如何隐藏、克隆账号及两种排查隐藏账号方法
为什么创建隐藏账号,大致有两种情况:
1)想把自己在电脑上新开的账户隐藏起来,不让人发现的账户,而自己又能随时随地登陆。
2)黑客想创建一个隐藏的管理员权限账号,这样能随时登录还不被人发现。
总之就是想创建一个不被人轻易发现的账号。
一、创建隐藏用户及分配管理员权限
1)“开始”->搜索CMD->右击CMD,选择以管理员运行->输入“net user admin$ 123456 /add”,回车,成功后会显示“命令成功完成”。
注:若不是管理有权限,则创建账号时会提示“发生系统错误 5”。
![](https://img2022.cnblogs.com/blog/1011569/202202/1011569-20220226105428152-820081002.png)
这时使用net user是查看不到隐藏账号,使用net user admin$这发现这个隐藏账号是存在的:
![](https://img2022.cnblogs.com/blog/1011569/202202/1011569-20220226105519047-1436283481.png)
2)把隐藏账号设为管理员组
输入net localgroup administrators admin$ /add
![](https://img2022.cnblogs.com/blog/1011569/202202/1011569-20220226105530516-1455720693.png)
此时隐藏账号admin虽然在CMD里面用net user查看不到,但查看用户和组的时候还是可以发现,所以还需要修改注册表来进行隐藏账号。
![](https://img2022.cnblogs.com/blog/1011569/202202/1011569-20220226105555030-1667593544.png)
二、修改注册表进行账号隐藏和克隆管理员权限
1)添加查看注册表中账号权限
在regedt32.exe中来到“HKEY_LOCAL_MACHINE\SAM\SAM”处,点击“安全”菜单→“权限”,在弹出的“SAM的权限”编辑窗口中选中“administrators”账户,在下方的权限设置处勾选“完全控制”,完成后点击“确定”即可。
![](https://img2022.cnblogs.com/blog/1011569/202202/1011569-20220226105616775-1481201116.png)
关掉注册表,重新注册表,点击“开始”→“运行”,输入“regedt.exe”后回车,
net localgroup SYSTEM admin$ /add
![](https://img2022.cnblogs.com/blog/1011569/202202/1011569-20220226105642720-972372311.png)
2)导出并编辑注册表项
进入注册表项HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\Names可以看到系统所有账号也包括隐藏账号admin$。点击账号名可在右边看到账号类型,admin$类型是3ed,而administraor的类型是1f4
![](https://img2022.cnblogs.com/blog/1011569/202202/1011569-20220226105659127-1739104040.png)
将admin$导出为admin.reg;把3eb导出为admin3eb.reg;把1F4导出为admin1f4.reg。
编辑admin1f4.reg,将它里面属于'F'的内容分复制下来,替换admin3eb.reg里面F的值。
![](https://img2022.cnblogs.com/blog/1011569/202202/1011569-20220226105732933-2091677628.png)
做完这一步后,去命令提示符里面执行,net user admin$ /del,删除这个账号,然后将admin.reg和admin3eb.reg双击导入注册表,然后我们再回到注册表把之前改的权限全部取消掉,至此隐藏管理员影子账号就完成了。
![](https://img2022.cnblogs.com/blog/1011569/202202/1011569-20220226105750154-1060997160.png)
去计算机管理成员组里面也是找不到这个账号的。当然重启还是会出现。有些服务器长期不重启,所以能隐藏很久。
3)远程登录隐藏账号
使用隐藏账号admin$远程登录,登录后发现查询自己却还是administrator,但登录的确实admin$,这就是克隆了administrator账号并进行隐藏的效果。
whoami #我是谁
query user #当前登录的账号
![](https://img2022.cnblogs.com/blog/1011569/202202/1011569-20220226105847241-389125680.png)
三、如何找出隐藏账号
方法1:查看注册表中系统账号:
reg query HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\Names
![](https://img2022.cnblogs.com/blog/1011569/202202/1011569-20220226105935273-1186344271.png)
方法2:查看系统日志:
通过“计算机管理”中的“事件查看器”可以查看到隐藏账户以及其登陆的时间。即使黑客将所有的登陆日志删除,也还会记录是哪个账户删除了系统日志,这样黑客的隐藏账户就暴露无疑了。
![](https://img2022.cnblogs.com/blog/1011569/202202/1011569-20220226105951518-419302511.png)