Windows 隱藏帳戶原理與防範駭客後門技術

駭客入侵後常建立隱藏管理員帳戶作為後門，此類帳戶不出現在「使用者帳戶」與 net user 清單中，極難發現。本文從防禦角度解析其原理與偵測方法。

駭客常見手法（簡述）

1. 建立一般帳戶（如 test$），提升為管理員群組。
2. 修改登錄檔 HKLM\SAM\SAM 權限取得完整控制。
3. 將管理員帳戶（000001F4）的 F 值（權限控制資料）複製覆蓋到隱藏帳戶（00000404）的 F 值，使其擁有管理員權限。
4. 刪除帳戶「空殼」（net user test$ /del），匯入修改後的登錄檔，完成隱藏後門。

防範與偵測對策

• 定期稽核帳戶： 使用 wmic useraccount get name,status 或 PowerShell Get-LocalUser 列出所有帳戶，包含隱藏帳戶。
• 監控登錄檔異動： 部署檔案完整性監控（FIM）工具監視 HKLM\SAM\SAM\Domains\Account\Users 變更。
• 強制密碼原則： 複雜度、長度、歷史記憶，增加破解難度。
• 限制登錄檔編輯權限： 一般使用者不應有 HKLM\SAM 寫入權限。
• 使用安全審核原則： 開啟「稽核帳戶管理」事件，記錄帳戶建立/刪除/修改。

隱藏帳戶是永遠不會被防毒軟體查殺的後門，唯有主動稽核與權限最小化才能有效防範。