「作者简介」:CSDN top100、阿里云博客专家、华为云享专家、网络安全领域优质创作者
「推荐专栏」:对网络安全感兴趣的小伙伴可以关注专栏《网络安全入门到精通》
攻击者通常会在服务器中创建用户进行维权,查看是否有新增的可疑账号,核实后禁用或删除。
一、普通用户
cmd中,输入 net user
,查看系统中创建的用户。
【控制面板】-【用户账户】-【用户账户】-【管理用户账户】中,可以看到系统中有哪些用户。
net user administrator,可以查看用户的信息,比如上次登录时间。
query user,可以查看当前登录的用户。
二、隐藏用户
创建用户时,在用户名后面加上$,就会创建成隐藏账号。
隐藏用户不能在 net user
和控制面板中看到,需要用其他的方式。
1、lusrmgr.msc
WIN + R,输入 lusrmgr.msc
,打开本地用户和组,可以看到系统中的所有用户,包括隐藏用户。
左下角搜索【计算机管理】,打开本地用户和组,也可以打开同一个界面。
2、注册表
WIN + R,输入 regedit
,打开注册表,找到下面这个路径,可以看到系统中的所有用户,包括隐藏用户。
\HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\Names
注册表SAM默认没有权限查看,右键【权限】,给administrators勾选完全控制权限,应用并确定,重新打开注册表即可。
三、克隆账号
创建隐藏用户后,到注册表\HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\Names中,把隐藏用户的F值改成administrator的F值,就可以在不加入管理员组的情况下,拥有管理员权限。
攻击者通常会利用克隆账号的方式留下后门。
排查克隆账号,可以到注册表\HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\Names中,查看是否有隐藏用户(用户名后面是$),如果有,就看这个用户对应的F值和administrator对应的F值是否相同,如果相同,就是克隆账号。文章来源:https://www.toymoban.com/news/detail-421015.html
文章来源地址https://www.toymoban.com/news/detail-421015.html
到了这里,关于应急响应 - Windows用户分析,Windows隐藏账号分析,Windows克隆账号分析的文章就介绍完了。如果您还想了解更多内容,请在右上角搜索TOY模板网以前的文章或继续浏览下面的相关文章,希望大家以后多多支持TOY模板网!