WMIC 指令三部曲：監控服務、啟動項、進程，系統變化明察秋毫

延續 net start 監控服務，WMIC 指令更強大，可列出所有啟動項與進程詳細資訊（含路徑、參數），是無第三方軟體環境下的系統安全稽核利器。

前置作業

命令提示字元輸入 wmic 安裝元件，之後即可直接使用 WMIC 指令碼。

一、監控啟動項變化

1. 基準線：wmic startup list brief > d:\start.txt
2. 懷疑有異常新增：wmic startup list brief > d:\start1.txt
3. 比對：fc d:\start.txt d:\start1.txt，快速找出新增項目。

二、深度檢視進程詳細資訊

發現可疑啟動項（如 rundll32.exe）後，輸入 wmic 進入互動模式，再輸入 process，即列出所有進程完整路徑、命令列參數、父進程 ID 等。可揭露木馬透過 rundll32.exe 載入惡意 DLL（如 c:\windows\hgz.dll）的真相。

實戰建議

• 系統乾淨時先匯出啟動項與開機進程清單備份。
• 懷疑中毒時比對差異，依 process 提供路徑精準刪除異常程式。
• 任務管理器無法顯示路徑與參數，WMIC 完美補足。

搭配 net start/sc query 服務監控，三大核心（服務、啟動項、進程）全掌握，純內建指令打造企業級安全稽核基線。