⚠️ 重要聲明

本技術僅供安全研究、滲透測試授權環境、系統管理學習參考。未經授權建立隱藏/影子帳戶屬非法入侵行為，違反《刑法》與《資安法》，嚴禁用於惡意用途。請遵守法律法規與道德規範。

原理簡述

利用登錄 HKEY_LOCAL_MACHINE\SAM\SAM 中儲存的帳戶雜湊與權限位元，將普通帳戶的權限結構複製覆蓋為 Administrator 的權限結構，並刪除原帳戶只保留登錄殘留，實現「隱藏但擁有系統權限」的影子帳戶。

實驗步驟（需系統管理員權限）

1. 建立一般使用者 zhangsan / 密碼 123。
2. 執行 regedit，瀏覽至 HKEY_LOCAL_MACHINE\SAM\SAM（預設無權限，需先將 SAM 機碼擁有者改為 Administrators、給予完全控制、重新整理）。
3. 展開 Domains\Account\Users，找到 Administrator (0x1F4) 與 zhangsan (0x3E8 等) 的鍵值。
4. 開啟 Administrator 對應的 F 值（二進位權限結構），複製全部十六進位資料。
5. 開啟 zhangsan 對應的 F 值，貼上覆蓋原資料。
6. 同理處理 Users 子機碼下對應的權限鍵值 (0x3EC)。
7. 將 zhangsan 的兩組機碼（帳戶本體 + Users 權限）匯出為 .reg 檔備份。
8. 在「使用者帳戶」中刪除 zhangsan 帳戶（登錄殘留保留）。
9. 雙擊匯入先前匯出的兩個 .reg 檔，將修改過的登錄結構寫回 SAM。
10. 重新開機，該帳戶將不顯示在歡迎畫面，但可用 runas /user:zhangsan cmd 或切換使用者輸入帳密登入，擁有系統管理員權限。

偵測與防禦

• 定期稽核 HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users 下異常權限位元（F 值非預設值）。
• 使用 Sysinternals Autoruns、PowerShell Get-LocalUser 掃描隱藏帳戶。
• 啟用「稽核安全性事件」（群組原則 → 進階稽核設定 → 帳戶管理），記錄帳戶建立/刪除/權限變更事件。
• 部署 EDR/XDR 解決方案監控 SAM 登錄異常寫入行為。