powershell脚本+任务计划程序可实现全自动sha256指纹核对：先在干净系统生成baseline.csv基准清单，再通过verify.ps1定时比对并记录异常至alerts.log，支持重试与高权限执行。
用 PowerShell 脚本 + Windows 任务计划程序，就能实现全自动、可追溯的 SHA256 指纹核对，无需装第三方工具，也不依赖网络。
首次生成可信基准清单
在干净、可信的系统上以管理员身份运行一次，生成初始哈希快照：
- 打开 PowerShell（管理员），执行以下命令（示例监控 System32 下核心 DLL）：
$hash = Get-FileHash $_.FullName -Algorithm SHA256 -ErrorAction SilentlyContinue
if ($hash) { [PSCustomObject]@{Path=$_.FullName; SHA256=$hash.Hash; LastWriteTime=$_.LastWriteTime; CreatedTime=$_.CreationTime} }
} | Export-Csv C:\audit\baseline.csv -NoTypeInformation -Encoding UTF8
- 输出文件 baseline.csv 包含路径、SHA256 值、时间戳，建议立即备份到只读位置（如 USB 或网络共享只读目录）
- 跳过无法读取的文件（如被占用或权限不足），避免脚本中断
后续自动比对并记录异常
保存为 verify.ps1，每次运行时读取 baseline.csv，重新计算当前文件哈希并逐行比对：
- 比对逻辑：若路径存在但 SHA256 不一致，或文件已丢失，均视为异常
- 日志包含精确时间戳：$(Get-Date -Format 'yyyy-MM-dd HH:mm:ss')
- 异常写入 alerts.log，格式为：[2026-04-29 10:22:15] MISMATCH: C:\Windows\System32\kernel32.dll (old: a1b2..., new: c3d4...)
- 可选增强：发现异常时自动调用
tasklist /m kernel32.dll查看是否被可疑进程加载
用任务计划程序定时执行
让校验真正“定期”发生，不是靠人想起来才跑：
- 打开“任务计划程序”，创建基本任务 → 触发器设为每天凌晨 2:00
- 操作设置为：“启动程序”，程序为
powershell.exe，参数填：
- 务必勾选“使用最高权限运行”，否则读取 System32 文件会失败
- 可额外配置“如果任务失败，则每 10 分钟重试，最多 3 次”，提升健壮性
轻量替代方案：certutil 批处理（适合少量关键文件）
若只需盯紧几个高危文件（如 lsass.exe、net.exe），用 certutil 更简洁、免策略限制：
- 新建 check_critical.bat，硬编码预期哈希（从干净系统提取）：
set EXPECTED_LSASS=9f8e7d6c5b4a39281706f5e4d3c2b1a0...
for /f "tokens=2" %%i in ('certutil -hashfile "%windir%\System32\lsass.exe" SHA256 2^>nul ^| findstr ":"') do set ACTUAL_LSASS=%%i
if not "%EXPECTED_LSASS%"=="%ACTUAL_LSASS%" echo [%date% %time%] ALERT: lsass.exe changed >> C:\audit\quick_alert.log
- 同样用任务计划程序每天执行，响应快、资源占用低
- 注意排除
C:\Windows\WinSxS等更新缓存目录——它们天然会变，不具监控价值
