前言

網路時代病毒無所不在，中毒幾不可避免。本文分享職業經驗累積的系統性清除流程：表徵判斷 → 多維診斷 → 九步清除 → 防範建議，適用 Windows 2000 以上系統。

一、中毒常見表徵

• 機器極慢、無法上網、殺毒軟體無法升級
• Word 文件打不開、無法正常開機
• 硬碟分區消失、資料遺失

二、中毒多維診斷

1. 工作管理員（Ctrl+Shift+Esc）： 檢視陌生程序名稱、CPU/記憶體佔用異常（CPU 接近 100% 或記憶體持續飆高 → 95% 機率中毒）。暫勿結束程序（部分病毒無法結束）。
2. 服務項檢查： 控制台 → 管理工具 → 服務。查看「已啟動/自動」項目，正常服務多有描述；雙擊查看可執行檔路徑（如 C:\winnt\system32\explored.exe 拼寫錯誤即為中毒）。控制台無法開啟或圖示跑左邊、右邊空白 → winhlpp32.exe 發作特徵。
3. 登錄檔啟動項： regedit/regedt32 檢查 HKLM\Software\Microsoft\Windows\CurrentVersion\Run 及 RunOnce 等；XP 可用 msconfig。經驗累積可快速判斷病毒啟動項。
4. 瀏覽器測試： Gaobot 等病毒可訪問一般網站，但無法訪問安全廠商網站（如 ca.com），導致殺毒軟體無法升級。
5. 系統資料夾檢查： 取消隱藏屬性查看 system32：空資料夾=中毒；按類型排序尋找流行病毒執行檔；留意 Tasks、wins、drivers 資料夾；drivers\etc\hosts 被竄改（正常約 700 bytes，竄改後 >1KB）導致安全網站無法訪問。
6. 殺毒軟體自檢： 中毒時殺毒軟體常被病毒自動終止，手動升級失敗。

三、九步清除流程

1. 登錄檔刪除隨系統啟動的非法程式，搜尋所有同鍵值刪除；服務型病毒藏於 HKLM\System\ControlSet001\Services 及 ControlSet002，一併清除。
2. 停用問題服務，將「自動」改為「停用/禁止」。
3. 修復 hosts 檔：僅保留 127.0.0.1 localhost，其餘刪除，設為唯讀。
4. 重啟進入「帶網路的安全模式」（F8）：不讓病毒啟動，可打補丁、升級殺毒軟體。
5. 搜尋並手動刪除病毒執行檔。
6. 執行 Windows Update 修補漏洞，升級殺毒軟體病毒碼。
7. 關閉非必要服務（如 RemoteRegistry）。
8. 全盤掃描清除漏網之魚。
9. 重啟電腦，完成所有操作。

四、防範建議：防範遠勝於查殺

大中型網路理想架構：

• Internet 接入處 → 外網防火牆
• → 防毒閘道（如熊貓衛士高性價比）
• → 路由器、伺服器區（應用伺服器配置病毒伺服器）
• → 內網防火牆
• → 內網架設殺毒伺服器，每用戶端裝可管理客戶端

軟硬兼施、立體防護，才能構建長效免疫體系。