Windows系统隐藏用户

该方法是通过建立隐藏账户，制作系统用户远程控制后门，维持目标Windows
系统权限。制作方法跟步骤如下：
已经获取系统权限执行添加用户操作
net user hahaha$ Aa123456 /add
net localgroup administrators hahaha$ /add
net user

如上图，我们已经创建成功，执行net user命令，发现是看不到hahaha$用户的：

但是这就结束了吗，没有！虽然上面net user看不见该隐藏用户，
但是在控制面板和计算机管理的本地用户和组中，仍然是可以看的到该用户的：
为了更好地隐藏我们的后门账户，我们还要开启目标主机的远程桌面进行如下操作。
meterpreter > run post/windows/manage/enable_rdp//开启3389服务

打开注册表编辑器，找到HKEY_LOCAL_MACHINE\SAM\SAM，
单机右建，选择“权限”，把Administrator用户的权限，设置成
“完全控制”权限，然后关闭注册表编辑器，再次打开即可。

这样SAM下的文件就都能看见了如下图所示
然后，在注册表编辑器的HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\Names处，点击Administrator用户，在左侧找到和在右边显示的键值的类型一项“0x1f4”相同的目录名，也就是箭头所指目录“000001F4”：

复制000001F4目录中的F键的值：

然后找到与隐藏账户hahaha$右边类型的键值“0x3ec”相同的目录名，也就是。

然后将000001F4的F值粘贴到000003EC的F值中，点击确定：

然后从注册表中右键导出000003EC和hahaha$，
并删除hahaha$用户 net user hahaha$ /del：

此时发现在用户本地组中查不到hahaha$用户，已经被成功隐藏起来。

最后，将刚才导出的两个后缀为.reg的注册表项导入注册表中：

最后直接3389连接，输入隐藏的用户名密码即可

粘滞键后门

如果在电脑上连按五次shift键，发现电脑屏幕上弹出了一个叫做“粘滞键”的程序

思考一下，如果我们知道了这个程序的绝对路径，那么我们就可以将cmd.exe
伪装成这个粘滞键程序，
当我们连按五次shift键时，便会弹出一个CMD命令行窗口，那么我们
就可以无需登录进系统便可以控制目标主机了。

粘滞键程序名称为“sethc.exe”，其路径为“c:\windows\system32\sethc.exe”。
利用粘滞键做后门是一种比较常见的持续控制方法。
其基本流程如下：

1.	手动或利用工具，找到sethc.exe将其删除或改名为sethc.exe.bak，
2.	接着将cmd.exe程序复制一个副本，并命名为“sethc.exe”
3.	最后，重启计算机再次按下5次Shift键，会弹出CMD界面，后门制作成功

手动执行

在目标主机上执行如下命令即可:
cd c:\windows\system32  
move sethc.exe sethc.exe.bak   // 将sethc.exe重命名
copy cmd.exe sethc.exe       // 将cmd.exe副本保存伪装成sethc.exe

实验注意事项:

该cmd是以system权限运行的，接下来我们就可以无需知道登录密码，
无需登录，直接对目标主机执行各种高权限的操作了，
也完全可以新建一个高权限用户直接登录进入系统，是不是很有意思？
但是，先别高兴地太早了，在一些做了防护的主机上，即使是SYSTEM权限
也是无法修改sethc.exe的：
解决方法:
只有TrustedInstaller权限才可以，这时，我们就要先模拟一个TrustedInstaller
权限的令牌获取TrustedInstaller权限，
然后再执行上述操作。我们的思路如下：

当我们启动TrustedInstaller服务时会启动进程TrustedInstaller.exe，
该程序的权限为NT SERVICE\TrustedInstaller，那么我们就可以窃取该
进程的令牌。
首先进入shell启动TrustedInstaller服务：
sc.exe start TrustedInstaller

然后利用令牌窃取TrustedInstaller权限

use incognito
ps      # 找到TrustedInstaller的进程PID，这里为1056
steal_token <PID>      # 从该进程中窃取令牌
getuid   

实验成功截图:连续按五次shift键即可弹出cmd窗口

针对粘滞键后门的防范措施:
远程登录服务器时，连续按5此shift