一、netstat -an：檢測可疑網絡連接

顯示所有本地連接：協議、本地地址、外部地址、狀態。發現不明外部IP連接（如ESTABLISHED狀態）可能被控制。

二、net start / net stop：禁用不明服務

net start 列出運行中服務。發現非自啟服務（如IIS），用 net stop 服務名 禁用。殺毒軟件查不出此類後門。

三、net user：檢查克隆賬號

1. net user 列出所有用戶；
2. net user 用戶名 查權限組；
3. 除Administrator屬Administrators組外，內置賬號若屬管理員組極大概率被克隆提權；
4. net user 用戶名 /del 刪除惡意賬號。

三條命令無需額外工具，快速暴露木馬蹤跡。