漏洞标题：微软全系统建立隐藏账户漏洞
相关厂商：微软
提交时间：2010-08-31
公开时间：2010-08-31
漏洞类型：设计错误
危害等级：低
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞详情：可以通过特殊字符建立隐藏账户。命令行界面下不显示，用户管理面板中显示为空，非$。

详细说明：
    可以通过智能ABC输入法中V9里的空白字符建立隐藏帐号，具体操作如下：
    Dos/Cmd命令行下输入：net user "" test /add&net localgroup administrators "" /add
    注意其中的空白字符，非空格，而是输入法中输入v9产生的空白字符！
    建立后命令行下用net user命令查看账户显示为空白，在用户界面中同样显示空白。
    建立此帐号后无法在远程桌面/Mstsc中直接输入登陆，需要在远程桌面的选项面板的常规选项卡中的用户名一栏里用输入法输入v9，选择空白字符后再次连接。

漏洞证明：
    Dos/Cmd命令行下输入：net user "" test /add&net localgroup administrators "" /add，执行后查看用户管理界面,看看是否有个空白帐号。

修复方案：
    过滤这些特殊字符吧。

厂商回应：
    未能联系到厂商或者厂商积极拒绝。

博主评论：
    实际上命令行下并不是不显示，而是因为空白字符，所以输出也是空白。但是你会发现“命令成功完成。”上边多了一行空行，就是这个字符占位置了。怎么说呢，这种东西太鸡肋了，纯属自娱自乐用的。