善用 netstat 指令監控連線、查帳號、封服務，守護 Windows 安全

核心指令速查表

實戰場景

1. 懷疑中木馬/病毒？檢查可疑連線

執行 netstat -anob（需管理員），觀察 ESTABLISHED 狀態的遠端 IP 是否陌生，對應的 PID/程式名稱是否可疑。結合 tasklist 或工作管理員進一步分析。

2. 禁用不明服務

• net start 列出所有啟動服務。
• 發現非自行啟動的服務（如 IIS、不明名稱）→ net stop 服務名稱 停用。
• 永久禁用：services.msc 將啟動類型改為「停用」。

3. 檢查克隆管理員帳號

• net user 列出所有本機帳號。
• net user 帳號名 查看該帳號所屬群組。
• 除 Administrator 應屬 Administrators 群組外，**內建帳號若也在 Administrators 群組，極大機率被入侵克隆**。
• 立即刪除：net user 可疑帳號 /del。

進階提示

Vista/Win7/Win10 同樣支援上述參數，且 netstat -b 需以管理員身分執行命令提示字元。定期檢查連線與帳號，是零成本的主動防禦。