Windows权限维持技术：影子账户与自启动机制详解

1. Windows权限维持技术深度解析

权限维持是渗透测试和后渗透阶段的核心技术之一，它确保攻击者在成功入侵系统后能够保持长期、稳定的访问权限。在Windows环境中，权限维持技术主要分为三大类：利用系统自启动机制、凭证窃取与伪造、以及信任流程劫持。本文将深入剖析这些技术的实现原理、操作步骤和防御策略。

1.1 影子账户创建与隐藏技术

影子账户是通过创建隐藏管理员账户实现权限维持的经典方法。其核心原理是利用Windows账户命名和注册表特性，创建一个在常规用户列表中不可见但实际拥有管理员权限的账户。

1.1.1 影子账户创建四步法

第一步：特殊命名的用户创建

bash复制net user admin$ p@ssword!123 /add

这里的$符号是关键，它使得账户在net user命令查询时默认不可见，但在控制面板中仍然可见。这是Windows系统的一个设计特性，主要用于系统服务账户的隐藏。

第二步：权限提升

bash复制net localgroup administrators admin$ /add

将影子账户加入管理员组，使其获得系统最高权限。值得注意的是，现代Windows系统(如Win10 1809后)对此类操作会有更严格的安全审计。

第三步：注册表深度隐藏

1. 打开注册表编辑器：regedit
2. 导航至：HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users
3. 修改SAM键权限：右键点击SAM项 → 权限 → 为管理员组添加完全控制权限

第四步：账户克隆与删除

1. 导出管理员账户和影子账户的注册表项
2. 用管理员账户的F值替换影子账户的F值
3. 删除原始影子账户
4. 导入修改后的注册表文件

注意：此操作需要系统重启才能完全生效。在Windows 10 20H2及更新版本中，微软加强了SAM数据库的保护，可能需要额外步骤绕过保护机制。

1.1.2 检测与防御措施

防御方可通过以下方法检测影子账户：

1. 使用PowerShell命令：Get-LocalUser | Where-Object {$_.Name -like "*$"}
2. 检查注册表：`HKE