|
3、过河拆桥，切断删除隐藏账户的途径 虽然我们的隐藏账户已经在“命令提示符”和“计算机管理”中隐藏了，但是有经验的系统管理员仍可能通过注册表编辑器删除我们的隐藏账户，那么如何才能让我们的隐藏账户坚如磐石呢? 打开“regedt32.exe”，来到“HKEY_LOCAL_MACHINE\SAM\SAM”处，设置“SAM”项的权限，将 “administrators”所拥有的权限全部取消即可。当真正的管理员想对“HKEY_LOCAL_MACHINE\SAM\SAM”下面的项进行 操作的时候将会发生错误，而且无法通过“regedt32.exe”再次赋予权限。这样没有经验的管理员即使发现了系统中的隐藏账户，也是无可奈何的。 三.专用工具，使账户隐藏一步到位 虽然按照上面的方法可以很好得隐藏账户，但是操作显得比较麻烦，并不适合新手，而且对注册表进行操作危险性太高，很容易造成系统崩溃。因此我们可以借助专门的账户隐藏工具来进行隐藏工作，使隐藏账户不再困难，只需要一个命令就可以搞定。 我们需要利用的这款工具名叫“HideAdmin”，下载下来后解压到c盘。然后运行“命令提示符”，输入“HideAdmin piao$ 123456”即可，如果显示“Create a hiden Administrator piao$ Successed!”，则表示我们已经成功建立一个账户名为piao$，密码为123456的隐藏账户。利用这款工具建立的账户隐藏效果和上文中修改注 册表的效果是一样的。 四、把“隐藏账户”请出系统 隐藏账户的危害可谓十分巨大。因此我们有必要在了解了账户隐藏技术后，再对相应的防范技术作一个了解，把隐藏账户彻底请出系统。 1、添加“$”符号型隐藏账户 对于这类隐藏账户的检测比较简单。一般黑客在利用这种方法建立完隐藏账户后，会把隐藏账户提升为管理员权限。那么我们只需要在“命令提示符”中输入 “net localgroup administrators”就可以让所有的隐藏账户现形。如果嫌麻烦，可以直接打开“计算机管理”进行查看，添加“$”符号的账户是无法在这里隐藏 的。 2、修改注册表型隐藏账户 由于使用这种方法隐藏的账户是不会在“命令提示符”和“计算机管理”中看到的，因此可以到 注册表中删除隐藏账户。来到“HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\Names”，把这 里存在的账户和“计算机管理”中存在的账户进行比较，多出来的账户就是隐藏账户了。想要删除它也很简单，直接删除以隐藏账户命名的项即可。 3、无法看到名称的隐藏账户 如果黑客制作了一个修改注册表型隐藏账户，在此基础上删除了管理员对注册表的操作权限。那么管理员是无法通过注册表删除隐藏账户的，甚至无法知道黑客建 立的隐藏账户名称。不过世事没有绝对，我们可以借助“组策略”的帮助，让黑客无法通过隐藏账户登陆。点击“开始”→“运行”，输入 “gpedit.msc”运行“组策略”，依次展开“计算机配置”→“Windows 设置”→“安全设置”→“本地策略”→“审核策略”，双击右边的“审核策略更改”，在弹出的设置窗口中勾选“成功”，然后点“确定”。对“审核登陆事件” 和“审核过程追踪”进行相同的设置。 进行登陆审核后，可以对任何账户的登陆操作进行记录，包括隐藏账户，这样我们就可以通过“计算机管理”中 的“事件查看器”准确得知隐藏账户的名称，甚至黑客登陆的时间。即使黑客将所有的登陆日志删除，系统还会记录是哪个账户删除了系统日志，这样黑客的隐藏账 户就暴露无疑了。 得知隐藏账户的名称后就好办了，但是我们仍然不能删除这个隐藏账户，因为我们没有权限。但是我们可以在“命令提示符”中输入“net user 隐藏账户名称 654321”更改这个隐藏账户的密码。这样这个隐藏账户就会失效，黑客无法再用这个隐藏账户登陆。 win2003下创建永远的隐藏帐户操作一、二 前段时间比较流行的一句话”肉机”其实要想控制远端的计算机,那我想就少不了隐藏用户帐号的问题了,其实创建隐藏用户帐号还是比较简单的，现在我就把创建隐藏用户帐号告诉大家。 其实每一个用户帐号在注册表中都有自己帐号数据项 首先我们看看管理员在注册表中的数据项是什么样的 操作一、打开注册表：HKEY_LOCAL_MACHINE\SAM\SAM SAM是保存用户帐号的地方，不过这个“项”在默认情况下是不可见的。我们如果想看内部的内容就必须首先对其授权。(建议对注册表不是很熟悉的朋友不要随便改动注册表) 操作二、认识注册表中的帐号分类 在OS中的用户帐号无论是内置帐号，还是后建帐号，在注册表中都能看见。不过有两个帐号大家一定要能够认识，那就是管理员帐号和guest帐号。 ”000001fa4”表示的是管理员帐号，即使管理员帐号被重命名了这个值也是不会变的，所以我们可以通过这个值来判断，重命名后的管理员帐号。 “000001fa5” 表示的是guest帐号，同样这个值也不会因为，来宾帐号给重命名而改变。剩下的其 它值基本上就是后来创建的用户帐号，生成值了。 认识了注册表后，现在我们就来利用”net user”命令创建帐号了，创建隐藏帐号必须在CMD下。有关常见的命令，这些命令也可以在OS的帮助中找到。 操作三、利用”net user”命令创建帐号 一、先建立隐藏用户 xbx$ 1、net user xbx$ 123,abc /add 这里的意思是说，建立个xbx$ 帐户密码是123,abc 1、C:\Documents and Settings\Administrator>net localgroup administrators xbx$ /add 这里的意思是说把xbx,以便让我们创建用户具备管理员权限。 一、观察注册表中的变化，并对注册表做相应的修改。 HKEY_LOCAL_MACHINE\SAM\SAM 1、找到我们刚刚创建的用户帐号 我们可以看见”000003f6”就是我们刚新建立的”xbx 2、在注册表中多帐号权限复制 找到HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users 这个项，打开”000001f4”项，然后再打开”F”。 然后将这里面的值，全选，粘帖并覆盖到”000003f6”的”F”值. 3、导出注册表值 现在将注册表中的“000001f4”、“000003f6”和“xbx"都导入出来,可直接将Users所有键值都导出来,到文件. 4、删除帐号 接下来我们再次进入“CMD”中删除“xbx 删除帐号后，则注册表中的值也就没有了，这个时候我们再把刚才导出的注册表项，导入到注册表中。 这个时候我们打开“本地计算机用户和组”就看不见“xbx" 系统密码破解方法总结 一、ERD2003 利用ERD2003强行修改系统管理员密码的方法简单、易于操作，且对2000/xp/2003系统均有效。下面就具体介绍一下这个软件的用法。 1.下载ERD2003的iso，刻录成可启动的CD，注意别搞错了，直接刻录镜像最好。 2.设置系统从光盘启动，进入“系统”后，ERD2003会针对系统的网络等硬件设备进行一些设置，总之遇到要你选择时一概选“yes”即可。 3.接下来ERD2003会在你的硬盘里搜索所有已安装的系统，再让你选择要修改的系统。 4.耐心等待，进入系统后：按start—administrative tools—locksmith，进入强行修改密码的界面，随后弹出的对话框会让你选择要修改密码的用户名，选择后即可强行修改密码而不用输入原始密码，然后点击NEXT，之后重启。 二、PASSWARE KIT 5.0中的Windows KEY 5.0 也有一些工具光盘里有这个程序，直接光盘运行就可以了。 如果找不到这种光盘，运行PASSWARE KIT 5.0后生成3个文件:TXTSETUP.OEM、WINKEY.SYS和WINKEY.INF，3个文件共50KB。 把这3个文件放在任何软盘中，然后使用XP安装光盘启动电脑，启动过程中按F6键让系统采用第三方驱动程序。 此时，正是我们切入的最好时机，放入该软盘就会自动跳到Windows KEY的界面。软件会自动检测系统中安装的Windows 2000/XP/2003并列一个表供用户选择，当出现提示“Please enter your selection 1..? or 0 to quit:”(根据检测到已安装操作系统的数量，“?”可能是1到9之间的某个数字)时，按相应的数字键进行选择。接着出现提示“Set local Administrator password to‘12345’?(Y/N):”，即问是否把“Administrator”的密码修改为“12345”，按Y键，软件首先自动备份原密码，然后把 “Administrator”的密码修改为“12345”。从光驱中取出光盘，重新启动计算机，如果Windows XP欢迎界面中没有列出“Administrator”用户，那么就连续按两次“Ctrl+Alt+Del”组合键，这时就会出现输入用户名和密码的界 面，在“用户名”中输入“Administrator”，在“密码”中输入“12345”，单击“确定”按钮就可以登录Windows XP了。 提示：第一次登录Windows XP，系统会提示你密码已到期，要不要进行修改。你可以根据需要自行选择。 这 个方法还可以恢复原来的密码 !!如果只是临时使用系统，使用完Windows XP后还想恢复原来的“Administrator”的密码，可按下面的方法操作。 先按照修改“Administrator”密码的步骤一和步骤二进行操作，接着就会出现提示“Would you like to undo Windows XP/2000/NT Key changes?(Y/N):”，按Y键，软件就会自动恢复原来的“Administrator”密码，接着又出现提示“Set local Administrator password to ‘12345’?(Y/N):”，按N键，不要把“Administrator”的密码修改为“12345”。从光驱中取出光盘，重新启动计算机，就完成 了密码恢复。 |