善用 Windows 內建指令手動查殺病毒完整教學 (上)

面對層出不窮的新型病毒，即便安裝了防毒軟體並定時更新病毒碼，病毒總是比病毒碼更新更快一步。當防毒軟體失效時，善用 Windows 內建的命令列工具進行手動查殺，往往能發揮奇效。本文將分階段介紹從備份、比對、判斷、終止進程、刪除檔案到修復登錄檔的完整手動除毒流程。

一、 事前準備：備份正常系統進程清單

新型病毒常偽裝成系統進程隱藏身分。建議在系統乾淨、剛進入 Windows 且未執行任何程式時，先備份一份標準的進程基準線，日後電腦異常時即可比對找出異常進程。

開啟「命令提示字元」，輸入以下指令：

TaskList /fo:csv > g:\zc.csv

此指令會將目前進程清單以 CSV 格式輸出至指定路徑（範例為 G 槽），日後可用 Excel 開啟分析。

二、 異常偵測：比對進程差異

當電腦出現異常或聽聞新病毒流行時，立即產生一份當前進程清單並與備份比對：

TaskList /fo:csv > g:\yc.csv
FC g:\zc.csv g:\yc.csv

FC (File Compare) 會顯示兩個檔案的差異。例如發現多出一個名為 Winion0n.exe（而非正常的 Winionon.exe）的可疑進程，即為查殺目標。

三、 判斷確證：檢視網路連線與連接埠

大多數木馬病毒需透過連接埠對外連線。輸入以下指令檢視所有開放連接埠及對應的進程 ID (PID)：

Netstat -a -n -o

• -a：顯示所有連線與監聽連接埠
• -n：以數字格式顯示位址與連接埠
• -o：顯示擁有連線的進程 PID

觀察狀態為 ESTABLISHED（已建立連線）的可疑 PID（如 1756），再透過工作管理器（需勾選「PID」欄位）確認其對應進程名稱。若該進程非正常網路程式發起的連線，極大機率為木馬後門。

連線狀態補充說明：

• LISTENING：監聽狀態，連接埠開放等待連線（僅 TCP 服務端口）。
• ESTABLISHED：雙向通訊已建立，正在傳輸資料。
• TIME_WAIT：連線結束，等待封包消失，可判斷曾被外部連線。

四、 強制終結：使用 NTSD 刪除頑固進程

許多病毒進程無法透過工作管理器結束。此時可使用 Windows 偵錯工具 NTSD 強制終止（除 System、SMSS.EXE、CSRSS.EXE 外幾乎皆可終止）：

ntsd -c q -p 1756

1756 為目標進程 PID。若不知 PID，可在工作管理器「檢視」→「選擇資料行」勾選「PID (進程識別碼)」。

五、 斬草除根：搜尋並刪除病毒本體與殘留檔案

進程終止後，必須刪除實體檔案。使用「搜尋」功能，勾選「搜尋系統資料夾」、「搜尋隱藏檔案與資料夾」，找出病毒檔案（如 Winion0n.exe）並刪除。接著依據檔案建立日期、大小等屬性，再次搜尋刪除其同夥檔案。若不確定，可上網搜尋病毒名稱尋求協助。

六、 修復登錄檔：清除開機自啟動殘留鍵值

病毒常在登錄檔多處寫入自啟動鍵值。手動刪除檔案後，必須清除這些垃圾鍵值，否則重開機仍會報錯或再次感染。

1. 批次備份自啟動鍵值

建立批次檔 ziqidong.bat，內容如下（僅列舉常見路徑，其他請依樣畫葫蘆）：

reg export HKLM\Software\Microsoft\Windows\CurrentVersion\Run f:\hklmrun.reg
reg export HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run f:\hklcu.reg
reg export HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run f:\hklml.reg

執行後，再輸入 copy f:\*.reg ziqidong.txt 將所有 .reg 合併為文字檔，方便日後用 FC 比對新增項目。

2. 刪除惡意自啟動鍵值

若在 HKCU\Software\Microsoft\Windows\CurrentVersion\Run 發現名為 "Logon"、指向 c:\windows\winlogon.exe 的可疑項，執行：

reg delete HKLM\Software\Microsoft\Windows\CurrentVersion\Run /v Logon /f

優勢： 即使病毒禁用了 regedit.exe，reg 指令仍可正常操作，且速度更快。

3. 還原正常登錄檔

使用備份檔還原：reg import f:\hklmrun.reg。

七、 克星現身：用 FIND 偵測捆綁木馬

捆綁木馬常偽裝成圖片、影音檔（如 chaonv.jpe.exe），利用 Windows 預設「隱藏已知副檔名」欺騙使用者。打開檔案時，前景顯示正常內容，背景卻悄悄執行惡意程式。

使用 FIND 指令檢測：

FIND /c /i "This program" g:\chaonv.jpe.exe

• 正常執行檔 (.exe) 回傳值應為 1。
• 非執行檔 (圖片、文件) 回傳值應為 0。
• 若回傳值為 2 或其他，極大機率為捆綁檔案。

防範建議： 在「資料夾選項」→「檢視」取消勾選「隱藏已知檔案類型的副檔名」，讓雙重副檔名（如 .jpg.exe）無所遁形。

總結：手動查殺標準流程

1. TaskList 備份進程基準線
2. FC 比對找出異常進程
3. Netstat 判斷網路連線惡意行為
4. NTSD 強制終止病毒進程
5. 搜尋刪除病毒本體與相關檔案
6. REG 指令修復登錄檔自啟動項
7. FIND 偵測清除捆綁木馬

平時做好進程備份與系統還原點，遇到疫情才能從容應對，完成「發現 → 刪除 → 修復」閉環。