windows下查找并删除克隆账户的方法

在系统账户中查找/删除克隆账户

1.备份注册表
操作前首先将注册表SAM项中的内容导出，做好备份，以便在修改出现问题时恢复。

2.查找克隆账户
mt.exe为一个查看克隆账户的工具，这个exe文件会被杀毒软件当成病毒杀掉，所以使用前要关闭杀毒软件或排除对这个文件所在目录的检查。
在命令行下运行 mt.exe -chkuser >> d:\chkuser.txt ，将结果保存到txt文件中，文件中会有类似如下的内容（注意，如果之前没有给SAM权限的话会提示Require System Privilege）：
UserName                 ExpectedSID    CheckedSID

Administrator              1F4          1F4
ASPNET                     3EE          3EE
Guest                      1F5          1F5
...........
其中ExpectedSID与CheckedSID一致的为正常账户，不一致的有可能是问题账户。如果不一致的内容当中为401/4010、501/5010形式，那么这些仍然为正常账户，但内容中有1F4这个值的，可以肯定是克隆了管理员账户权限。

3.删除克隆账户
一旦我们查到了克隆账户，怎么删除呢？对于克隆账户，首先进入注册表查看是只复制了F值，还是F与V值都复制了。如果只复制了F值，可以直接在"本地用户和组"中进行删除。
如果F与V值都复制了，则不能直接在"本地用户和组"中删除，否则会像上面说的那样删除管理员账户。需要到注册表中删除该克隆账户对应的两个项。
另外有些情况下在"本地用户和组"直接删除时也会报错（例如报"删除用户 xxx 时,出现了以下错误:用户不属于此组"），这时也需要到注册表中删除对应项。

4.注意事项
1）如果将导出的SAM注册表文件导回去，会出现"本地用户和组"中的组无法显示的情况，但不影响正常使用，重启服务器后组会恢复正常显示。
2）如果用删除注册表内容的方式来删除账户，在删除后会出现刷新"本地用户和组"中的用户时出现错误提示"读取用户属性时,出现了以下错误:帐户名与安全标识间无任何映射完成"，但不影响用户的显示和使用，重启服务器后错误提示消失。
3）如果在手动操作或者某些软件操作时，出现错乱，导致Account\Users\Names中的用户名和Account\Users下的值没有一一对应（例如缺少某个值出现一对多情况），则"本地用户和组"中的账户会不显示，但不影响大部分用户的正常使用。删除注册表中的错误项后即可恢复正常显示。这里在删除时，建议把有问题的账户全部删除，例如出现了test和test1都对应00000ABC这一项时，最好将test与test1删除手动重建。
4）操作前记得给注册表SAM项管理员完全控制权限，操作完之后将权限改回去。
5）http://www.beginningtoseethelight.org/ntsecurity/index.php，这篇文章详细介绍了windows2000账户相关的内容，不过不完全适用于windows2003。
mt.exe下载