必须启用内置administrator账户并授予sam注册表项完全控制权，才能通过比对hkey_local_machine\sam\sam\domains\account\users\names下各用户默认值（f值）识别克隆账号，f值与administrator一致即为后门。
当你在Win11中排查后门账号时，必须直接读取注册表SAM路径下的用户结构才能识别克隆用户，因为系统管理界面和PowerShell命令（如Get-LocalUser）默认会过滤掉隐藏账户、跳过$结尾的伪装账号，也查不到F值是否被篡改。
启用内置Administrator账户并获取最高权限
这一步不可跳过——未启用且未以该账户登录，后续所有注册表操作都会因权限不足而失败或静默拒绝。
Win+S搜cmd → 右键“命令提示符”→选择“以管理员身份运行”→输入net user administrator /active:yes并回车；
【执行后必须看到“命令成功完成”字样，否则注册表将无法写入权限】；
注销当前账户，登录界面选择Administrator用户进入桌面。
解除SAM注册表项的访问限制
Windows默认禁止任何用户（包括Administrators组）直接读取SAM分支，这是系统级保护机制，必须手动授予完全控制权。
按Win+R输入regedit打开注册表编辑器；
导航至HKEY_LOCAL_MACHINE\SAM\SAM；
右键该键→“权限”→在弹出窗口中选中“Administrators”→勾选下方“完全控制”→点击“应用”→再点“确定”；
关闭注册表编辑器，重新打开regedit，此时才能展开SAM路径下的子项。
定位并识别克隆用户
克隆的本质是让非管理员账户复用administrator的F值，从而绕过组成员检查获得等效权限。只需比对Names下各用户的F值即可确认。
依次展开：HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\Names；
该路径下每个子项是一个用户名（含admin$、test$等带$结尾的隐藏名）；
点击任一用户名，在右侧双击其默认值（无名称的那行），记下“数值数据”字段中的十六进制数字（例如000003E8）；
再点击administrator项→查看其默认值的数值数据；
若某隐藏用户名（如backdoor$）的默认值与administrator完全一致，则该账号为克隆账号——【此时无需查看其是否在Administrators组内，F值相同即已具备管理员令牌】。
