Windows 刪除用戶提示「用戶不屬於此組」完整解決方案

遇到無法刪除的異常用戶帳戶（如 server$、admin$），提示「用戶不屬於此組」，且該帳戶不屬於任何用戶組卻擁有管理員權限，通常是系統被入侵、攻擊者克隆管理員 SID 建立的隱藏後門帳戶。常規 GUI 與 net user 命令均無法刪除，需通過註冊表直接操作 SAM 數據庫清理。

核心原理

Windows 將用戶帳戶信息存儲在 HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users 中。攻擊者通過克隆管理員的 SAM 項創建新帳戶，但未在組成員屬性表中註冊，導致用戶管理工具無法識別其組隸屬關係，從而拒絕刪除操作。解決思路：提升權限訪問 SAM → 定位並刪除對應鍵值 → 恢復權限 → 重啟。

分步操作流程（以 regedit 為例）

1. 獲取 SAM 完整控制權限

1. 運行 regedit，定位到 HKEY_LOCAL_MACHINE\SAM\SAM。
2. 右鍵點擊 SAM 鍵 → 「權限」 → 「高級」 → 將 Administrators 組權限改為 完全控制，勾選「替換子對象權限條目」。
3. 確定保存，關閉註冊表編輯器。

2. 定位並刪除目標帳戶鍵值

1. 重新打開 regedit，展開至：
   HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\Names
2. 找到異常帳戶（如 Server$），記下其 類型值（Type 值），通常為類似 000003E8 的十六進制數字，對應 Users 根鍵下的同名子鍵。
3. 依次刪除以下兩個項：
   ① HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\Names\Server$
   ② HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\000003E8（即步驟 2 記下的類型值對應的鍵）

3. 恢復 SAM 權限並重啟

1. 再次打開 regedit，將 HKEY_LOCAL_MACHINE\SAM\SAM 的 Administrators 權限恢復為 僅「寫入 DAC」和「讀取控制」。
2. 關閉註冊表，重啟伺服器。

關鍵注意事項

• 操作前務必導出 SAM 分支備份（右鍵導出 .reg 文件），防止誤刪導致系統無法登入。
• 若使用 regedt32.exe（舊版註冊表編輯器），權限修改路徑為「安全」菜單，邏輯相同。
• 刪除後建議立即修改所有管理員密碼，檢查系統完整性，排查入侵途徑。

管理員良習提醒： 定期審核本地用戶列表，若發現「不屬於任何組」且擁有管理權限的陌生帳戶，極大概率為管理員帳戶被克隆，應立即按上述流程清理並加固系統。