点评：Rootkit是一个或多个工具用来隐藏和控制计算机，这是越来越多地使用一些恶意软件，基于Windows的系统，更多的是用来隐藏Rootkit程序或进程。在rootkit注入系统，有些操作可以无需用户意识。因此，其隐蔽性很高，其危害是巨大的。下面的笔








Rootkit是一个或多个工具的隐藏和控制计算机，这是被一些恶意软件的应用越来越广泛。在基于Windows的系统，更多的是用来隐藏Rootkit程序或进程。在rootkit注入系统，有些操作可以无需用户意识。因此，其隐蔽性很高，其危害是巨大的。下面是一个例子来分析Rootkit及其反Rootkit技术。

实验环境：Windows XP SP2

工具:

黑客防守（Rootkit工具）

Rootkit钩分析器（rootkit分析工具）

IceSword（冰刃）

1。Rootkit

作者利用Rootkit进行高级管理员隐藏为例分析了Rootkit技术隐藏的超级管理员用户。

1。创建一个帐户

在命令提示符下输入以下命令（CMD）：

网络用户gslw test168美元/加

一个用户名和密码gslw美元test168普通用户通过两线以上建立的命令。为了实现最初的隐藏，我们后面加用户名数美元，所以我们不能通过在命令提示符下网用户看到用户。当然，我们也可以在本地用户和组的山姆下看到它。（图1）





U3000 U3000

2。用户权限

接下来，我们利用注册表提高gslw $用户程序并使其隐藏的管理员用户看不到命令行和本地用户和组。

第一步：打开注册表编辑器，找到hkey_local_machine 山姆山姆项目。因为管理员组没有操作权限的山姆项目的默认情况下，我们必须赋予。右键单击按键值选择权限，然后添加管理员组给予充分的控制权，最后刷新注册表在SAM.进入相关键值

第二步：定位到注册表hkey_local_machine 山姆山姆域帐户用户项，点击00000 1F4

注册表键，双击右侧的F键值，复制其值，然后单击00000 404注册表键（此项不一定相同），双击右侧的F键值，然后用重复的键值替换值（图2）。





U3000

第三步：404和00000美元的gslw注册表项分别是1.reg和2.reg。命令行下，输入命令网用户gslw $ /删除删除gslw $用户，然后双击1.reg和2.reg导入注册表，并最终取消管理员访问山姆的注册表项。

这样，美元的gslw用户提升到管理员，和用户是非常隐蔽的，除了注册表是无形的指挥和本地用户和组。这样一个隐藏的超级管理员用户常常被侵略者，它是很难让用户不是很高的这样一个管理员。用户不属于任何组织，但具有管理员权限，可以登录。

三.高级隐藏用户

综上所述，我们创建的用户的gslw美元比较隐蔽，但可以通过注册表出现。接下来我们利用rootkit工具先进隐藏，即隐藏用户注册表中。

也有在黑客防守工具包的工具，我们隐藏的文件只有两个注册表项的值，hxdef100.exe和

hxdef100.ini.hxdef100.ini是一个配置文件，并hxdef100.exe是一个程序文件，打开文件，hxdef100.ini定位在{ }进入隐藏regkeys。添加注册表键值gslw $ 00000 404，我们想隐藏，即在注册表中的用户输入，然后保存退出（图3）。





U3000 U3000