ARTICLE DETAIL

建站实战干货

来自一线的建站与推广经验沉淀，每一条都经过真实交付验证。

首页 / 资讯中心 / 正文

Windows隐藏用户创建与检测：从SAM数据库到RID劫持的攻防实践

2026/8/17 6:37:19 拓冰建站 浏览量
Windows隐藏用户创建与检测：从SAM数据库到RID劫持的攻防实践

1. 项目背景与核心诉求

在Windows系统管理的日常工作中，我们常常会遇到一些需要特殊权限或隐蔽操作的任务。比如，你可能需要部署一个用于自动化运维的脚本账户，或者为某个关键服务配置一个专用的后台运行身份，又或者，在某些安全审计或渗透测试的合法授权范围内，需要了解系统可能存在的隐蔽后门。这时，一个普通的、在“控制面板-用户账户”里清晰可见的用户账户就显得过于“张扬”了。它容易被常规检查发现，也可能因为权限问题在执行某些任务时被交互式登录界面或用户管理工具干扰。

“创建隐藏用户”这个需求，本质上是在寻求一种方法，能够创建一个具备完整功能（尤其是管理员权限）的Windows用户账户，但这个账户不会在系统标准的用户登录界面（如锁屏界面、切换用户界面）、net user命令的简单列表以及“计算机管理”控制台的“本地用户和组”中直接显示。这并非Windows系统设计提供的“官方”功能，而是通过一系列系统机制的组合与配置，实现的一种“隐形”状态。理解其原理，不仅能满足特定场景下的管理需求，更能加深对Windows用户认证、注册表和安全子系统（Security Subsystem）工作方式的理解。

值得注意的是，这项技术是一把双刃剑。在合法的系统管理、自动化部署或安全研究场景下，它是一个强大的工具。但如果被恶意使用，它就可能成为一个难以察觉的后门账户。因此，本文将从系统管理员和安防研究者的双重角度出发，深入剖析在Windows系统（以Windows 10/11及Server 2016/2019/2022为例）中实现用户“隐藏”的多种方法、其背后的技术原理、操作时的关键细节，以及如何有效地检测和防范此类隐蔽账户。我们的讨论将严格围绕技术实现本身，所有操作均需在您拥有完全管理权限的测试环境或授权范围内进行。

2. 隐藏用户的底层原理：超越net user的视野

要隐藏一个用户，首先得明白系统在哪里“寻找”和“展示”用户。很多人第一个想到的命令就是net user。在命令行中直接输入net user，它会列出所有本地用户账户。这个列表来源于哪里？它主要查询的是安全账户管理器（Security Accounts Manager, SAM）数据库。SAM数据库是Windows本地用户和组账户信息的核心存储库，其物理文件位于%SystemRoot%\System32\config\SAM，受到系统内核的严密保护，正常运行时无法直接读写。

net user命令通过与Local Security Authority (LSA)子系统交互，来获取SAM中的信息。然而，用户是否在登录界面显示，则是由另一套机制控制的。这套机制与SAM数据库相关，但并非完全一致。关键点在于，系统用于图形化登录界面（如Winlogon）的用户列表，可以通过修改注册表中的特定标志位来进行过滤。这就为我们提供了“隐藏”的理论基础：我们可以创建一个在SAM中完全合法的用户账户，但通过修改其注册表项下的一个键值，使其被登录界面和部分管理工具“忽略”。

此外，Windows的用户管理图形界面（lusrmgr.msc）和命令行工具（如net user）在显示时，也会过滤掉一些特殊的、系统内置的账户（如DefaultAccount,WDAGUtilityAccount）以及某些具有特定属性的账户。我们的目标就是通过手动配置，让我们创建的用户“模仿”这些被过滤账户的某个特征，从而达到隐藏的目的。理解这个原理至关重要，它意味着“隐藏”是相对的，取决于查看者的视角和所使用的工具。一个对net user隐藏的用户，可能依然会在某些更底层的工具或注册表编辑器中“现形”。

3. 方法一：通过注册表直接修改用户属性标志位

这是最经典、也是最常被提及的“隐藏用户”方法。其核心是修改目标用户在注册表SAM子树下对应项中的一个名为F的二进制值（类型为REG_BINARY）。这个F值包含了该用户账户的大量属性标志位。

操作前的重要警告：直接操作HKEY_LOCAL_MACHINE\SAM\SAM下的注册表项是极其危险的行为。SAM子树默认对即使是Administrators组的成员也是禁止访问的。你需要先取得SYSTEM权限才能进行修改。错误的修改可能导致用户账户损坏、无法登录，甚至系统不稳定。务必在虚拟机或非生产环境中进行测试，并做好系统备份。

3.1 详细操作步骤与原理拆解

第一步：获取SYSTEM权限并加载SAM配置单元

由于安全限制，我们无法直接浏览HKEY_LOCAL_MACHINE\SAM\SAM。标准的做法是使用psexec（Sysinternals套件工具）来以SYSTEM身份运行注册表编辑器，或者通过“注册表配置单元”的方式加载SAM文件。

这里介绍一种相对清晰的方法：使用reg.exe命令加载配置单元。

  1. 以管理员身份打开命令提示符（CMD）或PowerShell。

  2. 创建两个临时目录，用于存放备份和加载点：

    mkdir C:\temp\sam_backup mkdir C:\temp\sam_mount

  3. 使用reg save命令将SAM和SYSTEM配置单元保存出来。SYSTEM配置单元包含SAM数据库的启动密钥，两者需要配对使用。

    reg save hklm\sam C:\temp\sam_backup\sam.hiv reg save hklm\system C:\temp\sam_backup\system.hiv

    注意：此操作需要管理员权限，并且会短暂锁定SAM文件，可能影响正在进行的用户认证操作。在生产环境请谨慎。

  4. 将保存的SAM配置单元加载到注册表的一个临时位置（例如HKLM\SAM_EDIT）。

    reg load HKLM\SAM_EDIT C:\temp\sam_backup\sam.hiv

第二步：定位目标用户的注册表项并修改F值

现在，你可以在注册表编辑器中访问HKEY_LOCAL_MACHINE\SAM_EDIT了。其结构类似于真正的HKEY_LOCAL_MACHINE\SAM\SAM。

  1. 打开regedit，导航到HKEY_LOCAL_MACHINE\SAM_EDIT\SAM\Domains\Account\Users\。
  2. 在Users下，你会看到许多以000003E8、000003E9等十六进制数字命名的文件夹。这些就是用户的RID（相对标识符）。你需要找到目标用户对应的RID文件夹。
    • 每个用户的RID可以在其Names子键下找到对应关系。展开HKEY_LOCAL_MACHINE\SAM_EDIT\SAM\Domains\Account\Users\Names，你会看到以用户名命名的子项，其默认值就是该用户的RID（十六进制）。
    • 例如，你创建了一个用户test$，在Names\test$下看到默认值为0x3eb（十进制1003）。那么该用户的配置就在Users\000003EB中。
  3. 进入对应用户RID的文件夹（例如000003EB），在右侧找到名为F的二进制值。双击进行编辑。
  4. F值是一个长二进制串。我们需要修改的是其中的特定偏移位。一个广泛流传的偏移量是**0xBC（十进制188）** 处的字节。这个字节的第5个bit（从右向左，从0开始计数，即0x10）控制着“该账户是否在登录UI中显示”。
    • 原始状态：通常这个字节的值可能是0x15（二进制00010101）。
    • 修改为隐藏：将第5个bit置为1。0x15的二进制是00010101，第5位（bit 4）是0。将其置1，变为0001**1**101，即0x1D。
    • 因此，你需要将F值数据中偏移0xBC处的字节从原来的值（例如0x15）修改为0x1D。

    重要提示：不同Windows版本、不同用户类型（管理员/普通用户）的F值结构可能略有差异，0xBC偏移是一个常见位置，但并非绝对。错误的修改会导致账户异常。修改前务必完整备份原始的F值。

第三步：卸载配置单元并恢复

  1. 修改完成后，关闭注册表编辑器。
  2. 在管理员命令行中卸载之前加载的配置单元：
    reg unload HKLM\SAM_EDIT
  3. 现在，你需要将修改后的sam.hiv文件替换回系统。由于系统运行时SAM文件被锁定，无法直接覆盖。你需要进入Windows恢复环境（WinRE）或使用PE系统盘启动，然后用修改后的sam.hiv替换C:\Windows\System32\config\SAM。这是一个高风险操作，极有可能导致系统无法启动，仅适用于高级研究或特定离线环境，不推荐普通管理员操作。

效果与局限性：此方法如果成功，可以使该用户从图形登录界面和net user命令的简单列表中消失。但是，在“计算机管理”->“本地用户和组”->“用户”中，如果按F5刷新，该用户可能依然会出现，因为MMC管理单元使用了不同的枚举API。此外，使用net user username（指定用户名查询）或wmic useraccount get name命令仍然可以查到该用户。因此，这只是一种“浅层”隐藏。

4. 方法二：创建“美元符号($)”用户及其行为分析

这是一种更简单、更“温和”的隐藏方式，利用了系统内部的一些过滤规则。其操作非常简单：创建一个以美元符号$结尾的用户名，例如admin$、backup$。

操作步骤：

  1. 以管理员身份打开CMD或PowerShell。
  2. 输入命令：
    net user admin$ MySuperSecretP@ssw0rd /add net localgroup administrators admin$ /add
    这样，我们就创建了一个名为admin$，密码为MySuperSecretP@ssw0rd的管理员账户。

隐藏效果分析：

  • 登录界面：在Windows 10/11的锁屏或切换用户界面，admin$这个用户不会显示。这是该方法最直接的效果。
  • net user命令：直接运行net user，admin$同样不会出现在列表里。这使它具备了初步的隐蔽性。
  • 指定查询：但是，如果使用net user admin$来查询该用户的详细信息，系统会正常返回结果。
  • 计算机管理：在lusrmgr.msc（本地用户和组管理）中，admin$用户是可见的。管理员如果打开这个工具，就能发现它。
  • WMIC/PowerShell：通过wmic useraccount get name或PowerShell命令Get-LocalUser，admin$用户也是可见的。

原理探讨：为什么$结尾的用户会被部分界面过滤？这并非一个公开文档化的特性，而更像是一个历史遗留的“特性”或未公开的过滤器。在Windows域环境中，以$结尾的通常是计算机账户（Machine Account）。本地系统可能沿用了某种类似的过滤逻辑，在渲染登录UI和net user的默认列表时，自动过滤了以$结尾的本地账户名，以避免计算机账户（虽然本地环境一般不涉及）或特殊服务账户干扰普通用户的视线。

实操心得与注意事项：

  1. 并非绝对隐藏：这是一种“便利性隐藏”，而非“安全性隐藏”。任何有经验的管理员或安全检查工具，只要使用Get-LocalUser或查看lusrmgr.msc，就能立刻发现它。因此，它只适用于防止偶然的、非专业的查看。
  2. 兼容性：该方法在从Windows XP到Windows 11的各个版本中基本都有效，行为一致。
  3. 用途：非常适合用于需要自动登录、服务运行但又不想在家庭电脑的登录界面上留下一个碍眼账户的场景。或者，作为一个简单的、提醒同行“这里有特殊账户”的标记。
  4. 安全警告：由于net user不显示，一些粗心的管理员可能会误以为系统很干净。攻击者也可能利用这一点创建隐蔽的后门。因此，作为防御方，定期使用Get-LocalUser进行检查是必要的。

5. 方法三：克隆现有用户——RID劫持技术初探

这是一种更为高级和隐蔽的技术，通常被称为“RID劫持”或“影子账户”。其核心思想不是创建一个新用户，而是“劫持”一个已存在、但通常不被使用的内置账户（如DefaultAccount，其RID为503）的权限标识，使我们创建的用户在安全标识符（SID）层面“变成”它，同时保留我们自己的用户名和密码。

技术原理简述：每个Windows用户都有一个唯一的安全标识符（SID），例如S-1-5-21-xxxxxx-1000。其中最后一部分（1000）就是相对标识符（RID）。系统通过RID来快速识别常见账户（如500是Administrator，501是Guest，503是DefaultAccount等）。RID劫持，就是修改注册表中我们创建用户的F值，将其中的RID部分替换成目标系统账户（如503）的RID。同时，为了保持用户名不变，我们不去动Names下的项。

这样，当系统进行权限检查时，会看到这个用户的SID末尾是503，从而赋予其与DefaultAccount等同的权限（通常很少）。但因为我们用的是自己的用户名和密码，所以可以登录。而枚举用户的工具，在遍历时可能会因为RID的特殊性（属于已知的系统内置账户RID范围）而将其过滤或归类，从而实现更深层次的隐藏。

操作复杂性：此操作同样需要直接修改SAM注册表F值，且修改的位置和方式比方法一更复杂，需要精准计算和替换二进制数据中代表RID的部分。它涉及对SAM结构的深入理解，操作失误极易导致账户失效或系统问题。由于其对系统安全构成的潜在威胁更大，且操作极其复杂，本文不展开具体的二进制修改步骤。重要的是理解其概念：这是一种通过混淆用户身份标识（SID/RID）来实现隐藏和权限伪装的技术，是许多高级持久化威胁（APT）攻击中可能使用的手段。

检测与防御：对抗RID劫持，不能依赖普通的用户列表工具。需要使用能检查SID和RID对应关系的专用工具或脚本。例如，使用PowerShell的Get-LocalUser | Select Name, SID命令，检查每个本地用户的SID，如果发现一个普通用户名（如myuser）对应了一个系统内置的RID（如503），那就是一个强烈的异常信号。此外，一些企业级安全软件和EDR（终端检测与响应）产品具备检测SID-RID不匹配的能力。

6. 如何全面检测系统中的隐藏用户

了解了隐藏方法，我们更应掌握检测方法。一个合格的管理员或安全人员，不应只满足于net user的列表。

1. 使用PowerShell命令：这是最推荐、最权威的方法。以管理员身份运行PowerShell，执行：

Get-LocalUser

这条命令会列出所有本地用户账户，包括以$结尾的、以及通过修改注册表属性隐藏的用户（只要其账户对象在SAM中正常存在）。它是检查本地用户的黄金标准。

2. 使用WMIC命令：在CMD中执行：

wmic useraccount get name, sid, disabled, status

WMIC也能列出所有账户，并附带SID和状态信息，非常有用。

3. 检查注册表：如前所述，所有本地用户的根本信息都在SAM中。通过加载SAM配置单元（方法见3.1），直接查看HKEY_LOCAL_MACHINE\SAM_EDIT\SAM\Domains\Account\Users\Names下的所有子项名称，这就是完整的用户名列表。这是最底层的查看方式，任何在此处不存在的账户，系统根本不认。

4. 使用第三方工具：Sysinternals套件中的AccessEnum或Autoruns等工具，在查看系统自动启动项时，有时会以用户上下文显示，可能暴露出不常见的用户账户。专业的杀毒软件或安全态势感知平台，通常也具备账户异常检测功能。

5. 审计登录事件：即使账户被隐藏，只要它成功登录，就会在Windows安全事件日志中留下记录（事件ID 4624）。定期审查安全日志，关注来源可疑或用户名异常的成功登录事件，是发现隐蔽活动的重要手段。你可以通过事件查看器（eventvwr.msc）定位到“Windows日志 -> 安全”，并进行筛选。

建立检测基线：一个良好的安全实践是，在系统初始配置完成后，立即用Get-LocalUser导出一份合法的本地用户清单作为基线。之后定期运行对比，任何新增的、未授权的账户都会一目了然，无论它是否试图隐藏自己。

7. 防御策略与最佳管理实践

隐藏用户技术凸显了账户安全管理的重要性。以下是一些关键的防御和管理实践：

1. 最小权限原则：严格限制管理员账户的数量和使用范围。日常操作应使用普通用户账户，仅当需要时通过“以管理员身份运行”或UAC提权。减少高权限账户的存在，就减少了被隐藏和利用的目标。

2. 禁用或重命名默认管理员账户：将内置的Administrator账户重命名（如改为MyAdmin）并设置强密码，可以增加攻击者猜测和利用的难度。虽然RID 500的账户无法删除，但重命名是有效的安全措施。

3. 启用并监控审计策略：在“本地安全策略”（secpol.msc）或组策略中，启用“审核账户管理”和“审核登录事件”。这能确保所有账户的创建、删除、启用、禁用以及所有的登录尝试（成功/失败）都被记录到安全日志中，便于事后追溯和分析。

4. 定期审查账户列表：将使用PowerShell命令Get-LocalUser定期检查本地账户列入日常或周常维护任务。可以编写简单的脚本，将当前列表与基线对比，并通过邮件或日志报告差异。

5. 警惕非常规用户名的账户：对于发现的任何以$结尾、包含奇怪字符或与业务无关名称的本地账户，应立即调查其来源和用途。

6. 使用专用管理账户：对于服务器或关键工作站，考虑使用来自域环境的域账户进行管理，而非本地管理员账户。域环境提供了更集中、更强大的账户管理和审计能力。

7. 部署终端安全解决方案：现代EDR/XDR平台大多具备异常账户行为检测功能，例如在非工作时间登录、使用非常用账户访问敏感资源等，可以结合账户发现功能，构建立体的防御体系。

8. 高级话题：隐藏用户与Windows认证流程的交互

要更深层次理解隐藏用户的生效点，需要简要了解Windows的交互式登录流程。当你在登录界面输入凭据并点击确定后，大致经历以下过程：

  1. Winlogon：图形化登录界面进程，负责展示用户列表（从何处获取？）。
  2. Credential Providers：凭据提供程序，决定登录界面的样式和可用的登录选项（如密码、PIN、指纹）。它们会调用LsaEnumerateLogonSessions或相关API来获取可显示的用户列表。正是这里，系统应用了过滤逻辑，过滤掉那些设置了“不显示在登录UI”标志位（即我们修改的F值位）以及可能过滤掉以$结尾的本地账户。
  3. LSASS：本地安全机构子系统服务。它接收来自Credential Provider的登录请求，与SAM数据库交互验证用户名和密码。
  4. SAM数据库：存储用户凭据哈希和账户属性的最终权威来源。

“隐藏”操作主要作用于第2步（Credential Provider枚举阶段）。只要账户在SAM（第4步）中有效，并且LSASS（第3步）能够验证其凭据，登录在技术上就是可行的。因此，即使账户被从登录界面隐藏，你仍然可以通过其他方式“指定用户名”来登录，例如：

  • 在锁屏界面，按Ctrl+Alt+Del后，手动输入用户名和密码。
  • 使用runas /user:hiddenuser cmd.exe命令。
  • 在远程桌面连接时，直接输入隐藏的用户名和密码。
  • 将该账户配置为服务的登录身份。

这进一步说明了“隐藏”的局限性：它主要是一种UI层面的过滤，而非真正的安全隔离。真正的安全依赖于强密码、账户权限控制和全面的审计日志。