必须先运行set-executionpolicy remotesigned -scope currentuser启用powershell脚本执行，再通过https://live.sysinternals.com/验证在线服务或离线解压并解除锁定sysinternals suite；随后用accessenum、autoruns、procmon和原生sysmon依次开展权限审计、自启动分析、行为捕获与持久化监控。
确认Sysinternals工具包已就位
Win11系统中要启动Sysinternals级的安全排查，必须先让工具包可执行——它不依赖安装，但必须能被系统识别为可信来源。打开PowerShell（管理员），运行：【Set-ExecutionPolicy RemoteSigned -Scope CurrentUser】。这步跳过会直接导致后续所有.ps1脚本和Live直连调用失败，且不会报错，只静默退出。
接着在浏览器地址栏输入 https://live.sysinternals.com/ ，确认页面能列出完整工具目录；若显示403或空白，说明企业网络策略拦截了Sysinternals Live服务，此时需改用离线方式：前往 https://learn.microsoft.com/zh-cn/sysinternals/downloads/ 下载最新Sysinternals Suite ZIP包，解压到非系统盘（如D:\Sysinternals），右键解压文件夹→属性→勾选“解除锁定”→确定。
用AccessEnum快速暴露权限配置缺陷
权限松散是多数横向移动攻击的起点。双击运行 AccessEnum.exe（无需安装），保持默认设置点击“Scan”。它会在几秒内生成三栏视图：左侧是系统关键路径（如C:\Windows\System32、注册表HKLM\SOFTWARE），中间显示各路径当前允许访问的用户组，右侧标出“Everyone”或“Users”等宽泛组名。
重点检查右侧出现【Everyone】的位置——尤其是注册表项HKLM\SYSTEM\CurrentControlSet\Services下的驱动服务项，或C:\Program Files下任意子目录。只要这里写着Everyone且权限含“Full Control”或“Modify”，就等于给提权漏洞开了后门。
这一步不能靠肉眼扫完就关掉，必须导出结果：点击菜单File→Save As，保存为AccessEnum_Report.txt。后续比对或上报时，这是唯一可追溯的原始依据。
用Autoruns定位隐蔽自启动项
恶意软件最常藏身于开机自动加载环节。运行 Autoruns64.exe（Win11必须用64位版），首次运行会弹出EULA窗口，勾选“I accept the agreement”后点OK。
等待扫描完成（状态栏显示“Ready”），按Ctrl+T切换到“Everything”标签页→点击“Image Path”列标题排序→从底部向上逐行查看路径含“Temp”、“AppData\LocalLow”、“%USERPROFILE%\Downloads”的条目。
这些路径里的.exe或.dll几乎从不合法自启。右键可疑项→选择“Jump to Entry”可定位其注册表位置；若路径指向不存在的文件，右键直接点“Delete”即可清除注册表引用——【此操作不可逆，删除前务必确认路径无真实软件使用】。
注意：不要勾选“Hide Microsoft Entries”，否则会漏掉被篡改的系统组件签名项；也不要启用“Verify Code Signatures”，验证过程极慢且对未签名的合法工具（如部分调试器）造成误报。
用ProcMon实时捕获异常进程行为
当系统出现不明CPU飙升、网络外连或文件加密痕迹时，ProcMon是唯一能锁定源头的工具。运行 ProcMon64.exe，首次运行会弹出过滤器初始化窗口，直接点“Yes”接受默认过滤（仅显示活动进程、文件系统、注册表、网络事件）。
方法一：全局抓取 → 点击工具栏放大镜图标开始捕获 → 让系统空闲运行2分钟 → 点击红色方块按钮停止 → 在结果列表顶部点击“Time of Day”列排序，从最新时间往前翻，重点找Process Name列为svchost.exe但Operation列为“TCP Connect”且Path含非常规IP（如185.220.x.x、103.232.x.x）的行。
方法二：精准过滤 → 停止捕获 → 点击Filter→Filter… → 添加新规则：Operation is TCPConnect → 点击Add → 再添加：Result is SUCCESS → 点击Add → 点击OK。此时列表只剩有效外连记录，双击任一行，在下方Stack窗口里能看到调用该连接的父进程路径。
找到恶意进程后，右键其Process Name→Kill Process Tree → 系统会强制终止该进程及其全部子进程。这步操作后，立刻切换到任务管理器确认对应PID已消失。
用Sysmon内置模块做持久化行为审计
Windows 11 26300系列起已原生集成Sysmon，无需额外下载。以管理员身份运行PowerShell，执行：sysmon -i。若提示“Service Sysmon64 already installed”，说明已存在旧版，先运行sysmon -u卸载再重装。
安装成功后，打开“事件查看器”→Windows日志→Security，筛选事件ID为1（进程创建）、3（网络连接）、12/13（注册表写入/删除）。重点关注Event ID 1中CommandLine字段含powershell -enc、certutil -decode、mshta http等高危字符串的记录。
导出最近24小时所有ID 1事件：右键“Security”日志→“将筛选后的日志另存为…”→格式选.evtx→保存为C:\Sysmon_ProcessAudit.evtx。这个文件可直接用Excel打开（需安装Microsoft Event Viewer插件），按CommandLine列排序后，重复值即为可疑脚本执行模式。
