電腦出現死機/重啟、文件莫名消失、硬盤狂讀寫、軟驅鬼讀、殺毒/防火牆報警、系統變慢等異常，極大概率已被植入木馬/後門。本文提供12 步排查手冊，從進程到註冊表、從啟動項到網絡連接，層層清掃。

即時反應：任務管理器首輪排查

• Ctrl+Shift+Esc 開啟任務管理器 → 「進程」/「詳細資訊」。
• 關注：陌生進程名（隨機字符、拼寫錯誤系統進程如 svch0st.exe）、重名進程（多個同名、路徑不同）、高 CPU/記憶體/網絡/磁盤佔用 的未知進程。
• 嘗試結束可疑進程，觀察異常是否消失（謹慎：結束系統關鍵進程會導致藍屏）。

深度排查 12 步

1. 升級病毒庫全盤掃描：首選離線/安全模式掃描，避免病毒對抗。
2. 顯示隱藏/系統文件：資料夾選項 → 取消勾選「隱藏受保護的作業系統文件」與「隱藏已知副檔名」。
3. 檢查 WIN.INI：C:\Windows\WIN.INI 中 [Windows] 區段 load=、run= 應為空。
4. 檢查 SYSTEM.INI：[386Enh] device= 僅應有系統驅動，外掛驅動多為全路徑可疑文件。
5. 啟動文件夾：C:\Users\用戶名\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup 及 All Users 對應目錄，移走可疑快捷方式/腳本。
6. msconfig 啟動項：Win+R → msconfig →「啟動」/「服務」（勾選「隱藏所有 Microsoft 服務」），取消可疑項。註：與啟動文件夾互補，覆蓋面不同。
7. 註冊表啟動鍵值（Win+R → regedit，先導出備份）：
   • HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
   • HKLM\...\RunOnce
   • HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
   • HKCU\...\RunOnce
   • HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices (舊版)
   • HKLM\SOFTWARE\Wow6432Node\...\Run (32 位於 64 位系統)
   刪除不可識別/路徑指向臨時目錄/隨機文件名的鍵值。
8. 文件關聯劫持檢查：
   • HKCR\exefile\shell\open\command → 值應為 "%1" %*
   • HKCR\inffile\shell\open\command → %SystemRoot%\System32\NOTEPAD.EXE %1
   • HKCR\txtfile\shell\open\command → 同上
   異常即為劫持，恢復默認值。
9. 網絡連接與端口：
   • netstat -ano 查看 ESTABLISHED/LISTENING 狀態，記錄 PID。
   • 任務管理器/Process Explorer 定位 PID 對應進程路徑。
   • 可疑連接：非業務端口、連接已知惡意 IP/域名、進程無簽名/路徑異常。
10. 系統核心文件備份與比對：
    正常時導出 .exe/.dll/.sys 哈希清單 (PowerShell Get-FileHash)。
    懷疑時比對，或用 sfc /scannow、DISM 修復。
11. 檢查 Winstart.bat / autoexec.bat / config.sys：
    C:\Winstart.bat (僅 Win9x/Me)、C:\autoexec.bat、C:\config.sys 若存在不明命令/驅動，記錄並搜索分析。
12. 事件查看器安全日誌：Win+X → 事件查看器 → Windows 日誌 → 安全。
    篩選 Event ID：4624 (登入成功)、4625 (登入失敗)、4672 (特權登入)、4688 (進程創建)、4698/4699/4700/4701/4702 (計劃任務增刪改)。
    關注：非預期時間/IP/用戶登入、匿名登入、服務帳戶互動式登入。
13. 賬戶審計：
    • net user 列出本地用戶，刪除未授權帳戶：net user 惡意帳戶 /delete。
    • 檢查「隱藏帳戶」（名稱結尾帶 $）、克隆帳戶（同 SID 不同名）。
    • 工具：lusrmgr.msc、Get-LocalUser (PS)、第三方帳戶審計腳本。

工具箱推薦

• Process Explorer / Process Hacker：進程詳情、DLL/句柄/網絡/字符串分析、VirusTotal 多引擎查殺。
• Autoruns (Sysinternals)：全面啟動項掃描（註冊表、計劃任務、服務、驅動、Winlogon、映像劫持、Shell 擴展、WMI 事件訂閱等），黃/紅標記可疑項。
• TCPView：實時網絡連接視圖，進程端口雙向綁定。
• GMER / RKUnhooker / TDSSKiller：Rootkit 專殺。
• Malwarebytes / HitmanPro / Kaspersky Virus Removal Tool：二掃描清除殘留。

發現入侵後的黃金 4 步

1. 斷網隔離（拔網線/禁用網卡/切換防火牆封鎖模式），阻止數據外洩/橫向移動。
2. 保存證據：內存鏡像 (WinPMEM)、磁盤鏡像 (FTK Imager/dd)、關鍵日誌導出、可疑文件打包加密保存。
3. 根因分析與清除：利用上述工具/步驟定位入口、持久化點、橫向路徑，徹底清除（必要時重裝系統）。
4. 修復加固：修改所有密鑰/密碼/憑證、打補丁、收緊權限、更新規則、複盤產出報告。

安全無絕對，但系統化排查 + 正確工具 + 冷靜流程，能讓你在入侵面前從容應對，將損失降至最低。