黑客入侵致计算机管理用户列表为空解决经历

最近有朋友向我求助，称其服务器上计算机管理中的“本地用户和组”下的“用户”列表竟然不显示了。我的第一反应是服务器可能遭遇入侵，被创建了隐藏账户，或者有人误操作导致了列表异常。此前在测试隐藏账户时，我也曾遇到过类似的现象。

登录服务器后，在“本地用户和组”的“用户”节点下，确实空空如也。但在CMD中执行net user，却能列出所有账户。这显然不符合常理。接下来自然要检查注册表，重点查看HKEY_LOCAL_MACHINE\SAM\SAM中是否存在异常。

运行regedt32，将HKEY_LOCAL_MACHINE\SAM\SAM的权限设置为Administrator可查看和修改。随后定位到HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\Names，并未发现隐藏账户。可能是朋友之前删除了某些内容，但这已不重要。检查权限后发现一切正常——那为什么“用户”列表仍然不显示呢？真是让人费解。

接着检查本地安全策略，在“安全选项”下发现两个异常：

• “帐户：重命名来宾帐户”显示的名称并不是默认的Guest。
• “帐户：重命名系统管理员帐户”显示的名称也不是Administrator。

执行net user后发现，系统中没有Administrator账户，但Guest账户存在。这明显不对劲——重命名系统管理员账户后，原有的Administrator消失了，而Guest却依然存在。问题很可能就出在这里。

一时没有头绪，只好上网搜索。经过长时间查找，终于找到一份资料，内容与当前问题高度吻合。资料指出：HKEY_LOCAL_MACHINE\SAM项被修改，具体表现为两个用户名（如mat01$和mat01$$）拥有相同的字符串值，导致注册表中对应的000003FB项只有一个，而Names子项下却有两个同名引用。解决方法是删除其中一个用户项，然后重启电脑。

这份资料给了我一个思路。回到服务器，查看HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\Names下的所有项，发现Guest和“重命名来宾帐户”中显示的账户名，对应的Hex值完全相同！这意味着注册表中存在重复的键值引用。

现在的问题是：删除哪一个？考虑到重命名系统管理员账户后，原来的Administrator已经消失，那么“重命名来宾帐户”修改了Guest之后，原来的Guest也应该消失才对。但当前系统中Guest依然存在，说明“重命名来宾帐户”对应的账户并非真正的Guest，而是另一个名称。先备份Guest的注册表信息，然后将其删除。再刷新计算机管理中的“本地用户和组”，用户列表终于恢复正常显示了！

后记：问题根源在于HKEY_LOCAL_MACHINE\SAM\SAM下的注册表键值重复。思路正确，但不够细心也差点让问题搁浅。遇到类似现象，不妨先检查注册表Names下的Hex值是否有重复，删除冗余项即可恢复。