Скрытые юзеры в винде - как узнать?

Тема в разделе "WASM.WIN32", создана пользователем betrayer, 20 июл 2018.

  1. betrayer

    betrayer Member

    Публикаций:
    0
    Регистрация:
    25 мар 2018
    Сообщения:
    42
    Столкнулся с такой странной ситуацией. На компе (ОС win7x64) есть скрытый пользователь (определил через net user). Это не стандартное имя, а чей-то левый акк. Но как он туда попал и где находятся настройки этих юзеров? Гугл указывает на [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows
    NT\CurrentVersion\Winlogon\SpecialAccounts\UserList] , якобы там можно создать таких юзеров. Это я знаю, но у меня такого пути вообще нет (заканчивается на winlogon)? А юзер есть.
     
  2. UbIvItS

    UbIvItS Well-Known Member

    Публикаций:
    0
    Регистрация:
    5 янв 2007
    Сообщения:
    3.528
  3. Коцит

    Коцит Member

    Публикаций:
    0
    Регистрация:
    31 янв 2017
    Сообщения:
    74
    betrayer,
    через WMI можно подглядеть за юзерами..
    в ком.строке: wmic, и дальше useraccount (управление учётными записями)
    выводит табличкой всю портянку..
    если нужен краткий список, то так: useraccount list brief /format:list
    имеется мощная справка по каждой команде: /?
    отправить юзера в топку можно через дэлет: useraccount/?
     
  4. betrayer

    betrayer Member

    Публикаций:
    0
    Регистрация:
    25 мар 2018
    Сообщения:
    42
    UbIvItS, типа того. Знакомые знакомых, "тыжпрограммист", посмотри, чего контактик виснет. Удалил разный мусор, и нашел юзера.
    Кстати, после моих экспериментов с этими юзерами (на своем уже компе) какого-то черта заблокировалась вся группа админов, только восстановил через erd.

    Коцит, спасибо, будем смотреть. Но интересно, где они сидят, и как самому создать такого скрытого юзера.
     
    example нравится это.
  5. example

    example New Member

    Публикаций:
    0
    Регистрация:
    25 апр 2017
    Сообщения:
    24
    Тоже интересно, сделай полный образ системы и залей куда нибудь...
     
  6. Коцит

    Коцит Member

    Публикаций:
    0
    Регистрация:
    31 янв 2017
    Сообщения:
    74
    где-то в реестре нужно искать..
    например можно сделать копию текущего реестра (экспорт в regedit),
    а потом создать юзера и опять сохранить реестр.
    теперь сравнив бэкапы до и после, можно вычислить куст

    так-же и через поиск (после создания юзера):
    Win+F --> Файлы и папки --> Дата --> Созданные за день --> Сортировать по времени
     
  7. betrayer

    betrayer Member

    Публикаций:
    0
    Регистрация:
    25 мар 2018
    Сообщения:
    42
    Короче, оказалось что это какой-то юзер от Nvidia, т.е. что его якобы создает дров видеокарты. Гугл так пишет. Но все равно интересно, какие права нужны для такого юзера и как оно делается. Буду экспериментировать с реестром.
    Это как?
     
  8. UbIvItS

    UbIvItS Well-Known Member

    Публикаций:
    0
    Регистрация:
    5 янв 2007
    Сообщения:
    3.528
    сделай загрузочную флэху типа с линем и утилиткой dd скопируй системный раздел в файл.