圖形介面防毒軟體固然好用，但命令列工具零依賴、啟動極速、功能穿透，是駭客與管理員的共同最愛。Windows 內建 7 大命令列神器，組成最強「抗毒精英小隊」，讓病毒木馬無所遁形。
一、Tasklist——火眼金睛：看透進程與模組
- `tasklist`：列出所有進程（相當於工作管理器）。
- `tasklist /M`：顯示每個進程載入的所有 DLL 模組，發現惡意 DLL 注入。
- `tasklist /SVC`：顯示 `svchost.exe` 內承載的服務，識別偽裝服務。
- `tasklist /S 192.168.1.100 /U admin /P pass`：遠端查看目標主機進程，網管遠端查殺利器。
二、Taskkill——進程殺手：強制結束頑固進程
- `taskkill /F /IM 進程名.exe`：依映像名稱強制結束。
- `taskkill /F /PID 1234`：依 PID 強制結束（配合 tasklist 取得 PID）。
- 獨門絕技：`/F` 參數能殺掉工作管理器無法結束的系統進程（除核心進程外）。
- 支援結束進程樹、遠端進程、篩選條件結束，`taskkill /?` 查看完整語法。
三、Netstat——連接埠偵探：揭露木馬後門
- `netstat -a`：顯示所有連線（ESTABLISHED/LISTENING）。重點關注 LISTENING 狀態的大號連接埠（木馬後門常態）。
- `netstat -ao`：顯示連接埠對應 PID，配合 tasklist 定位進程。
- 木馬特徵：陌生大號埠、LISTENING 狀態、無對應合法服務。
四、Find——捆綁克星：偵測檔案捆綁木馬
- 指令：`find /C /I "This program" 可疑檔案路徑`
- 原理：正常 PE 執行檔包含 1 次 "This program" 字串；捆綁檔案含多個執行檔，計數 > 1。圖片等非執行檔正常計數為 0，>0 即異常。
- 快速篩選可疑檔案，無需安裝額外工具。
五、NTSD——強力終結者：殺掉連 Taskkill 都殺不掉的進程
- 指令：`ntsd -c q -p PID`
- Windows 內建核心除錯器，具最高權限。除 `System`、`SMSS.EXE`、`CSRSS.EXE` 等極少核心進程外，幾乎所有進程皆可強制終結。
- 進程 PID 以 `tasklist` 取得。
六、Ftype——檔案關聯修復專家：一鍵修復被病毒竄改的開啟方式
- EXE 關聯修復：`ftype exefile="%1" %*`
- TXT 關聯修復：`ftype txtfile=%SystemRoot%\system32\NOTEPAD.EXE %1`
- 比修改登錄檔簡單安全，適用於病毒/流氓軟體竄改檔案關聯後的快速恢復。
七、FC——登錄檔監控器：記錄軟體安裝前後的登錄差異
- 安裝軟體前：`regedit /e 1.reg` 匯出完整登錄檔。
- 安裝完成後：`regedit /e 2.reg` 匯出新登錄檔。
- 命令列執行：`fc /u 1.reg 2.reg > changes.txt`
- 打開 `changes.txt` 即可清晰看到新增/修改/刪除的鍵值。
此法可用於分析任意時刻登錄變化、審計軟體行為、製作綠色軟體註冊資訊。
熟練這 7 大指令，你就擁有了不需安裝任何第三方工具、隨呼隨到的「命令列防毒特戰隊」。
