無專業工具時，Windows 內建三條命令即可完成木馬應急排查：網絡連接、異常服務、克隆帳號，直指核心入侵痕跡。

命令一：netstat -an —— 監控所有網絡連接

C:\> netstat -an
Proto  Local Address          Foreign Address        State
TCP    0.0.0.0:135            0.0.0.0:0              LISTENING
TCP    192.168.1.100:3389     203.0.113.5:54321      ESTABLISHED
TCP    192.168.1.100:445      192.168.1.200:1024     ESTABLISHED
UDP    0.0.0.0:500            *:*                                   

四欄位解讀

• Proto：協議（TCP/UDP）
• Local Address：本地 IP:端口（0.0.0.0 表示全介面監聽）
• Foreign Address：遠端 IP:端口（*:* 表示監聽狀態無遠端）
• State：TCP 狀態（LISTENING/ESTABLISHED/TIME_WAIT/CLOSE_WAIT 等）

異常判斷重點

• ⚠️ 非業務端口 LISTENING（如 6666、6667、31337、12345 等常見後門端口）
• ⚠️ ESTABLISHED 連向未知外網 IP：特別是高端口（>1024），持續時間長、流量異常
• ⚠️ 大量 TIME_WAIT/CLOSE_WAIT：可能遭受 DoS 或連接耗盡攻擊
• ⚠️ UDP 高端口監聽：常見於 DDoS 反射放大、P2P 木馬、挖礦程式

進階：netstat -anob（需管理員權限）顯示擁有進程 PID 與可執行檔名稱，直接定位可疑程式。

命令二：net start / net stop —— 發現並禁用惡意服務

掃描異常服務

C:\> net start
這些 Windows 服務已經啟動:
   Adobe Acrobat Update Service
   Windows Update
   wuauserv
   "惡意服務名"          ← 可疑：非系統預設、名稱隨機、拼寫模仿系統服務
命令成功完成。

禁用可疑服務

C:\> net stop "惡意服務名"
服務正在停止...
服務已成功停止。

徹底清除（需管理員權限）

1. sc delete "惡意服務名" 刪除服務註冊
2. 檢查註冊表 HKLM\SYSTEM\CurrentControlSet\Services\惡意服務名 確認 ImagePath 指向的惡意檔案並刪除
3. 檢查啟動類型是否為「自動」，防止重啟復活

常見被濫用服務：IIS (W3SVC)、SQL Server (MSSQLSERVER)、Telnet、Remote Registry、SNMP、Messenger、Schedule (Task Scheduler)。

命令三：net user —— 識別克隆管理員帳號

枚舉所有帳號

C:\> net user
\\COMPUTER 的使用者帳戶
-------------------------------------------------------------------------------
Administrator            Guest                    User1
User2                    入侵者帳號                ← 可疑：非預設、非授權
命令成功完成。

檢查單一帳號詳情

C:\> net user "入侵者帳號"
使用者名稱                   入侵者帳號
帳號啟用                     Yes
密碼上次設定           2024/01/15 14:30
密碼過期                     Never
密碼最後更改           2024/01/15 14:30
本地群組成員     *Administrators       ← 關鍵證據：非 Administrator 卻在 Administrators 組
全域群組成員     *None
命令成功完成。

判斷邏鈑

• ✅ 系統內建：Administrator（SID 結尾 -500）、Guest（-501）
• ✅ 正規創建：IT 部門記錄在案、命名規範、密碼策略合規
• ❌ 克隆帳號特徵：名稱模仿系統帳號（如 Admin、Administator、System、Service）、屬於 Administrators 組、密碼永不過期、無描述、近期創建

緊急清除

C:\> net user "入侵者帳號" /delete
命令成功完成。

隨後檢查：排程任務、啟動項、註冊表 Run 鍵、WMI 事件訂閱、服務、啟動腳本等持久化機制是否被該帳號植入後門。

應急響應完整鏈路

1. 隔離網絡：拔網線/禁用網卡，阻斷 C&C 通訊與橫向移動
2. 執行三條命令：記錄輸出備份為證據
3. 進程關聯分析：tasklist /v、wmic process get name,processid,commandline,executablepath 定位可疑進程
4. 啟動項全景掃描：Autoruns（Sysinternals）導出完整啟動項清單
5. 殺毒全盤掃描：更新特徵庫至最新，深度掃描
6. 修復加固：修改密碼、打補丁、關閉高危端口、啟用防火牆、部署 EDR
7. 事後複盤：時間線重建、入侵路徑分析、規則更新、演練改進

三條命令，幾秒鐘，能發現 80% 明顯入侵痕跡。平時多練，關鍵時刻手不抖、心不慌、漏不掉。