前言：圖形介面失效時，命令列是最後防線

病毒木馬日益狡猾，隱藏進程、掛鉤 API、禁用工作管理器。Windows 內建命令列工具無需安裝、難被竄改、可遠端執行，是應急處置的利器。本文詳細實測七大指令，附參數與範例。

一、Tasklist — 火眼金睛：進程全景掃描

tasklist                    # 列出所有進程（同工作管理器）
tasklist /M                 # 顯示每個進程載入的 DLL 模組，發現異常 DLL 注入
tasklist /SVC               # 顯示每個進程承載的服務，識別 svchost.exe 後的惡意服務
tasklist /S 192.168.1.10 /U admin /P pass  # 遠端查詢目標主機進程（需 RPC 通暢）

實戰技巧： 對比正常基線，重點關注無簽名、路徑異常（非 C:\Windows\System32）、載入可疑 DLL 的進程。

二、Taskkill — 進程殺手：強制終結頑固進程

taskkill /F /IM malware.exe           # 依映像名稱強制結束
tasklist | find "malware"             # 先找 PID
taskkill /F /PID 1656                 # 依 PID 強制結束
taskkill /F /T /PID 1656              # /T 連同子進程樹一併結束
taskkill /S 192.168.1.10 /U admin /P pass /PID 1656  # 遠端殺進程
taskkill /F /FI "USERNAME eq guest"   # 依篩選條件批量結束

關鍵差異： /F 參數可強制終結工作管理器無法結束的關鍵系統進程（除 System、smss.exe、csrss.exe 外）。

三、Netstat — 埠口偵探：發現木馬後門連線

netstat -a          # 顯示所有連線與監聽埠（ESTABLISHED/LISTENING）
netstat -an         # 數字顯示 IP/埠，速度更快
netstat -ano        # 顯示對應 PID，關聯進程
netstat -ano | find ":6667"   # 快速搜尋可疑埠（IRC 常用）
netstat -r          # 顯示路由表
netstat -e          # 顯示乙太網統計

判讀重點： LISTENING 狀態且埠口號較大（>1024）、無已知服務對應、遠端 IP 陌生 → 疑似木馬後門。結合 -o 取得 PID 再用 tasklist 驗證進程合法性。

四、Find — 捆綁剋星：偵測檔案捆綁木馬

find /C /I "This program " suspicious.exe

• 正常 PE 執行檔回傳計數通常為 1（含標準 PE 標頭字串）。
• 計數 > 1 疑似捆綁多個 PE 或植入字串。
• 圖片/文檔檔案正常計數為 0，若 > 0 極大機率被捆綁可執行碼。

進階： 搭配 findstr /C:"MZ" /C:"PE" file 搜尋 PE 特徵碼，或使用 sigcheck -v (Sysinternals) 驗證數位簽章。

五、NTSD — 強力終結者：核心級進程終結

ntsd -c q -p PID

• Windows 偵錯器內建，以核心調試器權限終結進程，幾乎無進程能抵擋（除 System、smss.exe、csrss.exe）。
• 效能接近 IceSword/Process Hacker 核心模式終結。
• 取得 PID：tasklist /FI "IMAGENAME eq malware.exe" 或工作管理器 → 檢視 → 選擇欄位 → 勾選 PID。

六、Ftype — 檔案關聯修復專家：一鍵恢復被竄改關聯

ftype exefile="%1" %*                         # 修復 .exe 關聯
ftype comfile="%1" %*                         # 修復 .com 關聯
ftype txtfile=%SystemRoot%\system32\notepad.exe %1  # 修復 .txt 關聯
ftype batfile="%1" %*                         # 修復 .bat 關聯

比直接編輯登錄 HKEY_CLASSES_ROOT 更安全、不易拼錯、可腳本化批量修復。

七、FC — 登錄快照比對：監控軟體安裝前後的登錄變更

reg export HKLM 1.reg          # 安裝前備份
rem 安裝目標軟體
reg export HKLM 2.reg          # 安裝後備份
fc /u 1.reg 2.reg > changes.txt   # /u Unicode 比較，輸出差異
notepad changes.txt            # 查看新增/修改/刪除的鍵值

適用場景：分析未知軟體行為、偵測惡意軟體持久化機制（Run 鍵、服務、BHO、計劃任務）、驗證系統強化基線合規。

整合應用：應急處置標準流程 (SOP)

1. tasklist /M /SVC → 產出進程基線備份。
2. 發現異常 → netstat -ano 關聯可疑連線 PID。
3. taskkill /F /PID <pid> 或 ntsd -c q -p <pid> 終結。
4. find /C /I "This program " <suspect> 檢查捆綁。
5. ftype 修復關聯、fc 比對登錄變更、清理啟動項（msconfig / 登錄 Run 鍵）。
6. 全盤掃描、補丁修補、密碼輪換、事後複盤。

結語

七大命令列工具無需安裝、綠色免安裝、可納入 PE 急救碟、支援遠端批次自動化。建議管理員熟練掌握，並建立「基線備份 → 異常比對 → 快速遏制 → 根因清除」的肌肉記憶，讓命令列成為抗毒最堅實的後盾。