手工删除系统隐藏帐号和克隆帐号

   隐藏帐户分为两种，一种是简单隐藏，即无法在命令提示符中查看到的隐藏帐户；第二种是完全隐藏，不出现在控制面板的用户帐户中，即使发现了也无法删除，只 有通过专业工具才能清除。隐藏帐户一般都具有管理员权限，可以完全控制系统。隐藏帐户的出现一是有可能我们的系统被黑客入侵，黑客为便于下次的登陆便做了 隐蔽的后门，也就是我们所说的隐藏帐户，第二就是使用了一些不安全的ghost系统克隆盘，这些光盘的制作者为了达到自己的目的，在系统中做了手脚，建立 了隐藏帐户。不管怎么样，系统中存在隐藏帐户肯定不是什么好事。 % ^: r+ \8 P0 I; c; `% G: J2 c

我现在先和大家说说如何隐藏一个帐户。
　一、普通方法 
 　就是在命令提示符中输入命令“net user”，回车后会显示当前系统中存在的帐户，接着我们输入“net user test$ 123456 /add”，回车后显示命令成功完成。即表示已经建立了一个名为"test$"，密码为123456的帐户。 2 B  O( l- W7 A# R
% z# k  s/ S- L% l6 j
　　再次输入“net user”发现了什么？在显示的结果中，"test$"帐户不存在，但输入“net user test"test$"帐户是存在的。进入控制面板的用户帐户，也能看到"test$"这个隐藏帐户。 5 m, Y8 Q8 ?- E
7 d5 H) R( C% o3 L: u7 O
　　呵，其实问题就出在帐户后门的"$"符号上，将这个符号放到帐号名后面，就能够实现在命令提示符中隐藏的效果，这就是简单隐藏帐户的方法，但是效果不佳。 
?0 r
　　二、特殊方法 " ]& Y! X) v+ R0 s6 N6 ~1 t. c

　建立完全隐藏帐户需要使用我后面给大家提供的第三方的工具，用这个工具建立的隐藏帐户通过一般的方法是删不掉的。 1 J7 V# ]* I. ^, }+ M

　对于简单的隐藏帐户删除的方法很简单，在用户帐户中找到隐藏帐户后，直接选择删除即可，或者进入命令提示符输入命令：net user 隐藏帐户名/del 删除用户。
下面我们利用手工删除系统隐藏帐号和克隆帐号：
使用regedt32打开高级注册表管理: D/ k) N7 M; \. r! A5 c3 r0 t
   找到[HKEY_LOCAL_MACHINE]——[SAM]——[SAM]分支，为你当前使用的帐户（必须是Administrators组）添加“完全控制”权限。
  注意：如果你对SAM层权限运行不熟悉，千万别去修改上面的帐户的权限，而是要“添加”你当时使用的帐户的权限。（全部操作完要回来删除掉，否则有安全隐患。）
2、使用regedit打开注册表编辑器
 找到[HKEY_LOCAL_MACHINE]——[SAM]——[SAM]——[Domains]——[Account]——[Users]，这里下面的数字和字母组合的子键是你计算机中所有用户帐户的SAM项。
   子分支[Names]下是用户名，每个对应上面的SAM项。
3、查找隐藏的帐户就比较两个用户名的SAM值完全一样的就说明其中一个是克隆帐户。你可以在这里删除其用户名。
  一般推荐分别导出用户名项和对应的SAM，然后找一个关键字分析比较。具体比较的方法多种多样自己看了。
4、目前有种系统级后门，可以在有管理员帐户登入的时候自动删除这里的克隆帐户值，等你退出了又自动恢复。遇到这种的情况，这里是查不出来的。一般这种后门都是高手搞的，免杀。. O! P( h. z) B
   遇到这种情况，建议找专业安全人员处理。6 l0 H+ b# U8 T; a
另外：本地安全策略——本地策略——安全选项中可以查看默认管理员和贵宾帐户，这里可以查出默认的guest是否被克隆了，如果这个帐户被克隆这里会显示出真正的克隆后的用户名。5 H9 [6 e  x; K
      计算机管理中显示的依然是正常的用户，所以查那里是没什么意义的。