从零开始学网络安全第三天

Windows 用户、组管理与账户安全完整教程一、学习目标理解用户账户核心概念熟练掌握用户账户创建、日常运维全流程操作理解用户组的设计作用能够独立完成自定义组创建、成员增减管理结合网络安全与等保规范从企业落地角度分析用户、权限、隐藏账户相关安全风险与防护手段。二、Windows 用户账户基础管理一核心基础概念用户账户由用户名、登录密码、唯一安全标识符 SID 组成不同账户对应差异化系统资源访问权限依靠 SID 区分身份实现精细化权限管控。SID 关键特性账户删除后新建同名用户会生成全新 SID新旧账户权限、加密文件、证书完全不互通。等保 2.0 三权分立规范企业账户设计标准系统管理员负责新建、删除、修改用户与用户组安全管理员统一分配资源权限、划分角色权限审计管理员查看系统日志、审计登录与操作行为保障合规。二系统内置账户分类1. 人工登录使用账户普通运维 / 员工账户Administrator本地最高权限管理员拥有服务器无限制操作权限生产环境建议重命名、限制本地 / 远程登录降低爆破风险。Guest来宾低权限账户默认闲置企业环境必须禁用防止匿名入侵。2. 系统后台服务专用账户无手动登录界面系统进程自动调用SYSTEM本地系统系统最高权限服务账户支撑底层核心进程运行LOCAL SERVICE本地服务最小权限账户仅可访问本机本地资源用于普通后台服务NETWORK SERVICE网络服务具备基础网络访问权限DNS Client、DHCP Client 等联网服务默认使用该账户。三用户账户常规运维操作服务器管理器 / 本地用户和组创建用户时四大密码配置选项用户下次登录时须更改密码用户不能更改密码密码永不过期账户已禁用。日常管理操作新建用户、重置密码、重命名账户、启用 / 禁用账户、删除闲置账户。重要风险提示重置账户密码会导致该用户加密文件、保存网页凭证、个人安全证书全部失效丢失操作前必须提前备份相关数据。权限管控配套工具本地安全策略通过「用户权限分配」「安全选项」管控账户登录、系统操作权限。四命令行快速管理用户net user1. 基础语法plaintextnet user [用户名] [密码] /add2. 高频实操命令创建新用户net user john 123 /add将用户加入管理员组net localgroup administrators john /add删除用户net user john /delete修改用户密码net user john newpassword查看用户详细信息net user john启用 / 禁用账户net user john /active:yes/net user john /active:no3. 常用参数说明/domain针对域控制器执行账户操作/passwordchg:{yes|no}控制用户是否允许自行修改密码/passwordreq:{yes|no}规定账户是否必须设置密码。4. 使用限制用户名最长 20 字符密码最长 127 字符参数间必须用空格分隔带空格的名称需要用英文双引号包裹。三、Windows 组账户管理一组核心概念组是批量用户的集合体权限统一授予组组内所有成员自动继承对应权限。 标准化管理思路先按部门 / 项目分组再对组分配权限遵循最小权限安全原则大幅简化人员变动后的权限维护。二系统内置组两大分类1. 静态内置组管理员手动增减成员Administrators系统超级管理员组拥有服务器全部操作权限Users标准普通用户组无法修改系统配置、安装软件新建普通用户默认自动加入该组Guests来宾低权限组对应 Guest 账户Power Users兼容老旧系统权限介于管理员与普通用户之间Backup Operators可绕过安全权限备份、还原服务器文件Remote Desktop Users允许账户远程桌面登录服务器Print Operators负责本地打印机管理维护。2. 动态内置组系统自动匹配成员无法手动修改Authenticated Users所有成功完成身份验证的合法用户不包含 Guest 来宾Interactive当前正在本机本地登录的所有用户Everyone包含本机全部账户、来宾、匿名访问用户开放权限风险极高企业共享尽量替换为 Authenticated Users。三组基础运维操作新建自定义业务组、修改组描述、添加 / 移除组成员、重命名组、清理废弃无用组支持批量将多名用户加入同一组统一分配资源访问权限。四、企业落地实操案例Windows Server 2022 文件服务器权限规划场景需求企业多部门员工共用文件服务器不同岗位、项目人员需要差异化文件夹访问权限。实施步骤前期规划按部门HR、技术、销售、项目汽车项目、保险项目划分人员权限层级批量创建每位员工独立用户账户根据部门、项目创建自定义用户组如 HR 组、技术工程师组、汽车销售组将对应员工添加至所属业务组针对共享文件夹直接给组分配访问权限不单独给单个用户授权员工离职、调岗仅需调整组成员即可。五、高级安全知识点Windows 隐藏账户黑客持久化后门技术一隐藏账户定义与风险场景隐藏账户是创建后常规可视化工具无法直接查看的管理员账号主要两类用途普通用户隐藏私人登录账号黑客入侵后创建后门隐藏管理员账号实现长期无感知远程持久化控制。二基础隐藏账户创建CMD 命令以管理员身份打开 CMD执行命令创建带$符号隐藏账户net user admin$ 11qq /add特性直接输入net user无法列出该账号但执行net user admin$可查询账户信息赋予管理员权限net localgroup administrators admin$ /add缺陷仅命令行隐藏「本地用户和组」图形界面仍能看到账号需修改注册表完成彻底隐藏。三注册表克隆影子管理员账号完全隐藏后门注册表权限配置 打开regedt32.exe定位路径HKEY_LOCAL_MACHINE\SAM\SAM右键权限给 Administrators 账户勾选「完全控制」保存后重启注册表。导出账户注册表配置 进入路径HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\Names分别导出隐藏账户 admin$、默认管理员 Administrator 对应的注册表项权限克隆 打开 Administrator 注册表文件复制「F」字段完整内容替换隐藏账户注册表内「F」字段导入隐藏后门 CMD 删除临时账户net user admin$ /del双击修改后的注册表文件完成导入 恢复 SAM 注册表默认权限图形界面、普通命令均无法查到该账号验证远程登录隐藏账号whoami显示为管理员身份query user可看到隐藏账户登录记录。六、账户后门检测方法安全运维排查手段1. 注册表全量查询检测所有隐藏账户执行命令读取全部注册账户包含影子后门账号reg query HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\Names2. 系统日志审计分析定位隐藏账户登录行为打开事件查看器通过登录事件 ID 排查异常登录事件 ID 4624账户登录成功记录事件 ID 4625账户登录失败记录 即使攻击者手动删除登录日志系统仍会记录执行删除操作的账户以此暴露隐藏后门账号。七、整体安全管理规范企业防护核心要点账户基础安全 禁用默认 Guest 来宾账户修改默认 Administrator 管理员名称全体账户配置强密码并定期轮换员工离职立即禁用或删除对应账户。权限最小化原则 普通员工禁止加入 Administrators 等高权限内置组统一通过组分配资源权限减少单独用户授权。动态组权限管控 谨慎使用 Everyone 组开放共享权限避免内网数据泄露优先使用 Authenticated Users。系统服务账户管控 SYSTEM、NETWORK SERVICE 等高权限服务账户禁止用于员工日常登录。后门账户防护 定期通过注册表、系统登录日志巡检隐藏影子账户限制普通用户管理员 CMD、注册表操作权限防止黑客创建持久化后门。