.Bypass就是绕过的意思，渗透测试人员通过特殊语句的构建或者做混淆等进行渗透测试，然后达到绕过WAF的手法。 3.C2全称为Command and Control，命令与控制，常见于APT攻击场景中。作动词解释时理解为恶意软件与攻击者进行交互

创建影子账号

shiyingai

12-15

469

在账号后面加个美元符，可以隐藏账号；但仅仅只是在命令行无法查看到，在用户面板仍然可以看到该账号。解决办法进入注册表 HEKY_LOCAL_MACHINE\SAM\SAM\Domains\Account\User 编辑需要权限查看Administrator账号对应的文件复制该文件内容（右键全选-》复制）F文件粘贴替换掉需要隐藏账号的内容分别导出这两个文件导出后，删除该账号也可以使用命令行来删除ner user hacker$ /del 删除后，双击刚刚导出的两个文件，导入到注册

windows操作系统后门--影子账户

qq_63283137的博客

01-31

728

passwd /add 在net user无法查看，但是本地用户和组可以查看。ceshi账户回来了，且权限跟admin一样，只能注册表删除账户。administrator账户，F值拷贝到ceshi账户F中。ceshi账户，将admin的F值拷贝到当前F值中。3.导出ceshi用户注册表文件。2.运行regedit注册表。5.再将导出的注册表导入。4.删除ceshi账户。

【Web安全-Windows创建影子账户】

qq_45927819的博客

03-14

1253

系统隐藏账户是一种最为简单有效的权限维持方式，其做法就是让攻击者创建一个新的具有管理员权限的隐藏账户，因为是隐藏账户，所以防守方是无法通过控制面板或命令行看到这个账户的。

怎样建立影子账户

weixin_34290096的博客

11-12

819

Windows 2000/XP/2003中都能找到一个系统内置的默认管理员账户——Administrator，该账户具有Windows的最高管理权限，用来完成软件安装、系统设置等任务。如果系统由于存在漏洞而被黑客入侵，黑客为了下次还能方便地进来，通常会留一个管理员账户的影子账户让你的账号拥有管理员权限，又不给她人发现怎样设置影子账户 1....

内网权限维持——创建影子账户

qq_55202378的博客

08-03

1125

在windows中每个用户和组都会有一个独特的SID，而系统就是通过用户之间不同的SID来区分每个用户账户和组的。whoami /user # 查看当前用户的SIDSID的最后一部分为RID，在windows中，每新增一个组或用户，RID都会递增一位。wmic useraccount get name, sid # 查看系统中所有用户的SID在windows中，部分应用是根据当前会话用户的SID来判断用户权限的。也就是说，如果用户A的RID被替换为用户B的RID，那么用户A将有用户B的部分权限。

Windows影子账户创立

A272036149的博客

07-20

964

Windows sever2008 影子账户

影子账户

注定风是不羁旅人

07-05

1909

影子账户就是在windows中比较隐蔽的用户，一般在后渗透的权限维持阶段会用到，下面将介绍如何创建影子账户首先执行命令创建一个用户,net user admin$ abc123. /add。如图注意，用户名admin$中的美元符，就代表你创建的是一个隐藏账户，在cmd窗口执行net user命令是不会显示的，但是在计算机管理-用户中可以看到。如图 win键+r打开运行窗口，输入re...

Windows影子用户及其相应的漏洞后渗透

weixin_51339377的博客

04-14

2131

#当获得一条shell后，可以创建一个影子用户，通过影子用户可以行驶正常用户的所有权限与功能，并且只可在注册表中被检测出来---(应急响应注册表很重要） 1.首先需要拥有权限创建一个Administrator用户，并分配管理员权限。 net user haha$ 123 /add #创建一个新用户haha 密码是123 net localgroup administrators haha$ /add #将该新用户移动到管理员组下 net localgroup users ...