Win7 看透後台偷跑程式：msinfo32 系統資訊 > 正在執行的工作，比工作管理員更完整

工作管理員「進程」分頁僅顯示當前使用者會話的可見進程，大量系統服務、驅動程式、背景代理程式隱藏不見。內建 msinfo32 (系統資訊) → 「軟體環境」→「正在執行的工作」列出**所有載入模組的進程**，含 SYSTEM 權限、服務宿主、核心驅動關聯執行緒，是發現隱藏後台程式、惡意軟體殘留、資源佔用真兇的利器。

操作路徑

1. Win+R → msinfo32 → Enter。
2. 左側樹狀：系統摘要 → 軟體環境 → 正在執行的工作。
3. 右側列表顯示欄位：
   名稱 (模組/進程名)、路徑 (完整檔案路徑)、版本、檔案大小、建立日期、製造商、進程 ID (PID)。

比較優勢：msinfo32 vs 工作管理員 vs Process Explorer

實戰用法：獵捕偷跑程式

1. 開啟 msinfo32 → 「正在執行的工作」，按「名稱」排序。
2. 關注：
   - 無製造商/製造商為空/亂碼 的項目。
   - 路徑在 Temp、AppData\Roaming、ProgramData\非知名廠商資料夾 的可執行檔。
   - 名稱類似系統進程但路徑錯誤 (如 svchost.exe 在 C:\Temp\、lsass.exe 在 C:\Program Files\xxx\)。
   - PID 在工作管理員找不到 的項目 (可能是核心執行緒/驅動模組)。
3. 記下可疑項目路徑、PID → 檔案總管定位檔案 → 右鍵內容 → 「詳細資料」查看數位簽章/版權資訊 → VirusTotal 上傳掃描。
4. 確認惡意/無用 → 任務管理員/Process Explorer 結束進程 → 刪除檔案 → 清理啟動項/服務/排程工作。

導出分析

msinfo32 → 「檔案」→ 「匯出」→ 存為 .txt 或 .nfo，可用文字編輯器/Excel 匯入 (Tab 分隔) 進行離線分析、對比不同時刻快照、建立基線。

msinfo32 是 Win7 系統內建的「X 光眼」，無需安裝、無需管理員權限 (查看受限)、輸出結構化資料。定期匯出建立基線，異常時快速比對，是輕量級主機入侵檢測 (HIDS) 的零成本實踐。