前言

基本 Windows 指令往往能識別木馬蹤跡，在網路安全防護上大有裨益。

一、檢測網路連線：netstat -an

懷疑被裝木馬或中毒卻無完善工具時，用此指令查看所有與本機建立連線的 IP。包含四欄位：Proto（連線方式）、Local Address（本地連線位址）、Foreign Address（遠端連線位址）、State（連接埠狀態）。透過詳細資訊可完全監控電腦連線，達到掌控目的。

二、禁用不明服務：net start / net stop

重開機後電腦變慢、優化無效、掃毒無發現，可能被植入特殊服務（如 IIS）。用 net start 查看啟動服務，發現非自行開啟的服務，用 net stop 服務名稱 禁用。

三、輕松檢查帳號：net user

惡意攻擊者常用「複製帳號」控制電腦：啟動系統預設少用帳號，提權至管理員，表面看似正常實則為最大安全隱患。

檢測方法：

1. net user 列出所有用戶。
2. net user 帳號名稱 查看該帳號權限。一般僅 Administrator 屬 administrators 群組，其他皆非。若發現系統內建帳號屬 administrators 群組，幾乎確定被入侵並被複製帳號。
3. 立即用 net user 帳號名稱 /del 刪除該帳號。