Windows Server 2003 建立隱藏管理員帳號 (注冊表 SAM 克隆法)

在 Windows Server 2003 建立一個在「控制台/使用者帳戶」、「net user」、「電腦管理」均不可見，但擁有完整 Administrators 權限的隱藏帳號。核心原理：將目標帳號 SAM 資料克隆自 Administrator，並透過帳號名稱尾綴 $ 隱藏列舉。

操作流程

1. 建立帶 $ 尾綴的一般帳號

C:\> net user cnlnfjhh$ wrsky /add

$ 尾綴使 net user 列舉時隱藏此帳號。

2. 取得 SAM 資料庫完整控制權限

1. 執行 regedt32.exe (非 regedit.exe) → 定位 HKEY_LOCAL_MACHINE\SAM\SAM。
2. 右鍵 → 「安全性」→「權限」→ 新增當前登入帳號 → 勾選「完全控制/允許」。

3. 匯出三組關鍵註冊表資料

1. 執行 regedit.exe。
2. 匯出：
   📄 HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\Names\cnlnfjhh$ → cnlnfjhh$.reg (預設值 0x3f1)
   📄 HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\000003F1 → 3f1.reg (目標帳號 SAM 資料)
   📄 HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\000001F4 → 1f4.reg (Administrator SAM 資料)

4. 克隆 Administrator SAM 資料 (核心步驟)

1. 用記事本開啟 1f4.reg，複製 "F" 十六進位值 (含 V 值完整區塊)。
2. 開啟 3f1.reg，刪除原有 "F" 與 "V" 值，貼上 Administrator 的 "F" 與 "V" 值。
3. 開啟 cnlnfjhh$.reg，複製 [HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\Names\cnlnfjhh$] @=hex(3f1): 區塊。
4. 貼到 3f1.reg 檔案末尾。
5. 最終 3f1.reg 內容包含：
   - 修改後的 000003F1 機碼 (F/V 值來自 Administrator)
   - Names\cnlnfjhh$ 指向 0x3f1 的連結

5. 清理與匯入

1. 刪除剛建立的一般帳號：net user cnlnfjhh$ /delete。
2. 執行 regedit.exe 匯入修改後的 3f1.reg。
3. 執行 regedt32.exe → HKEY_LOCAL_MACHINE\SAM\SAM → 移除步驟 2 新增的權限項目。

6. 驗證

1. 登出當前使用者。
2. 以 cnlnfjhh / wrsky 登入 (不含 $ 尾綴)。
3. 驗證：
   ✅ 隸屬 Administrators 群組
   ✅ net user 不列出此帳號
   ✅ 「電腦管理/本機使用者和群組」不顯示
   ✅ 具備完整系統管理權限

關鍵技術點

• 🔑 SAM 資料庫克隆：直接複製 Administrator 的安全描述元 (F 值) 與帳號屬性 (V 值)，獲得同等權限結構。
• 🔑 $ 尾綴隱藏：Windows 列舉 API (NetUserEnum、SAMR) 會過濾以 $ 結尾的帳號 (視為機器帳號/系統帳號)。
• 🔑 regedt32 vs regedit：SAM 機碼預設僅 SYSTEM 可存取，需 regedt32 修改 ACL 後 regedit 才能讀寫。

⚠️ 安全性與倫理警示

• 🛡️ 隱藏帳號屬於持久化後門技術，僅供授權滲透測試/紅隊演練/學術研究使用。
• 🛡️ 生產環境嚴禁建立未記錄隱藏帳號，違反最小權限原則與審計合規要求。
• 🛡️ 防禦檢測：定期稽核 SAM 資料庫異常帳號、監控注冊表 SAM\SAM\Domains\Account\Users 變更、啟用「稽核安全性事件」。