命令列防毒七大神器：Tasklist、Taskkill、Netstat、Find、NTSD、Ftype、FC

一、Tasklist — 火眼金睛（進程與模組檢視）

• tasklist：列出所有進程（相當於工作管理員）。
• tasklist /M：顯示每個進程載入的所有 DLL 模組，發現惡意 DLL 掛載。
• tasklist /SVC：顯示每個進程對應的服務，辨識 svchost.exe 下隱藏的惡意服務。
• tasklist /s 192.168.1.100 /u admin /p pass：遠端檢視目標電腦進程（需合法帳號密碼）。

二、Taskkill — 進程殺手（強制結束頑固進程）

• taskkill /F /IM notepad.exe：依映像名稱強制結束。
• tasklist 記下 PID → taskkill /F /PID 1234：依 PID 強制結束。
• taskkill /F /T /PID 1234：結束整個進程樹（含子進程）。
• taskkill /s 192.168.1.100 /u admin /p pass /F /PID 5678：遠端強制結束進程。

三、Netstat — 連接埠偵探（發現木馬後門）

• netstat -a：顯示所有連線與監聽埠（LISTENING 狀態為木馬常見特徵）。
• netstat -ao：顯示連線對應的 PID，配合 tasklist 鎖定可疑進程。
• 重點關注：陌生的大號埠號（>10000）處於 LISTENING 狀態。

四、Find — 捆綁克星（偵測檔案捆綁木馬）

• find /C /I "This program" suspicious.exe：搜尋 PE 標誌字串。
  正常 EXE 回傳計數 1；大於 1 疑似捆綁。
  圖片/文件正常回傳 0；大於 0 疑似藏有可執行碼。

五、NTSD — 強力終結者（殺掉 Taskkill 也殺不掉的進程）

• ntsd -c q -p PID：Windows 內建除錯器，可強制終結除 System、smss.exe、csrss.exe 等極少核心進程外的所有進程。
• 配合 tasklist 取得 PID 使用。

六、Ftype — 檔案關聯修復專家

• 修復 EXE 關聯：ftype exefile="%1" %*
• 修復 TXT 關聯：ftype txtfile=%SystemRoot%\system32\NOTEPAD.EXE %1
• 比修改登錄檔簡單安全，適用於病毒/流氓軟體竄改檔案關聯後的修復。

七、FC — 登錄檔監控器（追蹤安裝軟體對登錄的修改）

1. 安裝軟體前匯出登錄檔：regedit /e 1.reg
2. 安裝完成後再匯出：regedit /e 2.reg
3. 執行比對：fc /u 1.reg 2.reg > changes.txt
4. 開啟 changes.txt 即可清晰查看該軟體新增/修改/刪除的登錄鍵值。

總結

這七個原生命令列工具無需安裝第三方軟體，即可完成進程分析、強制終結、連接埠偵測、捆綁檢測、關聯修復、登錄審計等核心防毒任務，是系統管理員與進階用戶的必備技能包。