案例四清除隐藏的克隆账户.docxVIP

案例四 清除隐藏的克隆账户绪：创建隐藏账户在命令行下隐藏的账户当在命令行中创建账户时，若在用户名后加上“$”，则该账户用“net user”命令无法查看到，如图二22图二22 在命令行中隐藏的账户在计算机管理中隐藏的账户用上述方法在命令行中创建的账户虽然做到了在命令行下的隐藏，但在“计算机管理”中依然可以看到该账户的存在，如图二23图二23 在“计算机管理”中依然显形我们可以对注册表进行相应处理以达到在“计算机管理”中隐藏账户的目的。在注册表下分别将“abc$”项及与其相应的“000003F8”项导出（导出前可以先对“abc$”帐户实施克隆），如图二24图二24 导出相应项在“计算机管理”中删除“abc$”账户，这时注册表中将不再存在“abc$”项及与其相应的“000003F8”项。我们导入刚刚保存的两项，即创建了一个在“计算机管理”中隐藏的账户，如图二25图二25 在“计算机管理”中隐藏在注册表中隐藏的账户此部分内容会在病毒课中讲，此处不再赘述。操作准备硬件环境：已安装好Windows 2003 Server虚拟机的PC机软件环境：系统自带注册表操作要求作为公司的信息安全人员，公司要求对服务器的账户定期进行处理，检查隐藏账户是其中的一项内容。操作步骤步骤一、发现并清除隐藏账户打开注册表，定位到HKLM\SAM\SAM\Domains\Account\Users项，发现该项下有一加“$”后缀的账户“abc$”，但在“计算机管理”中并无此账户，见图二26图二26进入与其相应的“000003F9”项，双击打开F键值，其0x30字节处的内容为“F4 01 00 00”即000001F4，与其子项名称000003F9不一致，见图二27，该帐户还是一克隆账户。图二27删除“abc$”项及与其相应的“000003F9”项，即清除了隐藏的克隆账户。