- 影子账户就是在windows中比较隐蔽的用户，一般在后渗透的权限维持阶段会用到。影子账户主要是利用在权限维持上，通过先建立带$符号的账户，然后利用注册表修改里面的值，使得管理员无法通过cmd及计算机管理等地方查看攻击者所创建的账户，从而实现权限维持。
1、创建zxk$账户，在Windows中创建带$符号的用户在cmd中是看不出来的，但是在计算机管理中可以查看
2、打开win+R -- regedit，打开注册表，找到HEKY_LOCAL_MACHINE\SAM\SAM\Domains\Account\User在SAM\SAM下需要权限才能打开，右键SAM，给予权限，并刷新
3、Name文件夹下的每个账户与Users文件夹下的键值文件夹一一对应。
(“Users”里包含的就是该帐户的权限的键值。)
4、把Administrator的F键值的内容替换掉zxk$的F键值（这样zxk$也有管理员权限了）
5、将zxk$和000003E9导出到桌面
6、删除zxk$账户
7、双击桌面注册表文件，将注册表导入
8、影子用户创建完成，net user和计算机管理中都看不见zxk$用户，只有注册表中可以看见，且具有管理员权限
本文转载自: https://blog.csdn.net/qq_54735393/article/details/127675015
版权归原作者 千冬季 所有， 如有侵权，请联系我们删除。
版权归原作者 千冬季 所有， 如有侵权，请联系我们删除。