NT內核系統（2K/XP/2003）下傳統木馬無法隱藏進程，攻擊者轉向動態嵌入式DLL木馬：將DLL注入 explorer.exe、svchost.exe 等關鍵進程，任務管理器僅見宿主進程，實現進程級完美隱身。五步系統化排查清除：

一、System32文件基線比對

乾淨系統安裝必要軟體後，建立基線：
dir *.exe > exeback.txt & dir *.dll > dllback.txt
懷疑感染時重複生成 exeback1.txt、dllback1.txt，用 fc 比較差異輸出 diff.txt，鎖定新增/異常DLL與EXE。再核對創建時間、版本資訊、是否加殼，可疑文件先移入回收站觀察。

二、關鍵進程模組枚舉比對

使用 Procdump 或 ps.exe 導出進程載入模組：
ps.exe /a /m > nowdlls.txt
與基線 dllback.txt 比對，快速縮小可疑DLL範圍。

三、端口與進程關聯分析

木馬通訊必開端口。用 Fport.exe 查看端口-進程映射，鎖定可疑進程再結合Procdump查找DLL。注意：部分木馬劫持/復用 80、139、1433 等常用端口，單純看端口易誤判為正常流量。

四、嗅探器抓取通訊內容

將網卡設為混雜模式，用 IRIS 等嗅探器抓取封包，解碼協議內容，確認木馬通訊特徵，結合Fport與Procdump定位毒體。

五、系統服務與註冊表深度排查

注冊為服務的木馬不在常規啟動項。查看 services.msc 或導出服務列表比對基線，發現異常服務記載其載入文件，用 Resource Kit srvinstw.exe 移除服務並刪除文件。同步檢查 HKLM\SYSTEM\CurrentControlSet\Services 下異常鍵值。

總結

文件基線→進程模組→端口映射→流量嗅探→服務註冊表，五維交叉驗證，不給動態嵌入式DLL木馬任何藏身空間。