病毒進程常以「存取被拒」、「進程保護」、「隨即重生」對抗工作管理員。Windows 內建 taskkill (XP/2003+) 與 ntsd (2000+) 兩大命令列神器，能繞過使用者模式限制，強制終結幾乎所有惡意進程。本文詳細說明依進程名與依 PID 兩種查殺模式。

方法一：依進程名稱查殺 — taskkill (XP/Server 2003/Vista/7/8/10/11)

1. 開啟工作管理器 (Ctrl+Shift+Esc) → 進程頁面，找出病毒進程確切名稱 (如 conime.exe、svch0st.exe、kavo.exe)。
2. Win+R → cmd → Enter 開啟命令提示字元。
3. 執行：
   taskkill /IM 進程名稱 /F
   範例：taskkill /IM conime.exe /F
4. 出現 成功: 已終止進程 "conime.exe" (PID xxxx)。 即代表查殺成功。

參數說明： /IM 指定映像名稱，/F 強制終止 (必要，否則受保護進程拒絕)。支援萬用字元：taskkill /IM virus* /F。

限制： 部分受核心模式驅動程式保護的進程 (如某些 Rootkit) 仍無法終止。

方法二：依進程識別碼 (PID) 查殺 — ntsd (Windows 2000/XP/2003/Vista/7/8/10/11)

ntsd 是系統內建使用者模式偵錯器，**除 System (PID 4)、SMSS.EXE、CSRSS.EXE 三大核心進程外，幾乎能終結任何使用者模式進程**，威力遠超 taskkill。

步驟 1：取得目標進程 PID

1. 開啟工作管理器 → 檢視 → 選擇欄位 → 勾選「PID (進程識別碼)」 → 確定。
2. 在進程列表中找到病毒進程對應的 PID (如 444)。

步驟 2：執行 ntsd 強制終結

1. Win+R → cmd → Enter。
2. 執行：
   ntsd -c q -p PID
   範例：ntsd -c q -p 444

參數解析： -c q 傳遞給偵錯器的命令「quit」(附帶終止被偵錯進程)；-p PID 指定附著的進程 ID。

實測： 連 taskkill /F 都殺不掉的受保護進程，ntsd 通常能秒殺。

進階技巧：批次腳本自動化查殺

@echo off
rem KillVirus.bat - 依名稱與 PID 雙重查殺
set TARGETS=conime.exe svch0st.exe kavo.exe virus*.exe
for %%i in (%TARGETS%) do taskkill /IM %%i /F 2>nul
rem 針對已知 PID 列表 (可從日誌/監控工具取得)
for %%p in (444 888 1234) do ntsd -c q -p %%p 2>nul
echo 查殺完成，請檢查結果。
pause

事後必做：根除持久化機制

強制終結進程**只是暫時緩解**，病毒通常透過以下機制重生：

• 登錄 Run/RunOnce/RunServices 鍵值
• 服務 (Services) 自動啟動
• 排程任務 (at、SchTasks)
• 啟動資料夾捷徑
• WMI 事件訂閱、BHO、Shell Extension、Winlogon Notify、AppInit_DLLs 等

完整清除流程：

1. 安全模式 (帶命令提示字元) 下執行上述查殺命令。
2. 使用 Autoruns (Sysinternals) 全面檢查所有自啟動點，刪除可疑項目。
3. 掃毒軟體全盤深度掃描 (建議離線/PE 環境)。
4. 檢查系統檔案完整性：sfc /scannow。
5. 修補系統漏洞、更新防毒碼、修改所有帳號密碼。

掌握 taskkill 與 ntsd，讓你在病毒肆虐時擁有「外科手術刀」般的精準打擊能力。但記住：**查殺只是戰術，加固才是戰略**。