电脑体检报告中的安全风险需逐项核对：用net start查非常规命名服务，netstat -ano定位异常外联进程，net user筛查隐藏或可疑账户，msconfig检查启动项异常启用行为，netsh advfirewall验证防火墙各配置文件是否启用。
电脑体检报告中的安全风险不是自动弹出的汇总页面，而是分散在系统服务、网络连接、用户账户、启动项和防火墙状态等多个检测模块里的异常标记，必须逐项核对才能识别真实威胁。
检查系统正在运行的服务
按下 Win + R，输入 cmd 回车，打开命令提示符窗口。
在窗口中输入 net start 并回车，查看已启动的Windows服务列表。
重点关注名称非常规、含随机字符串（如“svchost_xxx”“winupdater2026”）、或与已知系统服务拼写近似但多/少字母的服务——【这些极可能是恶意后门或伪装进程】。正常系统服务名称统一规范，不会出现下划线+数字组合或明显拼写错误。
若发现可疑服务，记下完整名称，不要立即停止；先用 sc qc 服务名 查询其可执行路径，确认是否位于 C:\Windows\System32 或 C:\Windows\SysWOW64 目录内。路径指向临时文件夹、用户文档或AppData目录的，基本可判定为风险项。
排查异常网络连接
在同一个命令提示符窗口中，输入 netstat -ano 回车，列出所有活动连接及对应进程PID。
观察本地地址（Local Address）列：若出现非127.0.0.1或::1的监听端口（尤其是80、443、3389、445等高危端口），且外部地址（Foreign Address）显示为 *.* 或 0.0.0.0，需进一步核查。
将右侧PID值复制，在任务管理器“详细信息”页签中按PID排序查找对应进程。如果进程名为未知exe、路径不在系统目录、或公司/发布者信息为空，【该连接应视为未授权外联，存在数据回传风险】。
核对用户账户清单
仍在命令提示符中，输入 net user 查看当前所有本地用户账户。
方法一：比对账户数量与日常使用人数。若多出1个以上非管理员命名的账户（如“Guest_2026”“UserTemp”“admin1”），立即执行 net user 账户名 查看其组成员身份和最后登录时间。
方法二：重点筛查账户名含“$”符号（如“INVITE$”）、全小写无意义组合（如“abc123”）、或与近期安装软件同名的账户——这些不是系统自建，而是攻击者留下的持久化入口。
若确认为非法账户，用 net user 账户名 /delete 删除，但删除前务必确保未误删备份管理员或域账户。
验证防火墙与启动项状态
打开“系统配置”（msconfig）→ 切换到“启动”选项卡 → 点击“打开任务管理器”，在“启动”页签中查看所有开机自启项。
按“状态”列筛选出“已禁用”项，右键“启用”并观察是否触发异常进程或弹窗——这是部分恶意程序隐藏自身启动行为的惯用手法。
返回命令提示符，输入 netsh advfirewall show allprofiles，检查“防火墙启用”字段是否全部显示为“否”。【任意一个配置文件（域/专用/公用）显示为关闭，即代表基础防护缺口已打开】。
若发现某配置文件被禁用，用 netsh advfirewall set allprofiles state on 恢复启用，无需重启立即生效。
