建立與刪除 Windows 隱藏帳號：從入門 CMD 法到註冊表 SAM 進階隱藏原理揭密

前言

駭客入侵後常建立隱藏帳號作為後門。了解隱藏原理才能有效偵測清除。管理員常檢查「命令提示字元」net user 與「電腦管理」→「本地使用者和群組」，因此隱藏技術核心在於同時騙過這兩處。

一、入門級：命令列建立 user$ 偽隱藏帳號

net user kao$ 123456 /add
net localgroup administrators kao$ /add

net user 查不到 kao$，但「電腦管理」→「使用者」清單中明顯可見。**僅能騙過 CMD，無法隱藏 GUI**，屬入門級手法。

二、進階級：註冊表 SAM 區真正隱藏 (同時騙過 CMD 與 GUI)

1. 需取得 HKEY_LOCAL_MACHINE\SAM\SAM 修改權限。
   Win XP/2003：執行 regedt32.exe → 安全性 → 權限 → Administrators 給予「完全控制」。
   Win XP 亦可直接在 regedit 右鍵鍵值 → 權限設定。
2. 展開 SAM\SAM\Domains\Account\Users，找到目標帳號對應的鍵值 (如 000001F4)，修改 V 二進位值：
   將位移 0038 處的 11 改為 10 (關閉「正常帳號」旗標)，或設定 UserFlags 相關位元。
3. 重新整理「電腦管理」與 net user，帳號雙雙消失，但仍可用 runas /user:kao$ cmd 或遠端登入驗證帳號存在。

刪除隱藏帳號

同樣需 SAM 權限，在註冊表刪除對應鍵值，或使用 net user kao$ /delete (若帳號名已知)。安全稽核建議定期匯出 SAM 區比對異常帳號。

防禦建議： 限制註冊表編輯器存取、啟用帳號稽核原則、定期檢查「本地使用者和群組」與 net user 差異、部署主機入侵偵測系統 (HIDS)。