教你搞定不会被杀毒软件查杀的Windows后门

教你搞定不会被杀毒软件查杀的Windows后门（精选1篇）

篇1：教你搞定不会被杀毒软件查杀的Windows后门

在入侵目标后，通常会在目标电脑上留下后门，以便长期控制这台电脑，可是后门终归是 工具，是杀毒软件的查杀目标之一，可能杀毒软件升级后后门就被删除了。但是有一种后门是永远不会被杀毒软件查杀的，就是隐藏的系统克隆帐户。

克隆帐户是最隐蔽的后门

在Windows中（XP、Vista、Windows7等均如此），每一个帐户在注册表中都有对应的键值，这个键值影响着该帐户的权限。当 在注册表中动手脚复制键值后，就可以将一个用户权限的帐户克隆成具有管理员权限的帐户，并且将这个帐户进行隐藏。隐藏后的帐户无论是在用户管理还是命令提示符中都是不可见的。因此一般的计算机管理员很少会发现隐藏帐户，危害十分巨大。

用命令行模式添加帐户

点击开始运行，输入cmd运行命令提示符，输入如下命令：net user test$ /add并回车，这样就可以在系统中建立一个名为test$的帐户。继续输入：net localgroup administrators test$ /add并回车，这样就可以把test$帐户提升到管理员权限。

● 添加一个隐藏帐户

点击开始运行（Win7中可以在开始菜单的搜索框里面输入regedt32或者regedit），输入regedt32.exe后回车，弹出注册表编辑器，

在regedt32.exe中来到HKEY_LOCAL_MACHINESAMSAM处

点击编辑菜单权限，在弹出的SAM的权限编辑窗口中选administrators帐户，在下方的权限设置处勾寻完全控制，完成后点击确定即可。

● 设置注册表操作权限

在运行中输入regedit.exe运行注册表编辑器，定位到HKEY_LOCAL_MACHINESAMSAMDomainsAccountUsersNames处，点击隐藏帐户test$，在右边显示的键值中的类型一项显示为0x404，向上来到HKEY_LOCAL_MACHINESAMSAMDomainsAccountUsers处，可以找到00000404这一项，这两者是相互对应的，隐藏帐户test$的所有信息都在00000404这一项中。同样的，我们可以找到administrator帐户所对应的项为000001F4。

将test$的键值导出为test$.reg，同时将00000404和000001F4项的F键值分别导出为user.reg，admin.reg。用记事本打开admin.reg，将其中F值后面的内容复制下来，替换user.reg中的F值内容，完成后保存

● 查找隐藏帐户对应键值

在命令提示符中输入net user test$ /del命令，将我们建立的隐藏帐户删除。别紧张，这一步只是删除了隐藏帐户的空壳，就像入侵后清理痕迹一样，做好的隐藏帐户是不会发生改变的。最后，我们双击test$.reg和user.reg这两个注册表文件，将它们导入到注册表中就大功告成了。