Windows 內建指令三步驟偵測木馬：netstat、net start、net user

1. netstat -an —— 監控所有網路連線

顯示 Proto、Local Address、Foreign Address、State 四欄。異常遠端 IP、可疑埠口（如 31337、12345）即為木馬跡象。

2. net start / net stop —— 禁用不明服務

net start 列出所有已啟動服務。發現非自行啟用服務（如 IIS、不明名稱） → net stop <服務名> 立即停用。

3. net user —— 掃描複製帳號

net user 列出所有帳號 → net user <帳號> 查權限。除 Administrator 外，內建帳號若屬 administrators 群組，極大機率被入侵植入複製帳號。立即 net user <帳號> /del 刪除。

三指令無需第三方工具，隨時隨地可執行基線檢查。