排查電腦被植入後門全指南（一）：進程分析、啟動項、註冊表與系統檔案

前言

電腦突然死機/自動重啟、檔案莫名消失、桌面重整慢、無大程式卻硬碟狂讀寫、系統無故搜尋軟碟機、殺毒/防火牆報警、速度越來越慢 → 必須警惕。

第一時間反應

Ctrl+Alt+Del 調出任務管理器，查陌生程式。任務管理器上的程式一般不影響基本運行（指基本運行），可嘗試關閉可疑程式觀察異常是否恢復；發現多個同名程式運行且隨時間增多極可疑。若在連網後發現這些現象，別懷疑，動手查！（也可能是其他病毒搞鬼）

1. 升級殺毒軟體至最新全盤掃描。
2. 顯示隱藏系統檔案： 工具 → 資料夾選項 → 檢視 → 取消勾選「隱藏受保護的作業系統檔案(建議)」與「隱藏已知檔案類型的副檔名」。
3. 查 Windows\WIN.INI 開頭幾行： [WINDOWS] load= run= 此處放開機自動執行程式，對比檢查。
4. 查 Windows\SYSTEM.INI： [386Enh] device= 放系統與外掛驅動，外掛驅動通常用全路徑（如 device=c:\windows\system32\tianyangdemeng.exe）。
5. 查開始選單「程式→啟動」： 亦為開機自動執行程式，位於 C:\Windows\Start Menu\Programs\，備份後刪除，需恢復時拿回來。
6. msconfig 查啟動項： 執行 MSCONFIG，與上法不同，雙管齊下可發現差異（深層原因作者也不清楚，望高手解答）。
7. 查註冊表 regedit： 先備份再查。
   • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices 與 Run 項。
   • HKEY_CLASSES_ROOT\EXEFILE\SHELL\OPEN\COMMAND → 正確值 "%1"%*。
   • HKEY_CLASSES_ROOT\INFFILE\SHELL\OPEN\COMMAND → 正確值 "%SystemRoot%\SYSTEM32\NOTEPAD.EXE%1。
   • HKEY_CLASSES_ROOT\TXTFILE\SHELL\OPEN\COMMAND → 正確值 %SystemRoot%\SYSTEM32\NOTEPAD.EXE%1。
8. 啟動 CMD 輸入 NETSTAT -AN 查異常埠。
9. Windows 執行檔 .exe/.com/.dll 皆可能為駭客植入病毒或攜帶者。系統正常時備份，需要時寫回。
10. 查 Windows 目錄下是否有 Winstart.bat： 類似 Autoexec.bat 的自動批次檔，僅在 Windows 下作用。檢查有無不知驅動程式，記錄後上百度查，一般這檔案不會被用到（憑經驗判斷）。