wmic useraccount 是唯一能在普通管理员权限下稳定枚举全部账户（含隐藏账户）的命令行工具，通过 wmic useraccount get name,sid 可列出所有账户名和 sid，name 列中出现 test$、admin$、backup$ 等以 $ 结尾的条目即为隐藏账户；再用 wmic useraccount where "name like '%$'" get name,sid,fullname,disabled > %userprofile%\desktop\hidden_users.txt 导出隐藏账户信息，并结合 sid（如 s-1-5-21 开头）及计算机管理中的实际显示情况交叉验证真伪，同时检查 disabled 字段与管理员组归属。
要确认 Windows 10 系统中是否存在以 $ 结尾的隐藏账户、影子账户或未在登录界面显示的异常用户，必须绕过 net user 的过滤机制，直接读取注册表级账户数据库——wmic useraccount 是唯一能在普通管理员权限下稳定枚举全部账户（含隐藏账户）的命令行工具。
用 wmic useraccount 列出所有账户名和 SID
这一步输出最基础但最关键的原始数据，name 列中出现 test$、admin$、backup$ 等带美元符的条目即为隐藏账户。
以管理员身份运行 Windows 终端：右键“开始”按钮 → 选择“Windows 终端（管理员）”。
输入并执行：【wmic useraccount get name,sid】。
回车后立即显示完整列表；注意观察 name 列是否包含以 $ 结尾的名称——这类账户不会出现在 net user 或控制面板中，但可被直接登录或提权利用。
筛选并导出隐藏账户到桌面文本文件
当系统用户数量较多时，手动翻找容易遗漏。用重定向命令将结果保存为纯文本，便于逐行比对或后续审计。
在同一个管理员终端窗口中，输入并执行：【wmic useraccount where "name like '%$'" get name,sid,fullname,disabled > %userprofile%\Desktop\hidden_users.txt】。
该命令仅提取 name 含 $ 符号的账户，并附带其全名与启用状态；若输出为空，说明当前无典型命名方式的隐藏账户。注意：部分隐藏账户可能不带 $，需结合 SID 进一步排查。
文件自动保存至桌面，双击即可用记事本打开查看。
识别真假隐藏账户：比对 SID 排除系统内置账户
方法一：快速排除已知系统账户
执行 【wmic useraccount where "sid like 'S-1-5-21%' and name like '%$'" get name,sid】，只保留域用户风格 SID 的隐藏账户（S-1-5-21 开头），跳过 DefaultAccount、WDAGUtilityAccount 等系统保留账户。
方法二：交叉验证是否真实存在
打开计算机管理（compmgmt.msc）→ 系统工具 → 本地用户和组 → 用户，查看右侧列表中是否也存在同名账户；如果 wmic 能查到但此处不显示，基本可判定为注册表级隐藏账户。
注意：【不要仅凭 name 判断权限，必须检查 disabled 字段是否为 FALSE，且需用 net localgroup administrators 查看其是否已在管理员组中】。
