命令列防毒七大神器：Tasklist、Taskkill、Netstat、Find、NTSD、Ftype、FC 實戰詳解

一、Tasklist —— 火眼金睛：進程偵測專家

病毒常藏身於進程中。Tasklist (XP 以上支援) 不僅列出作用中進程，配合參數更強大：

• Tasklist /M：顯示每個任務載入的所有 DLL 模組。
• Tasklist /SVC：顯示每個進程內的服務清單，可識別 svchost.exe 載入的服務，辨別惡意進程。
• Tasklist /s IP /u 帳號 /p 密碼：遠端查詢其他電腦進程，利於網管遠端查毒。

二、Taskkill —— 進程殺手：強制終結頑固進程

• 依進程名稱結束：TASKKILL /F /IM 進程名 (/F 為強制)。
• 依 PID 結束：先用 Tasklist 取得 PID，再執行 taskkill /pid PID號。
• 獨門絕技：能結束工作管理器無法中止的進程（需加 /F），並支援結束進程樹、遠端進程、篩選條件進程。

三、Netstat —— 連接埠偵探：發現木馬後門

• Netstat -a：顯示所有連線狀態（ESTABLISHED、LISTENING 等）。木馬後門通常處於 LISTENING 狀態，留意陌生且連接埠號較大的項目。
• Netstat -ao：顯示連線對應的 PID，便於進一步追蹤進程。

四、FIND —— 捆綁克星：偵測檔案捆綁木馬

執行 FIND /C /I "This program" 待查檔案路徑：

• EXE 檔正常回傳值為 1，大於 1 疑似捆綁。
• 圖片等非執行檔正常為 0，大於 0 則異常。

五、NTSD —— 強力終結者：殺掉連 Taskkill 都殺不掉的進程

指令：ntsd -c q -p PID。除 System、SMSS.EXE、CSRSS.EXE 等核心進程外，幾乎能強制結束所有進程。PID 可用 Tasklist 取得。

六、FTYPE —— 檔案關聯修復專家

• 修復 .exe 關聯：ftype exefile="%1" %*
• 修復 .txt 關聯：ftype txtfile=%SystemRoot%\system32\NOTEPAD.EXE %1

比修改登錄檔簡單且不易出錯。

七、FC —— 登錄檔監控器：追蹤軟體安裝對登錄檔的變更

1. 安裝前備份登錄檔為 1.reg，安裝後匯出為 2.reg。
2. 執行 fc /u 1.reg 2.reg > changes.txt。
3. 開啟 changes.txt 即可清晰看到新增/修改的登錄檔鍵值。

此法可用於分析任意時刻的登錄檔變化。