应急响应 - Windows用户分析,Windows隐藏账号分析,Windows克隆账号分析

这篇具有很好参考价值的文章主要介绍了应急响应 - Windows用户分析,Windows隐藏账号分析,Windows克隆账号分析。希望对大家有所帮助。如果存在错误或未考虑完全的地方,请大家不吝赐教,您也可以点击"举报违法"按钮提交疑问。

「作者简介」:CSDN top100、阿里云博客专家、华为云享专家、网络安全领域优质创作者
「推荐专栏」:对网络安全感兴趣的小伙伴可以关注专栏《网络安全入门到精通》

应急响应 - Windows用户分析,Windows隐藏账号分析,Windows克隆账号分析

攻击者通常会在服务器中创建用户进行维权,查看是否有新增的可疑账号,核实后禁用或删除。

一、普通用户

cmd中,输入 net user ,查看系统中创建的用户。

应急响应 - Windows用户分析,Windows隐藏账号分析,Windows克隆账号分析

【控制面板】-【用户账户】-【用户账户】-【管理用户账户】中,可以看到系统中有哪些用户。
应急响应 - Windows用户分析,Windows隐藏账号分析,Windows克隆账号分析

net user administrator,可以查看用户的信息,比如上次登录时间。

应急响应 - Windows用户分析,Windows隐藏账号分析,Windows克隆账号分析

query user,可以查看当前登录的用户。

应急响应 - Windows用户分析,Windows隐藏账号分析,Windows克隆账号分析

二、隐藏用户

创建用户时,在用户名后面加上$,就会创建成隐藏账号。

隐藏用户不能在 net user 和控制面板中看到,需要用其他的方式。

1、lusrmgr.msc

WIN + R,输入 lusrmgr.msc ,打开本地用户和组,可以看到系统中的所有用户,包括隐藏用户。

应急响应 - Windows用户分析,Windows隐藏账号分析,Windows克隆账号分析

左下角搜索【计算机管理】,打开本地用户和组,也可以打开同一个界面。

应急响应 - Windows用户分析,Windows隐藏账号分析,Windows克隆账号分析

2、注册表

WIN + R,输入 regedit ,打开注册表,找到下面这个路径,可以看到系统中的所有用户,包括隐藏用户。

\HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\Names

应急响应 - Windows用户分析,Windows隐藏账号分析,Windows克隆账号分析

注册表SAM默认没有权限查看,右键【权限】,给administrators勾选完全控制权限,应用并确定,重新打开注册表即可。

应急响应 - Windows用户分析,Windows隐藏账号分析,Windows克隆账号分析

三、克隆账号

创建隐藏用户后,到注册表\HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\Names中,把隐藏用户的F值改成administrator的F值,就可以在不加入管理员组的情况下,拥有管理员权限。

攻击者通常会利用克隆账号的方式留下后门。

排查克隆账号,可以到注册表\HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\Names中,查看是否有隐藏用户(用户名后面是$),如果有,就看这个用户对应的F值和administrator对应的F值是否相同,如果相同,就是克隆账号。

应急响应 - Windows用户分析,Windows隐藏账号分析,Windows克隆账号分析文章来源地址https://www.toymoban.com/news/detail-421015.html

到了这里,关于应急响应 - Windows用户分析,Windows隐藏账号分析,Windows克隆账号分析的文章就介绍完了。如果您还想了解更多内容,请在右上角搜索TOY模板网以前的文章或继续浏览下面的相关文章,希望大家以后多多支持TOY模板网!

本文来自互联网用户投稿,该文观点仅代表作者本人,不代表本站立场。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如若转载,请注明出处: 如若内容造成侵权/违法违规/事实不符,请点击违法举报进行投诉反馈,一经查实,立即删除!

领支付宝红包 赞助服务器费用

相关文章

  • 一次真实的应急响应案例(Windows2008)——暴力破解、留隐藏账户后门与shift粘贴键后门、植入WaKuang程序——事件复现(含靶场环境)

    某天客户反馈:服务器疑似被入侵,风扇噪声很大。( 真实案例自己搭建环境复现一下,靶场环境放在了 知识星球 和 我的资源 中 ) 受害服务器: Windows2008 系统、 IP: 192.168.226.137、无WEB服务 根据客户反馈:“风扇噪声很大”,一般只有消耗CPU很多的情况下,服务器高温,

    2024年02月03日
    浏览(60)
  • Windows应急响应排查思路,应急响应基础技能

    「作者简介」: CSDN top100、阿里云博客专家、华为云享专家、网络安全领域优质创作者 「推荐专栏」: 对网络安全感兴趣的小伙伴可以关注专栏《网络安全入门到精通》

    2024年02月01日
    浏览(61)
  • 网络安全从入门到精通(特别篇I):Windows安全事件应急响应之Windows应急响应基础必备技能

    事件发生时的状况或安全设备告警等,能帮助应急处置人员快速分析确定事件类型,方便前期准备。 入侵肯定会留下痕迹,另外重点强调的是不要一上来就各种查查查,问清楚谁在什么时间发现的主机异常情况,异常的现象是什么,受害用户做了什么样的紧急处理。问清楚主

    2024年04月15日
    浏览(55)
  • 应急响应-Windows

    前言 作者简介:不知名白帽,网络安全学习者。 博客主页:不知名白帽的博客_CSDN博客-网络安全,CTF,内网渗透领域博主 网络安全交流社区:https://bbs.csdn.net/forums/angluoanquan 目录 常用命令 敏感目录 日志分析 系统日志 安全日志 命令 说明 regedit         注册表 taskmgr       

    2024年02月12日
    浏览(40)
  • Windows快捷命令-应急响应

    前言 作者简介:不知名白帽,网络安全学习者。 博客主页:https://blog.csdn.net/m0_63127854?type=blog 网络安全交流社区:https://bbs.csdn.net/forums/angluoanquan 目录 注意: 操作系统信息 查看操作系统信息 环境变量 账户和组 网卡 进程 计划任务 日志 文件 其他 查找隐藏用户 查找克隆用户

    2024年02月06日
    浏览(41)
  • Windows应急响应小结

    目录 应急响应流程 账户排查 网络排查 进程排查 内存分析 日志分析 PDCERF模型 P(Preparation 准备):信息搜集,工具准备 D(Detection 检测):了解资产现状,明确造成影响,尝试进行攻击路径溯源 C(Containment 遏制):关闭端口、服务,停止进程,拔网线 E(Eradication 根除):

    2024年04月27日
    浏览(37)
  • Windows应急响应排查思路

    「作者简介」: CSDN top100、阿里云博客专家、华为云享专家、网络安全领域优质创作者 「推荐专栏」: 对网络安全感兴趣的小伙伴可以关注专栏《网络安全入门到精通》

    2023年04月20日
    浏览(43)
  • 应急响应排查思路(Windows篇)

    「作者简介」: CSDN top100、阿里云博客专家、华为云享专家、网络安全领域优质创作者 「推荐专栏」: 对网络安全感兴趣的小伙伴可以关注专栏《网络安全入门到精通》

    2023年04月19日
    浏览(39)
  • 记一次Windows勒索病毒应急响应实战

    查看本地用户,未发现异常: 打开任务管理器,发现可疑进程F.exe: 利用wmi查看进程信息,发现其位置在开始菜单启动项中: C:UsersgyAppDataRoamingMicrosoftWindowsStart MenuProgramsStartup 同时,通过任务管理器,发现windows临时文件夹中也有该程序 通过测试可知F.exe为勒索病毒程

    2024年02月06日
    浏览(40)
  • 蓝队-应急响应-日志分析

    在日常蓝队进行日志分析的时候,显示将服务器主机日志全都收集起来,然后将日志放到自动识别脚本当中,就能进行自动分析,最后将有异常的ip直接拉黑即可。 下面的工具讲的是日志分析,是在攻击者进行攻击之后才能发现 #日志自动提取脚本—— 七牛Logkit观星应急工具

    2024年02月11日
    浏览(52)

觉得文章有用就打赏一下文章作者

支付宝扫一扫打赏

博客赞助

微信扫一扫打赏

请作者喝杯咖啡吧~博客赞助

支付宝扫一扫领取红包,优惠每天领

二维码1

领取红包

二维码2

领红包