黑客攻击入侵，在取得webshell进行提权后，为了防止用户修改用户名密码，或者做了一些安全防范封堵了漏统，导致自己失去一台肉鸡，都会在系统中建立一个隐藏账户，这个账户可以在用户完全不知情的情况下创建，方法如下：
首先打开注册表编辑器regedit，找到[HKEY_LOCAL_MACHINE\SAM\SAM]这个里面存贮了Windows系统的所有用户信息，右键这个键值，选择权限，添加现在用的这个账户的完全控制权限，然后刷新就会多出Domains这个子项，打开Account项，然后再打开users，这里面就是系统用户信息，点开Names一项就看到了所有用户。现在我们添加一个账户，开始-运行 cmd，输入net
user haohao$ 123 /add 这样就添加了一个账户，$在命令行下是不显示的，所以输入net user查看，不会看到haohao$这个账户，但是在计算机管理的本地用户和组中是可以看到的。下面就解决这个问题，刷新注册表，会发现Names多了一个haohao$项，打开发现键值为0X3ED，我们在Users这项会发现多了一个000003ED的项，里面有F和V两个键值，然后找到administrator这个账户，查看对应的F键值，把这个键值覆盖掉haohao$对应的F键值，然后分别导出haohao$和000003ED这两个键值，然后cmd删除haohao$这个账户，net user haohao$ /del，成功后再导入刚才的haohao$和000003ED这两个注册表文件，导入成功后在net user和计算机管理中都看不到haohao$这个账户，但是其实这个账户是真实存在的而且是管理员权限，验证下，cmd输入runas /profile /user:haohao$ cmd.exe回车输入密码，这样就启动一个以haohao$账户的cmd窗口，用这个窗口可以创建其他账户，说明已经是管理员权限，最后建议把注册表SAM键值的权限改回默认，这样就成功在系统中建立了一个隐藏的管理员账户。