Windows XP 隱藏帳號完整查看與還原圖文教學：註冊表深度探勘

Windows XP 中，「控制台→使用者帳號」、「電腦管理→本機使用者和群組」、與「註冊表 SAM 資料庫」看到的使用者清單往往不一致。惡意軟體、後門程式常建立隱藏帳號潛伏系統，僅能透過註冊表發現。本文詳細說明如何透過權限調整查看 SAM 資料庫中的隱藏帳號，並說明還原權限後的再次查看步驟，附完整圖文流程。

三種查看管道的差異

核心操作：調整 SAM 金鑰權限以查看隱藏帳號

前置條件

• 必須以 Administrator 權限帳號 登入
• 備份註冊表 (檔案 → 匯出) 以防操作失誤

步驟詳解

1. 開啟註冊表編輯器：Win+R → regedit → Enter
2. 導覽至：HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\Names
3. 右鍵點選 Names 金鑰 → 權限
4. 點選 進階 → 擁有者 分頁 → 選擇 Administrator → 勾選 取代子容器和物件的擁有者 → 套用
5. 回到權限視窗 → 選擇 Administrator → 勾選 完全控制 (允許) → 確定
6. 關閉註冊表編輯器 (關鍵步驟：必須關閉再重開才能生效)
7. 重新開啟 regedit，導覽至相同路徑，即可看到原本隱藏的子金鑰 (帳號名稱)

實戰判讀：如何識別可疑隱藏帳號

• 命名異常： 亂碼、單字母、系統保留名稱變體 (如 Admin1, Backup, SQLAgent)
• 建立時間異常： 對應金鑰的 LastWrite 時間 (需用工具讀取) 與已知管理動作不符
• 群組成員資格： 在 HKLM\SAM\SAM\Domains\Account\Users\\ 中檢查 V 值 (使用者類型)，0x00000003 為一般使用者，0x00000002 為系統帳號
• 密碼空白/弱密碼： 結合 HKLM\SAM\SAM\Domains\Account\Users\\V 結構分析 (需專業工具如 pwdump、QuarksPwDump)

還原權限並再次查看 (防止被發現竄改)

1. 再次開啟 regedit，導覽至 HKLM\SAM\SAM\Domains\Account\Users\Names
2. 右鍵 Names → 權限 → 進階 → 擁有者 → 選擇 SYSTEM → 勾選取代子容器 → 套用
3. 移除 Administrator 的「完全控制」權限，僅保留 SYSTEM 與 Administrators 群組的預設權限
4. 關閉並重開註冊表編輯器驗證：隱藏帳號應再次消失

防禦建議：主動發現與防範隱藏帳號

1. 定期稽核： 使用 net user、wmic useraccount get name,status,sid、PowerShell Get-LocalUser 對比三管道差異
2. 帳號原則強化： 強制密碼複雜度、最大密碼期限、鎖定閾值
3. 審核原則啟用： 本機安全性原則 → 稽核原則 → 稽核帳號管理 (成功/失敗) → 事件檢視器追蹤 Event ID 4720 (建立帳號)、4722 (啟用帳號)、4738 (修改帳號)
4. 部署 HIDS/EDR： 監控 SAM 檔案 (%SystemRoot%\System32\Config\SAM) 變更、註冊表權限異動

法律提醒： 未經授權存取、修改他人電腦註冊表或帳號資訊可能觸犯《刑法》第 359 條 (妨害電腦使用罪) 或《資安管理法》相關條款。本文僅供合法系統管理員對自管電腦進行資安稽核參考。