Windows怎么排查系统后门木马-Windows系列-PHP中文网

发现电脑异常卡顿、CPU持续满载、浏览器跳转、杀软被禁用或任务管理器中出现路径非System32的svchost.exe进程，说明系统很可能已被植入后门木马，须立即手工排查：检查可疑用户与影子账户、扫描启动项与注册表自启位置、核查计划任务与服务项、定位异常网络连接与进程、审计系统关键目录最新文件。

windows怎么排查系统后门木马

当你发现电脑异常卡顿、CPU持续满载、浏览器自动跳转、杀软被莫名禁用，或任务管理器里出现名字像svchost.exe但路径不在System32的进程时，说明系统很可能已被植入后门木马，必须立即启动手工排查流程。

检查可疑用户与影子账户

打开命令提示符（管理员权限），执行：net user，记录所有可见用户名；再执行：net localgroup administrators，确认管理员组成员是否异常增多。

按 Win+R 输入 regedit，定位到 HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\Names。若提示“无法访问”，右键 SAM 项 → “权限” → 勾选 Administrators 的“完全控制” → 确定 → 刷新。右侧列表中显示的所有用户名，与 net user 输出比对：【多出来的名称极大概率是影子用户，不可删除前先导出该键值备份】。

影子用户常以 $ 结尾（如 admin$），在图形界面完全不可见，却是攻击者长期驻留的核心凭证。

扫描启动项与注册表自启位置

方法一：直接检查两大启动目录
打开文件资源管理器，分别粘贴并访问以下两个路径：
%appdata%\Microsoft\Windows\Start Menu\Programs\Startup
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup
查看是否有非你安装的 .bat、.exe、.vbs 文件。

方法二：注册表深度扫描
在 regedit 中依次检查以下 6 个键值，重点看右侧“数值数据”是否指向临时目录（如 %TEMP%）、用户下载目录或路径含随机字符：
• HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
• HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run
• HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce
• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce
• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnceEx\0001

注意：RunOnceEx 下的项一旦触发即删除，若此处存在条目，说明木马近期刚完成一次自启加载。

核查计划任务与服务项

第一步：导出全部活动计划任务
以管理员身份运行 PowerShell，执行：
schtasks /query /fo LIST /v > C:\tasks_full.txt
这会生成完整清单，重点筛查“触发器”为“登录时”“启动时”“空闲时”的任务，“操作”列是否调用可疑路径的 .bat 或 .exe，“安全选项”是否设为 SYSTEM 权限。

第二步：筛选非微软签名的服务
执行：
Get-Service | Where-Object {$_.Status -eq 'Running'} | ForEach-Object { $svc = $_; $path = (Get-WmiObject Win32_Service | Where-Object {$_.Name -eq $svc.Name}).PathName; Write-Host "$($svc.Name) : $path" }
逐行检查输出中的 PathName：凡路径不在 C:\Windows\System32\ 或 C:\Windows\SysWOW64\ 的，或含空格未加引号包裹的（如 c:\bad\svch0st.exe），均需手动验证文件签名。

第三步：确认服务描述真实性
对可疑服务名（如 WSearcher、SysHelper）执行：
sc qc "服务名"
观察“DESCRIPTION”字段——木马常伪造成“Windows Search Extension”之类，但实际文件根本不是微软签名。

windows-screenshot-ocr

Windows全屏截图（自动标记鼠标位置）+ 原生OCR文字识别。本地运行，无需联网和API Key，适用于截图分析和自动化OCR场景。

下载

定位异常网络连接与进程

执行：netstat -ano | findstr ":4444\|:8080\|:3389\|:21\|:22\|:6666"，这些是远控木马高频端口。若返回 PID，立刻用 tasklist | findstr "PID号" 匹配进程名。

对匹配出的进程，右键任务管理器 → “打开文件所在的位置”，检查路径是否为 C:\Windows\System32\svchost.exe —— 若是 C:\Users\Public\svch0st.exe 或 D:\Temp\a.exe，则【立即结束进程并删除该文件，不要右键“属性”查看，避免触发恶意代码】。

若进程名与系统进程完全一致（如 explorer.exe、lsass.exe），但路径异常，说明可能已被注入 DLL。此时需使用 PCHunter 工具扫描该进程的模块列表，查找无签名或签名颁发者为 Unknown 的 .dll 文件。