懷疑電腦被植入木馬、中病毒，手邊無專業工具？Windows 內建三條指令即可完成**網路連線、服務、帳號**三大面向的初步入侵檢測。本文詳解實戰操作與異常判讀標準。

一、netstat -an：掌握所有網路連線

輸出四欄關鍵資訊：

• Proto：協定 (TCP/UDP)
• Local Address：本地 IP:埠口
• Foreign Address：遠端 IP:埠口
• State：連線狀態 (ESTABLISHED, LISTENING, SYN_SENT, TIME_WAIT...)

異常判讀：

• 大量 `ESTABLISHED` 連往未知外部 IP (特別是非常用埠口 6667, 31337, 12345 等)。
• 本機 `LISTENING` 埠口異常增多 (木馬開啟後門監聽)。
• 進階：`netstat -ano` 顯示 PID → `tasklist | findstr ` 定位進程完整路徑 → 驗證合法性。

二、net start / net stop：排查異常服務

駭客入侵後常安裝/啟用服務作為持久化後門 (如 IIS、Remote Access、自訂服務)。

1. 執行 `net start` 列出所有運行中服務顯示名稱。
2. 對照基準線 (乾淨系統服務清單)，找出**非自行啟用、不知用途**的服務。
3. 執行 `net stop <服務名稱>` 立即停止，並用 `sc config <服務名稱> start= disabled` 禁用開機自啟。

三、net user：偵測克隆管理員帳號

經典手法：啟用內建閒置帳號 (Guest, HelpAssistant, Aspnet 等) → 加入 Administrators 群組 → 外觀正常、實則最高權限。

1. `net user` 列出所有本地帳號。
2. `net user <帳號名>` 查看隸屬群組 (Local Group Memberships)。
3. 判斷準則：除 `Administrator` 外，**任何內建帳號若屬 Administrators 群組，極大機率為克隆後門帳號**。
4. `net user <帳號名> /del` 立即刪除；並檢查該帳號建立時間、最近登入時間 (事件檢視器 Security Log Event ID 4720/4722/4738)。

四、後續必要動作

• 上述僅為**初步排查**，發現異常後必須：全盤深度掃毒 → 檢查啟動項/排程任務/登錄檔 Run 鍵值 → 分析防火牆/系統日誌 → 修補漏洞 → 變更所有帳號密碼 → 必要時重灌系統。
• 建議平時匯出基準線 (`netstat -anb > baseline_netstat.txt`, `net start > baseline_services.txt`, `net user > baseline_users.txt`)，事發時快速 `diff` 比對。