作者註：文章持續更新中，歡迎高手指教，春節前將發布完整版含進程/服務對照表。新手求助請先貼日誌，讓前輩對症下藥。

第一階段：全面掃描——善用 SRE (System Repair Engineer)

新手難以手動逐項檢查登錄表，推薦使用 SRE 智慧掃描：開啟軟體→點選左側「智慧掃描」→「掃描」，即可對開機啟動項、服務、驅動、瀏覽器增益集、進程、檔案關聯、Winsock 提供者、autorun.inf、HOSTS 檔、API Hook 等進行全方位掃描。

不想自行分析者，可將日誌貼至論壇尋求協助。

第二階段：日誌分析核心四步驟

1. 看進程——找出非系統/非軟體的異常進程

重點關注路徑位於 C:\Windows、C:\Windows\System32 但非系統核心進程的項目。需累積經驗辨識系統基本進程與軟體進程。DLL 注入型木馬需進一步三步驟深入分析。

2. 看啟動項（含登錄表、啟動資料夾、服務、驅動）

SRE 已自動隱藏微軟簽名啟動項，適合新手。服務與驅動需經驗判斷，建議逐項對照。

3. 交叉比對

將所有可疑啟動項與可疑進程一一對應。若無法對應，需深入研究：是否為病毒特殊啟動/保護機制，或共存其他病毒。

4. 檢查關鍵殘留項目

• autorun.inf： 任一磁碟存在即中毒。刪除四法：WinRAR 直接刪、資源管理器顯示隱藏檔刪、CMD attrib -s -h -r -a 後 del、冰刃檔案管理刪除（推薦新手）。
• HOSTS 檔： 路徑 C:\WINDOWS\system32\drivers\etc\hosts。若所有網域解析至同一 IP 或均為 127.0.0.1，即被劫持。病毒清除後用記事本修復。

第三階段：清除病毒本體——冰刃三大場景實戰

前置設定： 冰刃「檔案→設定」勾選「禁止執行緒建立」。

場景一：有明確 EXE 進程

1. 冰刃「進程」頁籤結束可疑進程；
2. 依比對結果處理啟動項：註冊表雙擊清空、服務改為停用、驅動於 HKLM\SYSTEM\CurrentControlSet\Services 刪除；
3. 冰刃強制刪除檔案，完成。

場景二：無明確 EXE，DLL 注入型木馬（如江湖、征途木馬）

1. 先處理對應啟動項的 EXE（同上）；
2. 強制刪除 EXE 檔；
3. 強制刪除注入的 DLL（若找不到可暫留，變成無害垃圾檔）；
4. 重開機驗證。

場景三：最棘手——殺毒軟體報毒但日誌找無蹤跡

1. 冰刃於進程、核心模組、啟動組、服務全面搜尋；
2. 若仍無發現：冰刃強制刪除病毒檔（若殺毒軟體已刪除可略過）；
3. 在原位置建立同名資料夾（含副檔名），阻斷病毒重建；
4. 使用 Filemon 監控檔案系統活動，逐一執行軟體，找出嘗試建立該檔案的程式；
5. 刪除該程式所有檔案並重裝。

附錄：乾淨 XP SP2 系統 SRE 登錄表啟動項基準參考

（僅列關鍵項，完整版請見作者後續更新）

• HKCU\Software\Microsoft\Windows\CurrentVersion\Run：輸入法、超級兔子、MSN 等；
• HKLM\Software\Microsoft\Windows\CurrentVersion\Run：輸入法、暴風影音、顯卡/聲卡驅動、各類防毒軟體、eMule、Nero、Real、酷狗等；
• HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon：逗號後有內容 90% 是病毒；
• HKLM\Software\Microsoft\Windows NT\CurrentVersion\Windows：有內容 90% 是病毒（AppInit_DLLs 機制）。

新手心法： 工具輔助分析、經驗累積判斷、冰刃強力清除、Filemon 行為追蹤——四步驟構建手工殺毒完整閉環。實踐出真知，勤練方能金剛不壞。