懷疑電腦被裝木馬、中病毒，手邊卻沒專業工具？Windows 內建的三條網路/服務/帳號指令，就能幫你完成初步入侵檢測。本文詳解 netstat、net start/stop、net user 實戰用法。

一、netstat -an：監控所有網路連線

指令輸出四欄關鍵資訊：

欄位	說明	異常判斷
Proto	協定 (TCP/UDP)	大量 UDP 連線可能為木馬心跳
Local Address	本地 IP:埠口	不明埠口 (如 31337, 12345) 疑似後門
Foreign Address	遠端 IP:埠口	大量外連至未知 IP，特別是境外 IP
State	連線狀態	ESTABLISHED 多筆異常、SYN_SENT 大量發送

實戰技巧：搭配 netstat -ano 顯示 PID，再用 tasklist | findstr 定位進程路徑。

二、net start / net stop：排查異常服務

入侵者常開啟 IIS、Terminal Service、自訂服務作為後門。

1. net start 列出所有運行中服務。
2. 對照已知服務清單，發現未授權服務（如 IISADMIN、W3SVC 非網站伺服器不應啟動）。
3. net stop <服務名> 立即停用，並將啟動類型設為「手動」或「停用」。

三、net user：偵測克隆管理員帳號

駭客慣用手法：啟用內建閒置帳號（如 Guest、Aspnet） → 提權至 Administrators 群組 → 外觀不變、實則最高權限。

1. net user 列出所有帳號。
2. net user <帳號名> 查看該帳號隸屬群組。
3. 除了 Administrator，任何內建帳號若屬 Administrators 群組，幾乎確定被入侵並克隆。
4. net user <帳號名> /del 立即刪除克隆帳號。

四、後續建議

• 上述指令僅為初步排查，確認異常後務必配合完整掃毒、日誌分析、系統加固。
• 建議平時記錄基準線（正常 netstat/net user 輸出），異常時快速比對。