2005-8-13 16:38
---由《建立隱藏的超級用戶》一文引出
近來一段時間，網(wǎng)上到處轉(zhuǎn)貼《建立隱藏的超級用戶》這樣一篇文章，文中提出可以通過修改Win2k注冊表的sam數(shù)據(jù)庫內(nèi)容來添加一個隱藏的超級用戶，在net user和用戶管理下面都看不到蹤跡，可以算是一個非常好的Rootkit了，于是引起了我的極大興趣，摸索了有一周，自認為對windows的用戶管理已經(jīng)很是熟悉了，得出了這樣一個結(jié)論：關(guān)于建立隱藏的超級用戶，完全是一個騙局，呵呵。你一定有些驚訝吧，既然是騙局，怎么還那么多人轉(zhuǎn)貼和叫好呢？好，聽我慢慢給你解釋：
一、關(guān)于SAM數(shù)據(jù)庫的內(nèi)容
首先從windows的用戶管理來說起吧，由于windows系統(tǒng)是建立在注冊表之上的，所以，關(guān)于所有的用戶信息也是存放在注冊表的HKLM下的SAM項中，關(guān)于SAM項的內(nèi)容，我簡單提一下，只要知道個大概就可以了。
存放用戶信息的具體地方是HKLM\SAM\SAM\Domains\Account\Users中，下面的十六進制項都是用戶的sid，比如用戶Administrator的sid是000001F4，guest的sid是000001F5，其他的每一個十六進制項都對應(yīng)一個用戶名。同時，在Names項下面保存的是用戶名，下面的每一個都是你機器中的用戶名。OK，基本的用戶信息就是這些了，下面來看windows如何管理這些用戶：
添加一個新用戶的時候，系統(tǒng)會在HKLM\SAM\SAM\Domains\Account\Users下面添加一個新的sid項來標記用戶，同時在HKLM\SAM\SAM\Domains\Account\Users\Names下建立一個用戶名的項，而項的類型為這個新的sid。比如添加一個名為xiaobai的用戶，系統(tǒng)就會在HKLM\SAM\SAM\Domains\Account\Users下添加一個新的sid項，假設(shè)是000003ED，與此同時，你會發(fā)現(xiàn)在HKLM\SAM\SAM\Domains\Account\Users\Names下面多了一個名為xiaobai的項，類型為0x3ed。這就是windows系統(tǒng)處理添加用戶的方式。
刪除用戶的時候，系統(tǒng)所做的工作就是把上面對應(yīng)添加的兩個項刪除。大體的原理應(yīng)該就是這樣，那些有關(guān)鍵值內(nèi)容的東西，因為與下面的主題沒有很大關(guān)系，所以，我就不細說了。
二、查看本機用戶信息
現(xiàn)在，已經(jīng)了解了系統(tǒng)是如何管理用戶的原理了，我們再回到系統(tǒng)管理員的角度，作為一個系統(tǒng)管理員，查看本機的用戶情況是最常見的行為了，一般通過兩種方式來查看，net命令和MMC管理控制臺。兩種方式取得本機用戶信息的方式稍有不同。
首先是net命令，每次執(zhí)行net命令的時候，系統(tǒng)去注冊表的HKLM\SAM\SAM\Domains\Account\Users\Names下面取項值，然后打印在屏幕上，就是你看到的結(jié)果，所以，即使你隨便在這個項值下面添加一項，也會通過net命令顯示出來的。其中的一個小技巧就是如果用戶名后面帶一個$符號的時候，就不會顯示出來，所以，在net命令下隱身很容易的，只要你添加的用戶名是以$結(jié)尾的就可以了。
然后是MMC管理控制臺，它與net命令稍有不同，不同處在于顯示用戶信息的時候不是現(xiàn)場去注冊表中取，而是每次系統(tǒng)啟動時，所有的用戶信息都已經(jīng)被讀入了，只是顯示出來就可以了。除非你做了添加或者刪除用戶的操作，否則，MMC不會去讀注冊表的信息的。
所以，當(dāng)我們按照《建立隱藏的超級用戶》這篇文章的方法做的時候，添加用戶后又刪除了，所以不會在 MMC中留下痕跡，此時再通過添加注冊表的項來使賬號復(fù)活，登錄windows的時候系統(tǒng)對比注冊表中的內(nèi)容，發(fā)現(xiàn)這個用戶有足夠的信息，所以允許登錄。正如前面所說，除非有添加刪除操作，否則，MMC不臨時去取注冊表的用戶信息，所以，在MMC中是看不到這個用戶的，也就是《建立隱藏的超級用戶》這篇文章所說的成功添加了一個隱藏的超級用戶。似乎這個后門留地是天衣無縫，可是一旦你重新啟動呢，你會發(fā)現(xiàn)，你剛才添加的隱藏的用戶又明明白白地顯示在用戶列表中，呵呵，至于原因么，是因為系統(tǒng)每次重啟動的時候，MMC都要重新讀取一下注冊表的SAM數(shù)據(jù)庫，所以，這個你復(fù)活的賬號也被讀到了MMC的記錄中，這樣，也就不是什么隱藏的用戶了。
呵呵，到現(xiàn)在你應(yīng)該清楚為什么《建立隱藏的超級用戶》這篇文章是個騙局了吧，有無數(shù)人為之歡呼，以為找到了一個超級的Rootkit，當(dāng)然也包括我，不過，假的畢竟是假的，因為這個而搞清楚了windows的用戶管理機制，這個收獲也不小啊，呵呵。
附《建立隱藏的超級用戶》：
這個賬戶可以在用戶完全不知情的情況下創(chuàng)建，方法如下：
首先打開注冊表編輯器regedit，找到[HKEY_LOCAL_MACHINE\SAM\SAM]這個里面存貯了Windows系統(tǒng)的所有用戶信息，右鍵這個鍵值，選擇權(quán)限，添加現(xiàn)在用的這個賬戶的完全控制權(quán)限，然后刷新就會多出Domains這個子項，打開Account項，然后再打開users，這里面就是系統(tǒng)用戶信息，點開Names一項就看到了所有用戶?，F(xiàn)在我們添加一個賬戶，開始-運行 cmd，輸入net
user haohao$ 123 /add 這樣就添加了一個賬戶，$在命令行下是不顯示的，所以輸入net user查看，不會看到haohao$這個賬戶，但是在計算機管理的本地用戶和組中是可以看到的。下面就解決這個問題，刷新注冊表，會發(fā)現(xiàn)Names多了一個haohao$項，打開發(fā)現(xiàn)鍵值為0X3ED，我們在Users這項會發(fā)現(xiàn)多了一個000003ED的項，里面有F和V兩個鍵值，然后找到administrator這個賬戶，查看對應(yīng)的F鍵值，把這個鍵值覆蓋掉haohao$對應(yīng)的F鍵值，然后分別導(dǎo)出haohao$和000003ED這兩個鍵值，然后cmd刪除haohao$這個賬戶，net user haohao$ /del，成功后再導(dǎo)入剛才的haohao$和000003ED這兩個注冊表文件，導(dǎo)入成功后在net user和計算機管理中都看不到haohao$這個賬戶，但是其實這個賬戶是真實存在的而且是管理員權(quán)限，驗證下，cmd輸入runas /profile /user:haohao$ cmd.exe回車輸入密碼，這樣就啟動一個以haohao$賬戶的cmd窗口，用這個窗口可以創(chuàng)建其他賬戶，說明已經(jīng)是管理員權(quán)限，最后建議把注冊表SAM鍵值的權(quán)限改回默認，這樣就成功在系統(tǒng)中建立了一個隱藏的管理員賬戶。
建立WIN2003超級隱藏用戶- -
隱藏的超級用戶建好后，在帳戶管理器看不到建立的這個用戶，在命令行用"net user"命令也看不到哦?。?br>2K中的regedit.exe和regedt32.exe
XP中的regedit.exe和regedt32.exe
win2003中的regedit.exe和regedt32.exe
都有兩個注冊表編輯器，實為一個程序。對regedit.exe我想大家都應(yīng)該很熟悉的啦，但卻不能對注冊表的項鍵設(shè)置權(quán)限，而regedt32.exe最
大的優(yōu)點就是能夠?qū)ψ员淼捻楁I設(shè)置權(quán)限。nt/2000/xp/2003的帳戶信息都在注冊表的HKEY_LOCAL_MACHINE\SAM\SAM鍵下，但是除了系統(tǒng)用戶
SYSTEM外，其它用戶都無權(quán)查看到里面的信息。下面介紹一下這個sam
SAM（Security Accounts Manager安全帳戶管理器）負責(zé)SAM數(shù)據(jù)庫的控制和維護。SAM數(shù)據(jù)庫位于注冊表HKLM\SAM\SAM下，受到ACL保護，可以使用regedt32.exe打開注冊表編輯器并設(shè)置適當(dāng)權(quán)限查看SAM中的內(nèi)容。SAM數(shù)據(jù)庫在磁盤上就保存在%systemroot%system32\config\目錄下的sam文件中，在這個目錄下還包括一個security文件，是安全數(shù)據(jù)庫的內(nèi)容，聽高手說兩者有不少關(guān)系。（由于本人太菜，并不太了解）
SAM數(shù)據(jù)庫中包含所有組、帳戶的信息，包括密碼HASH、帳戶的SID等。現(xiàn)以我分析的系統(tǒng)---中文Win2003 Server為例
首先用regedt32.exe(2003用regedit也一樣)對SAM鍵為我設(shè)置為"完全控制"權(quán)限。這樣就可以對SAM鍵內(nèi)的信息進行讀寫了了。展開注冊
表HKEY_LOCAL_MACHINE_SAM:
|---- SAM
|----Domains
| |----Account
| | |---- Aliaese
| | | |---- 000003E8
| | | |----000003EA
| | | |----000003EA
| | | |---- Members
| | | | |----S-1-5
| | | | | |----000003EA
| | | | | |----00000013
| | | | | |----00000013
| | | | |----S-1-5-21-3179286488-61192537-2235348617
| | | | |----000003E9
| | | | |----000003ED
| | | |----Name
| | | |----HelpServicesGroup
| | | |----IIS_WPG
| | | |----TelnetClients
| | |----Grpup
| | | |----00000201
| | | |----Name
| | | |----None
| | |----Users
| | |----000001F4
| | |----000001F5
| | |----000003E9
| | |----000003EC
| | |----000003ED
| | |----Names
| | |----Net2k$
| | |----Guest
| | |----IUSR_NET2K-KAXXY6SZ3
| | |----IWAM_NET2K-KAXXY6SZ3
| | |----SUPPORT_388945a0
| |----Builtin
| |----Aliases
| | |----00000220
| | |----00000221
| | |----00000222
| | |----00000223
| | |----00000226
| | |----00000227
| | |----00000228
| | |----0000022B
| | |----0000022C
| | |----0000022E
| | |----0000022F
| | |----Members
| | | |----S-1-5
| | | | |----00000004
| | | | |----0000000B
| | | | |----00000014
| | | |----S-1-5-21-3179286488-61192537-2235348617
| | | |----000001F4
| | | |----000001F5
| | | |----000003EC
| | |----Names
| | |----Administrators
| | |----Backup Operators
| | |----Guests
| | |----Network Configuration Operators
| | |----Performance Log Users
| | |----Performance Monitor Users
| | |----Power Users
| | |----Print Operators
| | |----Remote Desktop Users
| | |----Replicator
| | |----Users
| |----Groups
| | |---Names
| |----Users
| |----Names
|----RXACT
這是我機器上注冊表中SAM數(shù)據(jù)庫的結(jié)構(gòu)，SAM樹。在整個數(shù)據(jù)庫中，賬號主要內(nèi)容存在于下面這些位置：在\Domains\下就是域（或本機）中的SAM內(nèi)容，其下有兩個分支"Account"和"Builtin"。\Domains\Account是用戶賬號內(nèi)容。\Domains\Account\Users下就是各個賬號的信息。
其下的子鍵就是各個賬號的SID相對標志符。比如000001F4，每個賬號下面有兩個子項，F(xiàn)和V。其中\(zhòng)Names\下是用戶賬號名，每個賬號名只有一個默認的子項，項中類型不是一般的注冊表數(shù)據(jù)類型，而是指向標志這個賬號的SID最后一項（相對標識符），比如其下的Administrator，類型為0x1F4，于是從前面的000001F4就對應(yīng)著帳戶名administrator的內(nèi)容。如果我們把某個賬號中的類型改為0x1F4，那么這個賬號將被指向類000001F4的帳戶。而這個賬號000001F4就是administrator帳戶，這樣，系統(tǒng)在登錄過程中就把被修改的賬號完全轉(zhuǎn)為了administrator賬號，經(jīng)過修改的賬號所使用的所有內(nèi)容、信息都是adminisrtator內(nèi)容，包括密碼、權(quán)限、桌面、記錄、訪問時間等等，這就是達到了所謂的克隆超級管理員賬號的目的。由于本人水平所限，SAM數(shù)據(jù)庫的不再多作介紹了，想要了解更多的，可以自己去查找資料.下面主要是介紹如何實現(xiàn)這個克隆并隱藏賬號的步驟了。 了解了這些，接下來的工作也就更容易去做了。
具體步聚如下：
1、假設(shè)我們是以超級用戶administrator登錄到開有終端服務(wù)的肉雞上的，首先在命令行下或帳戶管理器中建立一個帳戶:
net2$,這里我在命令行下建立這個帳戶,如下:
net user net2k$ 123456 /add
2、在"開始"→"運行"并輸入"regedit.exe" 回車,啟動注冊表編輯器regedit.exe。
打開鍵：HKEY_LOCAL_MAICHINE\SAM\SAM\Domains\account\user\names\net2k$"
3、將項net2$、000003F2、000001F4導(dǎo)出為kelong.reg、3f2.reg、admin.reg，用記事本分別把這幾個導(dǎo)出的文件進行編輯，將超級用戶對
應(yīng)的項000001F4下的鍵"F"的值復(fù)制，并覆蓋NET2K$對應(yīng)的項000003F2下的鍵"F"的值，詳細步驟、內(nèi)容如下：
項000001F4下的鍵"F"的內(nèi)容：
"F"=hex:02,00,01,00,00,00,00,00,58,35,e6,ba,b7,85,c4,01,00,00,00,00,00,00,00,\
00,6a,09,b0,b2,6f,71,c4,01,00,00,00,00,00,00,00,00,32,47,ec,f7,5c,84,c4,01,\
f4,01,00,00,01,02,00,00,10,02,00,00,00,00,00,00,00,00,86,00,01,00,00,00,00,\
00,00,00,00,00,00,00
賬號NET2K$對應(yīng)的SID項000003F2下的鍵"F"的內(nèi)容：
"F"=hex:02,00,01,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,\
00,ce,21,90,ca,eb,85,c4,01,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,\
f2,03,00,00,01,02,00,00,10,00,00,00,00,00,00,00,00,00,00,00,01,00,00,00,00,\
00,00,00,00,00,5f,00
然后再將03F2.reg與kelong.reg合并后執(zhí)行導(dǎo)入。
4、在命令行下執(zhí)行net user net2k$ /del將用戶net2k$刪除：net user net2k$ /del
到此，隱藏的超級用戶hacker$已經(jīng)建好了，然后關(guān)閉regedit.exe。在regedt32.exe窗口內(nèi)把HKEY_LOCAL_MACHINE\SAM\SAM鍵權(quán)限改回原
來的樣子。
注意：隱藏的超級用戶建好后，在帳戶管理器看不到net2k$這個用戶，在命令行用"net user"命令也看不到，但是超級用戶建立以后，
就不能再改密碼了，如果用net user命令來改hacker$的密碼的話，那么在帳戶管理器中將又會看這個隱藏的超級用戶了，據(jù)說不能刪除。至于如何在命令行下遠程建立隱藏的超級用戶，這里就不多說了，只要你dos命令好，手工克隆也完全不是問題，方法都一樣，只是要講究操作技巧了......
建立WIN2003超級隱藏用戶- -
隱藏的超級用戶建好后，在帳戶管理器看不到建立的這個用戶，在命令行用"net user"命令也看不到哦?。?br>2K中的regedit.exe和regedt32.exe
XP中的regedit.exe和regedt32.exe
win2003中的regedit.exe和regedt32.exe
都有兩個注冊表編輯器，實為一個程序。對regedit.exe我想大家都應(yīng)該很熟悉的啦，但卻不能對注冊表的項鍵設(shè)置權(quán)限，而regedt32.exe最
大的優(yōu)點就是能夠?qū)ψ员淼捻楁I設(shè)置權(quán)限。nt/2000/xp/2003的帳戶信息都在注冊表的HKEY_LOCAL_MACHINE\SAM\SAM鍵下，但是除了系統(tǒng)用戶
SYSTEM外，其它用戶都無權(quán)查看到里面的信息。下面介紹一下這個sam
SAM（Security Accounts Manager安全帳戶管理器）負責(zé)SAM數(shù)據(jù)庫的控制和維護。SAM數(shù)據(jù)庫位于注冊表HKLM\SAM\SAM下，受到ACL保護，可以使用regedt32.exe打開注冊表編輯器并設(shè)置適當(dāng)權(quán)限查看SAM中的內(nèi)容。SAM數(shù)據(jù)庫在磁盤上就保存在%systemroot%system32\config\目錄下的sam文件中，在這個目錄下還包括一個security文件，是安全數(shù)據(jù)庫的內(nèi)容，聽高手說兩者有不少關(guān)系。（由于本人太菜，并不太了解）
SAM數(shù)據(jù)庫中包含所有組、帳戶的信息，包括密碼HASH、帳戶的SID等?，F(xiàn)以我分析的系統(tǒng)---中文Win2003 Server為例
首先用regedt32.exe(2003用regedit也一樣)對SAM鍵為我設(shè)置為"完全控制"權(quán)限。這樣就可以對SAM鍵內(nèi)的信息進行讀寫了了。展開注冊
表HKEY_LOCAL_MACHINE_SAM:
|---- SAM
|----Domains
| |----Account
| | |---- Aliaese
| | | |---- 000003E8
| | | |----000003EA
| | | |----000003EA
| | | |---- Members
| | | | |----S-1-5
| | | | | |----000003EA
| | | | | |----00000013
| | | | | |----00000013
| | | | |----S-1-5-21-3179286488-61192537-2235348617
| | | | |----000003E9
| | | | |----000003ED
| | | |----Name
| | | |----HelpServicesGroup
| | | |----IIS_WPG
| | | |----TelnetClients
| | |----Grpup
| | | |----00000201
| | | |----Name
| | | |----None
| | |----Users
| | |----000001F4
| | |----000001F5
| | |----000003E9
| | |----000003EC
| | |----000003ED
| | |----Names
| | |----Net2k$
| | |----Guest
| | |----IUSR_NET2K-KAXXY6SZ3
| | |----IWAM_NET2K-KAXXY6SZ3
| | |----SUPPORT_388945a0
| |----Builtin
| |----Aliases
| | |----00000220
| | |----00000221
| | |----00000222
| | |----00000223
| | |----00000226
| | |----00000227
| | |----00000228
| | |----0000022B
| | |----0000022C
| | |----0000022E
| | |----0000022F
| | |----Members
| | | |----S-1-5
| | | | |----00000004
| | | | |----0000000B
| | | | |----00000014
| | | |----S-1-5-21-3179286488-61192537-2235348617
| | | |----000001F4
| | | |----000001F5
| | | |----000003EC
| | |----Names
| | |----Administrators
| | |----Backup Operators
| | |----Guests
| | |----Network Configuration Operators
| | |----Performance Log Users
| | |----Performance Monitor Users
| | |----Power Users
| | |----Print Operators
| | |----Remote Desktop Users
| | |----Replicator
| | |----Users
| |----Groups
| | |---Names
| |----Users
| |----Names
|----RXACT
這是我機器上注冊表中SAM數(shù)據(jù)庫的結(jié)構(gòu)，SAM樹。在整個數(shù)據(jù)庫中，賬號主要內(nèi)容存在于下面這些位置：在\Domains\下就是域（或本機）中的SAM內(nèi)容，其下有兩個分支"Account"和"Builtin"。\Domains\Account是用戶賬號內(nèi)容。\Domains\Account\Users下就是各個賬號的信息。
其下的子鍵就是各個賬號的SID相對標志符。比如000001F4，每個賬號下面有兩個子項，F(xiàn)和V。其中\(zhòng)Names\下是用戶賬號名，每個賬號名只有一個默認的子項，項中類型不是一般的注冊表數(shù)據(jù)類型，而是指向標志這個賬號的SID最后一項（相對標識符），比如其下的Administrator，類型為0x1F4，于是從前面的000001F4就對應(yīng)著帳戶名administrator的內(nèi)容。如果我們把某個賬號中的類型改為0x1F4，那么這個賬號將被指向類000001F4的帳戶。而這個賬號000001F4就是administrator帳戶，這樣，系統(tǒng)在登錄過程中就把被修改的賬號完全轉(zhuǎn)為了administrator賬號，經(jīng)過修改的賬號所使用的所有內(nèi)容、信息都是adminisrtator內(nèi)容，包括密碼、權(quán)限、桌面、記錄、訪問時間等等，這就是達到了所謂的克隆超級管理員賬號的目的。由于本人水平所限，SAM數(shù)據(jù)庫的不再多作介紹了，想要了解更多的，可以自己去查找資料.下面主要是介紹如何實現(xiàn)這個克隆并隱藏賬號的步驟了。 了解了這些，接下來的工作也就更容易去做了。
具體步聚如下：
1、假設(shè)我們是以超級用戶administrator登錄到開有終端服務(wù)的肉雞上的，首先在命令行下或帳戶管理器中建立一個帳戶:
net2$,這里我在命令行下建立這個帳戶,如下:
net user net2k$ 123456 /add
2、在"開始"→"運行"并輸入"regedit.exe" 回車,啟動注冊表編輯器regedit.exe。
打開鍵：HKEY_LOCAL_MAICHINE\SAM\SAM\Domains\account\user\names\net2k$"
3、將項net2$、000003F2、000001F4導(dǎo)出為kelong.reg、3f2.reg、admin.reg，用記事本分別把這幾個導(dǎo)出的文件進行編輯，將超級用戶對
應(yīng)的項000001F4下的鍵"F"的值復(fù)制，并覆蓋NET2K$對應(yīng)的項000003F2下的鍵"F"的值，詳細步驟、內(nèi)容如下：
項000001F4下的鍵"F"的內(nèi)容：
"F"=hex:02,00,01,00,00,00,00,00,58,35,e6,ba,b7,85,c4,01,00,00,00,00,00,00,00,\
00,6a,09,b0,b2,6f,71,c4,01,00,00,00,00,00,00,00,00,32,47,ec,f7,5c,84,c4,01,\
f4,01,00,00,01,02,00,00,10,02,00,00,00,00,00,00,00,00,86,00,01,00,00,00,00,\
00,00,00,00,00,00,00
賬號NET2K$對應(yīng)的SID項000003F2下的鍵"F"的內(nèi)容：
"F"=hex:02,00,01,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,\
00,ce,21,90,ca,eb,85,c4,01,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,\
f2,03,00,00,01,02,00,00,10,00,00,00,00,00,00,00,00,00,00,00,01,00,00,00,00,\
00,00,00,00,00,5f,00
然后再將03F2.reg與kelong.reg合并后執(zhí)行導(dǎo)入。
4、在命令行下執(zhí)行net user net2k$ /del將用戶net2k$刪除：net user net2k$ /del
到此，隱藏的超級用戶hacker$已經(jīng)建好了，然后關(guān)閉regedit.exe。在regedt32.exe窗口內(nèi)把HKEY_LOCAL_MACHINE\SAM\SAM鍵權(quán)限改回原
來的樣子。
注意：隱藏的超級用戶建好后，在帳戶管理器看不到net2k$這個用戶，在命令行用"net user"命令也看不到，但是超級用戶建立以后，
就不能再改密碼了，如果用net user命令來改hacker$的密碼的話，那么在帳戶管理器中將又會看這個隱藏的超級用戶了，據(jù)說不能刪除。至于如何在命令行下遠程建立隱藏的超級用戶，這里就不多說了，只要你dos命令好，手工克隆也完全不是問題，方法都一樣，只是要講究操作技巧了......
