Windows 本地账号排查（net user 与 Get-LocalUser）

先枚举本地账号与状态：陌生账号、被启用的 Guest、带 $ 后缀的隐藏账号，都是入侵者最常留下的登录入口。

枚举	net user / Get-LocalUser
详情	net user 名字看登录时间与组成员
隐藏账号	名字以 $ 结尾，部分列表不显示
关注	LastLogon、Enabled、PasswordLastSet

列出与核查账号

net user
Get-LocalUser | Format-Table Name,Enabled,LastLogon,PasswordLastSet
net user Administrator
Get-LocalUser | Where-Object Name -like '*$*'

常规 net user 列表不显示 $ 结尾账号：要专门按名字模式再查一遍。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌