DLL 木馬不產生新進程，隱藏於關鍵系統進程（如 lsass.exe）中，殺毒軟體常查殺無效。若手邊無專業工具，Office Excel 即可成為強力分析武器。

第一步：鎖定被感染進程

執行 netstat -a -n -o 查看連接狀態。發現 PID 580（lsass.exe）處於 ESTABLISHED 狀態，表示正在通訊。lsass.exe 本為本地安全權限服務，不應開放對外連接，判定極大機率被植入 DLL 木馬。若見 TIME_WAIT 代表曾被連接，LISTENING 代表側聽中。

DLL 木馬分類：

1. 插入常用進程（notepad.exe、iexplore.exe）：開機未啟動程式卻出現該進程即中招；
2. 插入系統進程（explorer.exe、lsass.exe、winlogon.exe）：需結合連接埠與進程特性判斷；
3. 插入本身開放埠進程（alg.exe、svchost.exe）：綜合連接 IP、載入 DLL 判斷。

第二步：Excel 比對 DLL 清單找出異常

1. 正常電腦執行 tasklist /m /fo list > G:\dll1.txt 匯出 DLL 清單，複製 lsass.exe 載入的 DLL 列表；
2. 中毒電腦同樣匯出 dll2.txt；
3. Excel 中將兩列資料分別貼上（A 欄正常、B 欄中毒），B 欄設紅字，剪貼至 A 欄後「資料」→「排序」；
4. 連續紅字且與上一列不同者即為木馬 DLL。本例發現：mswsock.dll、PSAPI.DLL、wshtcpip.dll、share.dll。

第三步：刪除木馬實體檔

搜尋上述檔案（多在 system32），查看屬性（版本標籤、建立日期、大小）鎖定真兇 c:\windows\system32\share.dll。進入安全模式刪除，並依建立時間/大小找出同夥刪除。

第四步：平時備份關鍵進程 DLL 清單，未雨綢繆

定期用 tasklist 備份 lsass.exe、svchost.exe 等關鍵進程 DLL 清單。懷疑中毒時重開機關閉無關程式，匯出現狀與備份在 Excel 比對，快速定位木馬。注意：多個 svchost.exe PID 不同，需分開備份。