windows利用SID原理留后门-Adminsitrator账号克隆

• 在Windows操作系统中通过对注册表HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\下的子键进行操作(需要system权限)使一个普通用户具有与管理员一样的桌面和权限这样的用户就叫克隆帐号。
• 在日常查看中这个用户确显示它正常的属性例如guest用户被克隆后当管理员查看guest的时候它还是属于guest组如果是禁用状态，显示还是禁用状态但这个时候guest登入到系统而且是管理员权限。
• 一般攻击者在入侵一个系统就会采用这个办法来为自己留一个后门。

---

实验环境：windows server 2003

---

1. 运行regedit32提权限

2. 进入到HKEY_LOCAL_MACHINE\SAM\SAM的目录右键菜单选择"权限"

3. 选择当前用户勾选权限并确定

4.WIN+R键打开运行cmd，输入创建一个隐藏用户(dos命令下看不到，但是图形界面看得到)

net user beifeng$ 123 /add

5. 打开regedit，进入HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\可以看到下图2个用户对应的关系

6. 分别导出图片中的3个注册表到桌面中

Snipaste_2018-06-07_17-33-19.png

7. 有记事本打开两个导出的注册表替换图片中的选段

8. 使用"cmd"将 "beifeng$" 账号删除

刷新之后没有了

9. 按顺序分别点击第一个导出的和刚才修改的注册表在次创建beifeng$用户

操作成功（它不属于任何组但是和Adminstrator的权限一样）：

10. 使用"cmd"为用户添加一个密码

最后： 可以利用远程登录测试一下

登录成功

---