必须通过注册表userlist键、wmic用户sid枚举、组策略“拒绝本地登录”及服务/计划任务扫描综合排查；值为0的userlist项、非常规sid（如-1004）、异常服务或任务绑定账户均提示存在隐藏影子账户。
要确认Windows 10系统中是否存在黑客植入的隐藏影子账户，必须绕过图形界面直查底层注册表与命令行痕迹，因为这类账户在登录屏幕、用户管理器甚至“net user”默认输出中均不显示。
检查注册表UserList键值
按下 Win+R，输入 regedit 并回车，以管理员身份运行注册表编辑器。
导航至 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\SpecialAccounts\UserList。
若该路径存在且包含非零数值的DWORD项（例如名为“admin123”的项，其值为0），则对应账户已被设为隐藏——【值为0即代表隐藏，不可见；值为1才可见】。
注意：此键本身可能不存在，属于“按需创建”，不存在≠无隐藏账户，仅说明未用该方式隐藏。
枚举所有本地用户（含隐藏账户）
以管理员身份打开命令提示符或PowerShell。
执行：net user → 观察输出列表是否明显少于你记忆中创建过的账户数量。
立即补查更底层的用户SID清单：执行 wmic useraccount get name,sid。
逐行比对SID前缀：以 S-1-5-21- 开头的均为本地或域用户；若发现名称为空、或名为 Guest 但 SID 与默认Guest不同、或出现类似 Administrator_001 这类非常规命名，需重点标记。
特别留意 SID 末尾为 -500（内置Administrator）、-501（内置Guest）、-503（默认Guest禁用状态）之外的异常高位数字，比如 -1004、-1009——这些往往是攻击者新建后手动隐藏的账户。
核查登录权限策略
运行 gpedit.msc 打开组策略编辑器（仅限专业版/企业版）。
依次展开：计算机配置 → Windows设置 → 安全设置 → 本地策略 → 用户权限分配。
双击查看“拒绝本地登录”策略，检查其中是否添加了本不该存在的用户名。
方法一：若某账户被加入此项，它将无法在登录界面出现，但仍可通过远程桌面、PsExec、SMB等协议凭密码登录——这是比UserList更隐蔽的隐藏手法。
方法二：在家庭版中无法使用gpedit，改用命令检查：secedit /export /cfg C:\secconfig.inf & notepad C:\secconfig.inf，搜索关键词 “SeDenyInteractiveLogonRight” 后的用户名列表。
扫描自启动与服务级驻留痕迹
隐藏账户常伴随持久化机制。先运行 tasklist /svc | findstr "svchost"，记下可疑PID。
再执行 sc queryex type= service state= all | findstr "SERVICE_NAME\|STATE"，查找状态为RUNNING但名称异常的服务（如Jp_Update、FileSuite、jianpian*等）。
若发现与“荐片播放器”家族模块名匹配的服务，【该服务极大概率由隐藏账户启动，且该账户已具备SYSTEM级权限】。
最后用 PowerShell 快速扫一遍计划任务中绑定的用户：Get-ScheduledTask | Where-Object {$_.Principal.UserId -notmatch 'SYSTEM|Administrators|DefaultAuthor'} | Format-List TaskName,Principal。
