前言：善用 Windows 內建工具自救

懷疑電腦被植入木馬或惡意程式，但手邊沒有完整安全套件？Windows 內建的幾條網路與系統指令，就能幫你快速偵測異常連線、可疑服務與盜用帳號，成為緊急自救的利器。

一、netstat -an：全盤掌握網路連線

在命令提示字元輸入 netstat -an，即可列出所有作用中連線與監聽埠，包含四大欄位：

• Proto：協定類型（TCP/UDP）
• Local Address：本地 IP 與埠號
• Foreign Address：遠端連線 IP 與埠號
• State：連線狀態（ESTABLISHED、LISTENING、TIME_WAIT 等）

判讀重點：留意非預期的 ESTABLISHED 連線、不明遠端 IP、高埠號監聽（如 31337、12345 等木馬常用埠），以及大量 TIME_WAIT 可能暗示掃描或攻擊行為。

二、net start / net stop：釐清與停用不明服務

輸入 net start 列出目前啟動的所有服務。若發現未曾手動啟用的服務（如 IIS、Telnet、非預期的資料庫服務），極可能是入侵者植入的後門。立即以 net stop <服務名稱> 停用，並進一步調查啟動來源（登錄檔 Run 鍵、排程工作、啟動資料夾）。

三、net user：排查克隆與提權帳號

攻擊者常啟用內建停用帳號（如 Guest）或建立同名帳號並提權至 Administrators 群組。執行：

1. net user：列出所有本機帳號。
2. net user <帳號名>：查看該帳號所屬群組、帳號啟用狀態、密碼上次變更時間等。

異常指標：除 Administrator 外，任何內建帳號（Guest、HelpAssistant、ASP.NET 等）若屬於 Administrators 群組，幾乎確定遭入侵。立即以 net user <帳號> /del 刪除，並修改 Administrator 密碼、重命名該帳號。

後續建議

上述三招可快速釐清「有無異常」，但無法替代完整防毒掃描、系統修補與防火牆部署。確認中毒後，建議立即離線、完整掃毒、修補漏洞、變更所有密碼，並檢查登錄檔自啟動項、排程工作與啟動資料夾，徹底清除殘留後門。