上網最恐怖的是面對新病毒：防毒軟體病毒庫更新總滯後於病毒出現，中招在所難免。本文教你用系統內建工具親手絞殺病毒，完成發現→刪除→修復全流程。

一、有備無患：用 tasklist 備份正常進程基線

新型病毒常用進程隱藏。系統正常、剛進入 Windows、未執行任何程式時備份進程列表：

tasklist /fo:csv > g:\zc.csv

以 CSV 格式輸出至 zc.csv，可用 Excel 開啟比對。

二、火眼金睛：用 fc 比較進程列表找出異常

覺得電腦異常或知近期有流行病毒時：

tasklist /fo:csv > g:\yc.csv
fc g:\zc.csv g:\yc.csv

比較差異。例：發現多出 winion0n.exe（非正常 winionon.exe）異常進程。

三、證據確鑿：用 netstat 查看開放連接埠判斷惡意行為

netstat -a -n -o

• -a：顯示所有連線埠
• -n：以數字顯示位址/埠號
• -o：顯示擁有進程 PID

觀察狀態：
LISTENING：監聽中（僅 TCP 伺服器埠）
ESTABLISHED：已建立連線（雙向通訊中）
TIME_WAIT：連線結束（判斷曾被外部連接）

例：PID 1756 狀態 ESTABLISHED，任務管理器確認為 winion0n.exe，查無合法網路程式對應，判定為非法連線。

四、心狠手辣：用 ntsd 強制終止頑固進程

許多病毒進程任務管理器無法結束。命令：

ntsd -c q -p 1756

1756 為 PID（任務管理器 → 檢視 → 選擇欄位 → 勾選 PID 可見）。ntsd 可強制終止除 system、smss.exe、csrss.exe 外所有進程。

五、斬草除根：搜尋刪除病毒本體與同夥

1. 搜尋「本地所有分區」+「搜尋系統/隱藏檔案」找到病毒檔案刪除。
2. 依檔案建立日期、大小再次搜尋同夥檔案並刪除。
3. 不確定時上網搜尋病毒資訊協助判斷。

六、掃蕩戰場：手動修復登錄表

1. regexport + 批次檔備份啟動項

reg export HKLM\Software\Microsoft\Windows\CurrentVersion\Run f:\hklmrun.reg
reg export HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run f:\hkcu.reg
reg export HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run f:\hklml.reg

存為 ziqidong.bat 執行，再 copy f:\*.reg ziqidong.txt 合併。後續發現新增啟動項時，同法導出新 .txt 用 fc 比較快速定位。

2. reg delete 刪除惡意啟動鍵值

例：在 HKCU\...\Run 發現 logon 指向 c:\windows\winlogon.exe，刪除：

reg delete HKLM\Software\Microsoft\Windows\CurrentVersion\Run /v logon /f

3. reg import 還原登錄表

reg delete 刪除整個 Run 鍵值，用備份 .reg 還原：reg import f:\hklmrun.reg。優勢：即使 regedit 被病毒禁用，reg 指令仍可導出/刪除/導入，且速度更快。

七、捆綁木馬剋星：find 指令偵測檔案異常

捆綁木馬藏身圖片/Flash/音樂檔後台竊取資料。例：QQ 收到 chaonv.jpe.exe（JPG 圖示），開啟圖片時硬碟指示燈狂閃，後台有不明程式運行。

偵測命令：

find /c /i "thisprogram" g:\chaonv.jpe.exe

回傳 ___ g:\chaonv.exe:2 → 確認捆綁其他檔案。
原理： 正常 EXE 回傳 1，非執行檔回傳 0，其他值即異常。

防騙技巧： 關閉「隱藏已知檔案類型副檔名」（我的電腦 → 工具 → 資料夾選項 → 檢視），即可看清 .exe 真面目。

八、總結：手動查殺標準流程

1. tasklist 備份進程基線
2. fc 比較找出異常進程
3. netstat 判斷進程網路行為
4. ntsd 強制終止惡意進程
5. 搜尋刪除病毒本體與同夥
6. reg 指令修復登錄表啟動項

附錄：用 Excel 剿滅 DLL 木馬

DLL 木馬不產生新進程、常注入關鍵進程（如 lsass.exe）無法終止，防毒軟體偵測到也難查殺。若無專用工具，Excel 亦可肉搏。

步驟一：查找被感染進程

netstat -a -n -o 發現 PID 580 (lsass.exe) 發起 ESTABLISHED 連線。lsass.exe 為本地安全授權程式，正常不應對外連線，判定注入 DLL 木馬。若當前無連線，觀察 TIME_WAIT（曾被入侵）、LISTENING（監聽中）亦可佐證。