蓝队应急响应之系统入侵排查
# Windows Server 2016 系统入侵排查指南
## 账号排查
### 账户类型识别
Windows系统中存在三种类型的账户：
1. **正常用户**：可通过`net user`命令查看
2. **隐藏用户**：`net user`看不到，但在控制面板、lusrmgr.msc或用户组中可见（用户名后有`$`符号）
- 查看命令：`net localgroup administrators`
3. **影子用户**：仅在注册表中可见
### 注册表排查方法
1. 按
2025-08-22 17:29:32
0