前言：下載軟體暗藏後門風險高

許多駭客工具被作者植入後門。如何判斷下載軟體是否乾淨？分享六階段實戰檢測流程。

階段一：安裝前驗身，木馬後門不得入內

1. 搭建測試環境

• 系統備份：用「雨過天晴電腦保護系統」建立多重還原點，還原 < 10 秒，最適合軟體安裝測試。
• 安裝江民 KV2006 升級最新病毒庫，啟用所有即時監控項目。

2. 檢測下載網頁與安裝程式

開啟殺毒軟體網頁即時監控下載測試工具，下載過程無報警。資源管理員右鍵壓縮包選「江民殺毒」全盤掃描，亦無病毒。

階段二：監視安裝過程，後門別想混進

開啟 KV2006「檔案監控」與「登錄檔監控」安裝測試工具。安裝過程無病毒報警，但登錄檔監控有提示：被修改鍵值為 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects（管理 IE 外掛載入）。開啟 IE 發現工具列多出「情色搜尋」按鈕。立即用 regedit 刪除該鍵值，再次全盤掃描確認乾淨。

階段三：勘察程式留下的腳印（快照對比法）

1. 安裝前用 Regshot 對 C 槽檔案與登錄檔生成快照 1（輸出 HTML）。
2. 安裝程式、運行一段時間後解除安裝，生成快照 2。
3. 比對差異：程式雖未殘留檔案，但該登錄檔鍵值仍殘留，構成潛在後門。

階段四：檢測伴生木馬進程

1. 安裝前執行 tasklist > D:\1.txt 記錄進程清單（XP Pro 內建，Home 版無）。
2. 運行程式後執行 tasklist > D:\2.txt。
3. fc D:\1.txt D:\2.txt > D:\3.txt 對比，發現新增 domain3.5.exe 進程。
4. Windows 內建指令無法顯示核心級/Rootkit 隱藏進程，需輔助 IceSword 檢測隱藏間諜進程。

階段五：查出程式後門連接埠

運行 IceSword →「檢視/連接埠」觀察開放狀態。運行測試程式後重新整理，發現程式連接遠端主機 8080 連接埠，極大機率含後門組件。

階段六：嗅探後門程式網路流量

運行 Winsock Expert 掛載目標進程嗅探。正常網頁瀏覽、編輯文件約 20 分鐘後查看資料：Status 欄有 send 標記的封包中出現 Username 等字串，確認程式竊取帳號密碼上傳。立即關閉程式並徹底清除系統。

結語

網路下載軟體務必慎重。遇可疑程式可依此六階段法檢測，驗證其乾淨與否。