Win7 利用 netstat 指令偵測木馬連線並結束惡意進程

無須安裝第三方掃毒軟體，Win7 內建 netstat 指令即可監控 TCP/IP 連線，發現可疑連接埠對應的 PID，再透過工作管理員或 taskkill 結束木馬進程。

netstat 基本用法

開啟命令提示字元（Win+R → cmd），輸入：

netstat -an

顯示四欄：Proto（協定）、Local Address（本地 IP:埠）、Foreign Address（遠端 IP:埠）、State（狀態：ESTABLISHED/LISTENING/TIME_WAIT 等）。木馬需與控制端通訊，必會開啟連接埠，在此即可發現異常連線。

進階：顯示進程 PID (-o 參數)

netstat -an -o

輸出最後一欄為 PID，記下可疑連線對應的 PID。

對應 PID 找到惡意程序

1. 開啟工作管理員（Ctrl+Shift+Esc）→ 「檢視」→ 「選擇欄位」→ 勾選「PID（程序識別碼）」。
2. 切換到「程序」標籤，依 PID 找到對應程序名稱。
3. Win7 工作管理員提供「描述」欄位，可輔助判斷程序性質。

結束惡意進程

確認有問題後，命令提示字元執行：

taskkill /pid 1234 /f

（1234 為惡意程序 PID，/f 強制結束）。

進程結束後，再以防毒軟體完整掃描清除殘留檔案。習慣定期執行 netstat -an -o 並對照常見服務埠（80, 443, 3389, 1433 等），可及早發現異常連線。