Windows 2000/XP 受限帳戶提權漏洞深度解析與防範

在 Windows 2000/XP 中，管理員帳戶可隨時重設其他管理員密碼（net user 帳戶 新密碼），或將任意帳戶加入 Administrators 群組（net localgroup Administrators 帳戶 /add）。微軟設計此機制原意是方便使用者找回密碼，但也帶來了安全隱患。

受限帳戶（如 Guest）也能提權？

表面上 Guest 無法執行上述指令，但透過「開機啟動腳本」機制即可繞過限制。具體步驟：

1. 建立批次檔 admin.bat，內容如下：
   net user admin /add
net localgroup administrators admin /add
   這會建立一個密碼為空的管理員帳戶 admin。
2. 執行 gpedit.msc 開啟群組原則編輯器，依序展開「電腦設定」→「Windows 設定」→「指令碼(啟動/關機)」，雙擊「啟動」並加入 admin.bat。
3. 重新開機，系統即會自動建立 admin 管理員帳戶。

為何可行？

預設 Guest/受限帳戶並未被禁止存取登錄檔與群組原則，而建立帳戶本質上就是寫入登錄檔鍵值。因此，只要帳戶能存取這些區域，提權就成為可能。

管理員應採取的防禦措施

• 透過群組原則禁止受限帳戶存取/修改登錄檔（regedit）、群組原則（gpedit.msc）。
• 停用不必要的「開機指令碼」功能，或限制寫入權限。
• 定期稽核本地使用者群組成員異動。

結論：Windows 對受限帳戶的預設防護僅屬表面，資深系統管理員必須主動強化登錄檔與原則存取控制，才能真正堵住提權管道。