windows渗透中后门用户的添加方法探究

前言

渗透中如何维持administrator权限,我想最简单的方法就是添加一个用户了吧,最好这个用户你添加了管理员还看不到,那就美滋滋了。正好最近在windows渗透过程中遇到了这个问题,就把几种常见的方式拿出来对比一下,供大家参考。
ps:实验环境windows server 2008 R2 ,VMware

0X01 基础:激活Guest用户

我们知道windows中有一个非常特殊的用户叫做Guest,他特殊就特殊在他是一个内置账户,平时一直都处于禁用状态,如下图所示:

此处输入图片的描述

这是我新安装的虚拟机的初始状态,可以看到已经禁用了,而且禁用的账户在图标上也有一个黑色的小箭头作为标识。

那么我们的思路就是既然这个账户已经存在了,我们就可以直接激活他,并给他设置一个账号密码,再把他弄到administrators里面就行了。

我们首先激活,如下图所示:

此处输入图片的描述

可以看到我首先试了一下能不能激活别的用户,很明显结果是不行的,说明原先不存在的用户是不能激活的,必须要首先创建,然后我激活Guest用户成功,左边的红框已经说明了账户禁用取消。

接下来就是依次输入下面的命令完成设置密码和加入管理组的目的:

net user guest xxxx 
net loaclgroup administrators guest /add

到这里其实已经大功告成了,我们退出去看一下效果:

此处输入图片的描述

我只能说wo_ri,居然看的清清楚楚guest用户上线了…… 仿佛在给管理员明确的暗示你已经进来了,我们知道,如果用户被禁用,在登录界面是看不出来的看到的只会是下面这样:

此处输入图片的描述

而且我们已经很明显的将计算机管理中的Guest的图标给改了,那个小的黑色的箭头已经不见了,如果管理员细心的话也能很快发现,所以,这种方法只适用于管理员登陆使用的是命令行,或者3389登录的时候选择了用户,并且还没有打开计算机管理看看Guest有没有被激活否则就是被安排的明明白白。

0X02 进阶:创建“隐藏”用户

很多人也许看到上面的方法就要说了,我们不会那么傻的,我们也听说过有一种隐形账户,类似于admin$这样的,这样网上说管理员就看不到了,是不是这样呢?我们我也特地试验了一下。

首先,我们创建 admin$用户如下:
此处输入图片的描述

然后别忘了将其加入管理组

net loaclgroup administrators admin$ /add

然后是不是就看不到了?

此处输入图片的描述

网上的教程讲的真好,果然是这样?真的吗?再好好看看。。。。

此处输入图片的描述

我只能说 wo_ri,图形化真的是无敌啊,admin$ 这种隐藏方式只能经得起命令行的检查,图形化一用就和没有一样,而且不只是登录界面,计算机管理中也看得到:

此处输入图片的描述

所以这种方式的隐藏只是针对管理员用命令查看是否有多余的用户,局限性是很大的。

0X03 完善:“影子账户”的出现

网友说,别急,我们还见过一种高级方法,叫做影子账户,好像要改注册表的,据说能和管理员同步,还能让你在计算机管理里面看到的账户虽然是禁用状态,但是还能成功登陆,我同样也做了实验。

首先需要让Guest账户处于一开始默认的禁用状态,然后打开注册表找到HKEY_LOCAL_MACHINE下面的SAM,可以发现什么都没有,实际上是权限不够,我们需要将当前用户的权限设置为完全控制,如下图:

此处输入图片的描述

然后我们就能看到SAM下面的东西了,我们找到administrators账户,看到他对应的十六进制编号是0x1f4,然后找到上面的0x1f4,双击F文件,将其中的16进制内容复制下来,再找到Guest对应的0x1f5,同样打开F文件,复制进去,如下图:

此处输入图片的描述

此处输入图片的描述

此处输入图片的描述

然后我们会惊奇的发现,原本已经被标记为禁用的账户Guest已经变成了非禁用模式,而且我们可以看到图标显示的状态还是Guest处于禁用中,如下图:

此处输入图片的描述

注意:
1.这里已经默认把Guest放在了管理员组,这一步的工作不再演示
2.我们要关注一下Guest的属性中有没有把下图的这一项的勾打上,如果打上了请去掉

此处输入图片的描述

3.很重要的一步就是还原注册表,因为我们刚刚改变了管理员的权限,我们还要改回去,如下图:

此处输入图片的描述

大功告成,我们看一下效果:

此处输入图片的描述

或许网上的教程都没有注意到这个登录界面???即使在计算机管理中看上去是禁用的,但是那个勾不打系统还是认为这个用户活着,登录界面就依然会显示,这启示我们,在真实环境下要做好充分的准备,一边查电脑一边渗透很可能需要一个送饭的…..

不过这个还是实现了对administrator账户的克隆,也就是说,这个账户和管理员是同步的,你的任何操作都会在管理员登陆的时候看到。

0X04 升华:真正的隐藏,管理员房间的另一扇门

在我苦于无法解决这个登录界面的问题时,我又看到了一种方法,彻底解决了我的问题,在这里介绍一下。

思路是这样的:既然只要我创建账户,只要这个账户活着,系统就会识别这是新的账户,然后在登录界面显示出来,那么唯一的方法就是让这个账户真的不存在,我们可以先拿制作一个影子账户,然后把他的有关登陆的注册表导出来,然后再把这个账户删除,删除以后这个账户就没有其他信息在系统中了,然后我们只把有关登录的注册表导入回去就OK了,就相当于给管理员账户开了另一扇门,仅仅是一扇门,只能用户登录而已,但我们的目的已经达到了。

和上面重复的步骤我就不再演示:

我们新建一个admin$账户,完成放进管理组,完成影子账户的建立,然后把对应的注册表项右键导出,如下图:
此处输入图片的描述

两个都要导出,然后我们把用户删除

此处输入图片的描述

可以看到用户删除以后,注册表已经无法打开

此处输入图片的描述

双击导出的注册表,并连续点击确定(这里补充一下,如果你在实战中双击以后会出现无法导入的情况,那么其实你可以直接将其用鼠标拖入注册表的对应位置,其实是完全可以的):

此处输入图片的描述

此处输入图片的描述

我们来看一下效果:

计算机管理里面:

此处输入图片的描述

最关键的登录界面:

此处输入图片的描述

好的,非常稳了!!无比激动

那我们就放肆的登录吧

此处输入图片的描述

0X05 致谢

这种方法我是在一个大师傅的博客里面看到的,安利给大家,一开始不是很懂,后来师傅给我解释的很详细,在此鸣谢。

文章链接:
Windows提权建立Administrator的影子账户

文章目录
  1. 1. 前言
  2. 2. 0X01 基础:激活Guest用户
  3. 3. 0X02 进阶:创建“隐藏”用户
  4. 4. 0X03 完善:“影子账户”的出现
  5. 5. 0X04 升华:真正的隐藏,管理员房间的另一扇门
  6. 6. 0X05 致谢
|