萬盛學電腦網

瀏覽器 Windows 10 WPS Office 防毒軟體 資料庫 Excel 教學 檔案管理 Word 教學 網頁製作 裝機必備軟體 Linux 教學

您现在的位置： 萬盛學電腦網 >> 電腦基礎知識 >  >> 健康知識

新手速成：電腦木馬手工查殺全流程與工具箱推薦

前言：常在河邊走，哪有不濕鞋？

上網時間長，難免被植入木馬。**不依賴工具的手工排查能力，是安全人的基本功**。

一、手工排查五步法

1. 檢查網絡連接 — netstat -an

無正常業務情況下運行：

netstat -an

輸出四欄：Proto (協議)、Local Address (本地 IP:端口)、Foreign Address (遠端 IP:端口)、State (狀態：LISTENING/ESTABLISHED/TIME_WAIT…)。
**異常判斷**：非業務端口 LISTENING、不明外連 ESTABLISHED、大量 TIME_WAIT（掃描/攻擊特徵）。

2. 查看運行中服務 — net start

命令行輸入 net start 列出所有已啟動服務。對照「必須服務清單」，發現未授權服務 → 服務管理器 (services.msc) 停用並禁用，記錄服務名/顯示名/路徑。

3. 檢查系統啟動項 — 註冊表 + System.ini

註冊表關鍵路徑（HKEY_LOCAL_MACHINE / HKEY_CURRENT_USER / HKEY_USERS\.Default 下）：

  • Software\Microsoft\Windows\CurrentVersion\Run
  • Software\Microsoft\Windows\CurrentVersion\RunOnce
  • Software\Microsoft\Windows\CurrentVersion\RunServices
  • Software\Microsoft\Windows\CurrentVersion\RunServicesOnce
  • Software\Microsoft\Windows NT\CurrentVersion\Winlogon (Userinit, Shell)
  • Software\Microsoft\Active Setup\Installed Components
  • Software\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad
  • Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run
  • 文件關聯：HKEY_CLASSES_ROOT\exefile\shell\open\command (正確: "%1" %*)、inffile/inifile/txtfile 等 (正確: %SystemRoot%\system32\NOTEPAD.EXE %1)

System.ini：C:\Windows\System.ini [boot] 節 shell=explorer.exe，若後接其他 .exe 即為掛載木馬。

4. 檢查系統賬號 — net user

  1. net user 列出所有用戶；
  2. net user 用戶名 查看隸屬組；
  3. **除 Administrator 外，任何內置賬號（Guest、ASPNET、IUSR_*、IWAM_* 等）不得屬於 Administrators 組**；
  4. 發現異常 → net user 用戶名 /del 刪除；
  5. 檢查是否有隱藏賬號（註冊表 HKLM\SAM\SAM\Domains\Account\Users 需系統權限讀取，或用 getusers.exe 類工具）。

5. 文件系統異常巡檢