首页
学习
活动
专区
工具
TVP
发布
精选内容/技术社群/优惠产品,尽在小程序
立即前往

如何将动态HKEY_USERS\SID中的子注册表项提取到reg文件中,并使用Powershell替换reg文件中的SID

动态HKEY_USERS\SID中的子注册表项提取到reg文件中,并使用Powershell替换reg文件中的SID的步骤如下:

  1. 首先,了解动态HKEY_USERS\SID和注册表项的概念:
    • 动态HKEY_USERS\SID:在Windows操作系统中,每个用户都有一个唯一的安全标识符(SID),动态HKEY_USERS\SID是根据用户登录时生成的SID动态创建的注册表项。
    • 注册表项:注册表是Windows操作系统中存储配置信息的一个重要组成部分,注册表项是注册表中的一个单元,类似于文件夹,包含键值对等数据。
  • 提取动态HKEY_USERS\SID中的子注册表项到reg文件:
    • 打开注册表编辑器:在Windows操作系统中,按下Win + R键,输入"regedit"并回车,打开注册表编辑器。
    • 定位到动态HKEY_USERS\SID:在注册表编辑器中,展开HKEY_USERS,找到以"S-1-5-..."开头的SID,这些是动态创建的用户注册表项。
    • 选择需要提取的子注册表项:在SID下找到需要提取的子注册表项,右键点击该项,选择"导出",将其导出为.reg文件。
  • 使用Powershell替换reg文件中的SID:
    • 打开Powershell:在Windows操作系统中,按下Win + X键,选择"Windows PowerShell"或"Windows PowerShell(管理员)"。
    • 使用Powershell替换SID:使用以下Powershell脚本将.reg文件中的SID替换为目标SID:
    • 使用Powershell替换SID:使用以下Powershell脚本将.reg文件中的SID替换为目标SID:
    • 将上述脚本中的$sourceFile替换为实际的.reg文件路径,$targetSID替换为目标SID,$outputFile替换为输出的.reg文件路径。
  • 完成替换后的reg文件:
    • 打开替换后的.reg文件,确认其中的SID已被替换为目标SID。
    • 双击.reg文件,按照提示将其导入到注册表中。

这样,你就可以将动态HKEY_USERS\SID中的子注册表项提取到reg文件中,并使用Powershell替换reg文件中的SID了。

关于腾讯云相关产品和产品介绍链接地址,由于要求不能提及具体品牌商,建议在腾讯云官方网站上查找相关产品和文档,以获取更详细的信息。

页面内容是否对你有帮助?
有帮助
没帮助

相关·内容

内网渗透|获取远程桌面连接记录与RDP凭据

image-20210524084553447 看也可以通过 PowerShell 命令行来实现,首先通过以下命令枚举指定注册表项下所有的子项,即当前用户所连接过所有的主机名: dir "Registry...image-20210524093321775 然后使用以下命令查询指定注册表项注册表键值,即查看连接所使用用户名: (Get-ItemProperty -Path "Registry::HKEY_CURRENT_USER...已登录用户注册表信息会同步保存在 HKEY_USERS\ 目录下, 要对应每个用户 SID: ?...image-20210524085946713 也就是说,如果当前主机登录了两个用户,那么这两个用户注册表信息都会保存在 HKEY_USERS\ 下。...和 CryptProtectMemory),检索其中凭据然后将凭据写入主机上某个文件

7.5K30

内网渗透|获取远程桌面连接记录与RDP凭据

如下图所示,每个注册表项保存连接服务器地址,其中键值 UsernameHint 对应登录用户名: image-20210524084553447 看也可以通过 PowerShell 命令行来实现...Server Client\Servers" -Name image-20210524093321775 然后使用以下命令查询指定注册表项注册表键值,即查看连接所使用用户名: (Get-ItemProperty...已登录用户注册表信息会同步保存在 HKEY_USERS\ 目录下, 要对应每个用户 SID: image-20210524085841555 可以看到,当前系统登录三个用户,...image-20210524085946713 也就是说,如果当前主机登录了两个用户,那么这两个用户注册表信息都会保存在 HKEY_USERS\ 下。...和 CryptProtectMemory),检索其中凭据然后将凭据写入主机上某个文件

4.4K10
  • 内网渗透测试:初探远程桌面的安全问题

    如下图所示,每个注册表项保存连接服务器地址,其中键值UsernameHint对应登录用户名: 看也可以通过 PowerShell 命令行来实现,首先通过以下命令枚举指定注册表项下所有的子项,即当前用户所连接过所有的主机名...已登录用户注册表信息会同步保存在HKEY_USERS\目录下,要对应每个用户 SID: 可以看到,当前系统登录三个用户,分别有三个子项。...也就是说,如果当前主机登录了两个用户,那么这两个用户注册表信息都会保存在HKEY_USERS\下。...“000003EA”: 然后将000001F4F值粘贴到000003EAF值,点击确定: 然后从注册右键导出子项000003EA和 whoami ,使用net user whoami /del...最后,再将刚才导出两个后缀为 .reg 注册表项导入注册: 这样我们隐藏账户 whoami 就创建好了。

    3.7K40

    Windows支持诊断工具(MSDT)远程代码执行漏洞(CVE-2022-30190)分析复现修复

    URI执行任意PowerShell代码,当恶意文件保存为RTF格式时,无需受害者打开文件,即可通过资源管理器预览窗格在目标系统上执行任意代码。...下mmc.exe,这里是可以成功打开 那么这个payload肯定是没有问题,那么问题就出在我们上线csexe上,这里笔者尝试使用x86payload、使用powershell加载都以失败告终...,最后找到了解决方法,使用cs生成shellcode自己通过VirtualAlloc申请内存编译即可上线 然后编写代码实现将shellcode加载到内存空间,这里就用最简单VirtualAlloc...HKEY_USERS\$USER_SID\SOFTWARE\Microsoft\Office\$OFFICE_VERSION\Common\Internet\Server Cache 修复 禁用MSDT...URL协议 1、以管理员身份运行命令提示符 2、备份注册表项后,执行命令:reg export HKEY_CLASSES_ROOT\ms-msdt filename 3、再执行命令:reg delete

    1.9K20

    Windows之注册表介绍与使用安全

    注册表包含了每个计算机用户配置文件,以及有关系统硬件、已安装程序和属性设置信息。 可以使用注册表编辑器检查修改注册表。...在这个根键中保存了本地计算机硬件配置数据,此根键下关键字包括在SYSTEM.DAT,用来提供HKEY_LOCAL_MACHINE所需信息,或者在远程计算机可访问一组键。...在这个根键中保存了系统在运行时动态数据,此数据在每次显示时都是变化,因此,此根键下信息没有放在注册。 Win NT/2000/XP/2003: 无此根键。...1.4.2 导入和导出注册表项 通常情况下,通过双击注册文件(*.reg)也可将注册文件内容导入到注册表从而修改注册表。...在“数值数据”框,键入该值新数据,然后单击“确定”。 1.4.3.5 删除注册表项或值 单击要删除注册表项或值项。 在“编辑”菜单上,单击“删除”。 注意:可以从注册删除注册表项和值。

    1.6K20

    常规安全检查阶段 | Windows 应急响应

    ,甚至官方 autoruns 也发现不了 // 其中 {SID} 替换成用户 SIDHKEY_USERS\{SID}\SOFTWARE\Microsoft\Windows\CurrentVersion...\.NET CLR Data\Performance 排查思路就是把服务所有注册表项包含 Performance 子项,获取 Library 键值,验证文件签名 通过 powershell...在该注册表项,每个子项对应一个已知DLL文件,并且以DLL文件名称作为子项名称。...他们可以修改注册表项替换系统文件,以确保每次应用程序启动时都会加载恶意Shim代码。...当给定可执行文件被启动时,操作系统会检查注册 IFEO 设置。如果找到了对应注册表项,系统会自动启动所配置调试器程序,并将目标可执行文件作为参数传递给调试器。

    1K10

    Windows 权限提升

    替换服务文件造成权 注以:一种是用户对服务有权限,一种是对服务所在目录有权限。...更多Permissions和PermissionSet参数请阅读官方文档。 替换服务二进制文件 Get-ModifiableServiceFile #枚举所有服务,返回脆弱服务文件。...' #用原始可执行文件还原被替换服务二进制文件 ?.../d 0 /f#想一行命令完成可以使用 /f 和 & 命令链接字符 笔者遇到过修改之后查询值不生效,推荐直接注册修改或者组策略配置 开启之后对应注册表键值为1: reg query HKCU...后面的过程自然是替换对应二进制文件,笔者多次测试,发现均无法正常启动,无奈只能放弃,这里记录我使用payload。

    3.6K20

    权限维持分析及防御

    WMI,达到所谓文件。...DLL文件,在系统启动时将其加载到lsass.exe进程,就能够获取lsass.exe进程明文密码,这样即使用户更改密码并重新登陆,依然可以获取 (1)方法一 是使用mimikatz将伪造SSP...\Security Packages注册表项是否含有可疑DLL文件 检查C:\windows\system32\目录下是否存在可疑文件 第三方工具检查LSA是否有可疑DLL 3、SID History...History域后门特点: 在控制域控制器后,可以通过注入SID History属性完成持久化任务 拥有高权限SID用户可以使用PowerShell远程导出域控制器ntds.dll 如果不再需要通过...防范: 需要对PowerShell进行严格监视,启用约束语言模式 结语 一些经典权限维持方法 ---- 红客突击队于2019年由队长k龙牵头,联合国内多位顶尖高校研究生成立。

    1K10

    安全攻防 | Windows权限维持方法总结!

    /s test.reg regedit /s 1.reg 6.此时在用户组已经看不到test$用户,只能在注册能看到。...当一个可执行程序位于IFEO控制时,它内存分配则根据该程序参数来设定,而WindowsN T架构系统能通过这个注册表项使用与可执行程序文件名匹配项目作为程序载入时控制依据,最终得以设定一个程序堆管理机制和一些辅助机制等...这是因为屏幕保护程序是具有.scr文件扩展名可执行文件通过scrnsave.scr实用程序执行。...14 DLL劫持 DLL(Dynamic Link Library)文件动态链接库文件,又称”应用程序拓展”,是软件文件类型。...在Windows,许多应用程序并不是一个完整可执行文件,它们被分割成一些相对独立动态链接库,即DLL文件,放置于系统。当我们执行某一个程序时,相应DLL文件就会被调用。

    1.2K10

    横向移动与域控权限维持方法总汇

    这也是RID500账户能PTH原因 以及此注册表项,可以关闭UAC远程限制,即远程连接时UAC会失效,这样的话只要是administrators组用户都能PTH辣。...system32文件,然后修改注册表,使 hklm\system\currentcontrolset\control\lsa notification packages表项包括我们恶意dll文件,具体命令行操作如下...长期性注入(重启不失效) 把 mimikatzmimilib.dll放到系统C:\Windows\System32\ 目录下,并将 mimilib.dll 添加到注册使用这种方法,即使系统重启...它包括域中所有用户密码哈希值,为了进一步保护密码哈希值,使用存储在SYSTEM注册表配置单元密钥对这些哈希值进行加密。”...可以用刚刚提到VSS方法获取,也可以直接用以下命令从注册拉取. reg save hklm\system c:\system.hive Impacket impacket框架集成了许多好玩东西,

    1.5K20

    Windows系统安全|Windows获取用户密码

    运行,打开 SAM 文件,解锁修改密码 把 SAM 文件复制到原来电脑上,覆盖原文件 注意:这样只能修改密码,并不能知道密码明文 方法二:利用Copy-VSS.ps1脚本 利用nishang框架内...Hash 需要管理员权限执行,通过regsave选项将注册SAM、System文件导出到本地磁盘。...reg save hklm\sam sam.hive reg save hklm\system system.hive 使用mimikatz从sam.hive和system.hive文件获得NTLM...在日常网络维护,通过查看注册表项Wdigest,可以判断Wdigest功能状态。如果该项值为1,用户下次登录时,攻击者就能使用工具获取明文密码。...仅可以使用SID=500用户进行哈希传递攻击,而SID=500用户默认为administrator。所以,主机管理员最好也禁用administrator用户。

    2.5K21

    获取已控机器本地保存RDP密码

    FTP管理账户密码 共享资源文件访问密码 无线网络帐户密钥和密码 远程桌面身份凭证 EFS EAP/TLS 和 802.1x身份凭证 Credential Manager数据 以及各种调用了CryptProtectData...Key file,位于%WINDIR%\System32\Microsoft\Protect\S-1-5-18\User Master Key file同级目录还有一个Preferred文件,显示当前系统正在使用...第二、rdp密码存放位置 我们可以使用下面的方法得到所有该主机链接过机器,即查询注册reg query "HKEY_CURRENT_USER\Software\Microsoft\Terminal...Server Client\Servers" /s 高版本系统也可以使用下面的powershell脚本 <# .SYNOPSIS This script will list the logged-in...且可以使用下面的命令查看获取到所有的masterkey: dpapi::cache ? 一键化操作: ?

    2.8K20

    windows系统安全|Windows渗透基础大全

    ) Windows中加载执行PowerShell脚本 本地加载执行PowerShell脚本 远程下载执行PowerShell脚本 Windows批处理文件 Windows快捷键操作 Windows...运行窗口命令 Windows注册使用reg保存注册sam、system、security文件 Windows端口 Windows进程 监听端口netstat Windows反弹...更多关于PowerShell用法:PowerShell使用浅析 本地加载执行PowerShell脚本 在cmd当前目录下有PowerView.ps1脚本,执行其中Get-Netdomain模块...在这个根键中保存了本地计算机硬件配置数据,此根键下关键字包括在SYSTEM.DAT,用来提供HKEY_LOCAL_MACHINE所需信息,或者在远程计算机可访问一组键 HKEY_USERS...使用reg保存注册sam、system、security文件 以下命令需要管理员权限执行 reg save hklm\sam c:\users\mi\desktop\sam reg save hklm

    1.8K10

    BypassUAC技术总结

    ,dll加载也遵循着Know DLLs注册表项机制:Know DLLs注册表项指定DLL是已经被操作系统加载过后DLL,不会被应用程序搜索加载。...(5) WinSxS DLL替换:将目标DLL相关WinSxS文件恶意DLL替换为合法DLL。...在net4.0以前,若检查通过,会马上去查找COR_PROFILER指定注册表项,找到其dll路径加载 net4.0后,会先查找COR_PROFILER_PATH是否指定dll文件路径,若没有再去查找...COR_PROFILER指定注册表项,找到其dll路径加载。...这里拿事件查看器举例 操作-》打开保存目录-》文件目录路径处输入powershell-》弹出高权限powershell 以此内推,还有很多相似的管理工具可以这样利用 注册表劫持 Fodhelper.exe

    87830

    Windows 系统账户隐藏

    这两个项里都是存放了用户 test$ 信息。在这两个项上单击右键,执行 导出 命令,将这两个项值分别导出成扩展名为 .reg 注册文件。...0x007 隐藏用户配置文件 展开 [SAM\Domains\Account\Users\Users] 注册表项,找到 administrator 用户 RID 值 1f4,展开对应 000001F4...下面将这个键值数据全部复制,粘贴到 000003EB 项 F 键值,也就是将 administrator 用户 SID 赋给了 test$ 这样在操作系统内部,实际上就把 test 当做是 administrator...,test 成了 administrator 影子账户,与其使用同一个用户配置文件,test 0x008 删除隐藏用户 使用普通账户删除命令是无法删除隐藏账户,提示用户不属于此组 只能将删除注册表...[HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users]下对应帐户键值(共有两处),也就是刚刚创建 test$ 所产生那两个注册文件 删除完这两个注册表项

    3K40

    Windows之注册表介绍与使用安全

    注册表包含了每个计算机用户配置文件,以及有关系统硬件、已安装程序和属性设置信息。 可以使用注册表编辑器检查修改注册表。...在这个根键中保存了本地计算机硬件配置数据,此根键下关键字包括在SYSTEM.DAT,用来提供HKEY_LOCAL_MACHINE所需信息,或者在远程计算机可访问一组键。...在这个根键中保存了存放在本地计算机口令列表用户标识和密码列表。同时每个用户预配置信息都存储在HKEY_USERS根键HKEY_USERS是远程计算机访问根键之一。...在这个根键中保存了系统在运行时动态数据,此数据在每次显示时都是变化,因此,此根键下信息没有放在注册。 Win NT/2000/XP/2003: 无此根键。...1.4.2 导入和导出注册表项 通常情况下,通过双击注册文件(*.reg)也可将注册文件内容导入到注册表从而修改注册表。

    1.8K53

    Windows权方法汇总

    Windows下服务权限通常是SYSTEM。如果我们能够替换服务启动程序为我们恶意程序(如反弹shell),即相当于获得了SYSTEM权限,达到了目的。...易受攻击服务(Vulnerable Services ) 同样看脸且被动 这个攻击方法大致分两类 1.替换服务二进制文件。...此时如果我们执行一个恶意msi程序,即可达到权目的 同时需要注意一点是,这个注册表项不一定总是存在。...(比如我实验机 我们可以通过reg query来验证这两条注册表项情况 reg query HKCU\SOFTWARE\Policies\Microsoft\Windows\Installer /v...2.WPAD劫持 NBNS欺骗后我们就可以劫持WPAD域名,把自己伪造称WPAD返回自定义PAC文件。意味着我们可以把本地发出所有流量重定向。

    1.3K30
    领券