揭密駭客隱藏帳號技術：從建立、隱藏到偵測清除全流程

駭客入侵後常建立隱藏帳號作為持久化後門。本文完整揭露三種隱藏等級技術，並提供系統管理員偵測與清除對策。

等級一：命令列建立 $ 尾碼帳號 (入門級)

net user kao$ 123456 /add
net localgroup administrators kao$ /add

特徵：net user 列表不顯示，但「電腦管理 → 本地使用者和群組」明顯可見。僅能騙過粗心管理員。

等級二：登錄檔 SAM 替換法 (進階級)

1. 用 regedt32.exe 給 Administrators 群組 HKEY_LOCAL_MACHINE\SAM\SAM 完全控制權限 (XP 直接在 regedit 右鍵權限設定)。
2. 導出隱藏帳號 kao$ 對應鍵值 (0x3e9) 與 Administrator (0x1f4) 的 F 值。
3. 用記事本將 Administrator 的 F 值覆蓋隱藏帳號的 F 值，刪除原帳號，匯入修改後的 .reg。
4. 再次用 regedt32.exe 移除 Administrators 對 SAM 的所有權限，切斷管理員修改登錄檔管道。

效果：net user、電腦管理、一般登錄檔編輯器均看不見帳號，極度隱蔽。

等級三：專用工具 HideAdmin 一鍵建立 (腳本級)

命令列執行 HideAdmin kao$ 123456 即完成等級二同等效果，適合腳本自動化部署。

管理員偵測與清除對策

• $ 尾碼帳號：net localgroup administrators 或電腦管理直接可見，刪除即可。
• 登錄檔隱藏帳號：對比 HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\Names 與電腦管理帳號列表，多出者即為隱藏帳號，刪除對應項。
• 權限被鎖死的隱藏帳號：啟用群組原則稽核：「稽核原則變更、登入事件、程序追蹤」→ 事件檢視器記錄隱藏帳號登入時間與名稱 → net user 隱藏帳號 新密碼 強制失效。

防禦建議：定期稽核本地帳號、啟用登入稽核、限制實體存取、部署 HIDS 監控 SAM 登錄檔異動。