Windows中毒这件事，只要你的电脑不是一直在裸奔，基本都躲不过。轻则浏览器被劫持、桌面突然多出一堆陌生快捷方式、风扇狂转，重则文件全部被加密、开机直接进不了系统。我做终端运维这些年，处理过的中毒机器没有一百台也有大几十台，踩过的坑、翻过的车都不少。这篇就把Windows病毒排查的完整思路、常用工具、核心命令和实战经验整理出来，给想自己动手排查的朋友一条清晰、可复现的路径。
先说清楚这篇覆盖什么：从接到一台可疑机器的第一步怎么下手，到进程、启动项、网络、计划任务、日志逐层排查，再到勒索、挖矿、远控、蠕虫这几种常见毒型的特征识别，最后附上我处理现场时反复用到的命令速查表和加固建议。适合运维人员、安全工程师，也适合家里电脑出问题想自己弄明白的进阶用户。
1. 病毒排查的整体思路：先定性，再动手
1.1 拿到可疑机器，第一件事不是杀毒而是断网
很多朋友的习惯是电脑卡了就装个杀毒软件全盘扫描，这恰恰是排查里最忌讳的。机器已经疑似中毒时，第一步应该是物理隔离——拔网线、关Wi-Fi，或者断开虚拟机的网络适配器，目的有两条：一是防止病毒继续外联，把本机数据传出去，或者接收C2服务器指令；二是防止它通过局域网横向传播，感染同一网段的其他机器。
断网之后，先用文本工具（记事本、Notepad++都行）把所有现场信息记录下来，包括当前时间、机器名、登录用户、你观察到的现象（什么时候开始卡的、CPU占用多少、有没有弹窗、桌面上多了什么文件）。这一步叫取证意识，不追求专业级的司法取证，但至少保证在后续操作中不会被自己改乱现场。
提示：排查期间尽量少在可疑机器上打开文档、图片、压缩包，更不要双击任何可疑文件。如果必须查看文件内容，用右键菜单里的“编辑”或记事本打开文本类文件，用只读方式查看。
1.2 排查的四个核心原则
我一般按四个原则推进，这几条也是在多次翻车后沉淀下来的：
- 先看进程，后动文件。不要一上来就删你觉得可疑的exe，先搞清楚它是被谁拉起来的、命令行参数是什么、父进程是谁，再决定动不动它。
- 先查网络，后查磁盘。很多木马的阴谋都体现在连接关系上，短时间内外联大量IP、连接非标准端口，比磁盘上多一个文件更能说明问题。
- 先覆盖持久化，后清理主程序。杀毒软件能把病毒主程序杀掉，但重启后启动项又把它拉起来，这就是典型的“杀了又活”。启动项、服务、计划任务、WMI事件订阅这些持久化位置，必须和主程序一起清理。
- 全程记录，留好样本。排查过程中发现的病毒文件、脚本、可疑注册表项，尽量复制一份到U盘或隔离目录留档。一方面可以提交到在线沙箱确认病毒家族，另一方面万一清理出问题，你还有原始状态可以参考。
2. 排查前的准备：工具和环境都对，才有好现场
2.1 常用排查工具清单
Windows自带的命令和工具能覆盖大部分排查场景，但有些场景还是需要第三方工具，建议提前在一个干净的U盘里准备好绿色版工具，不要等中毒了再去下载——那时候机器的浏览器和网络可能都不靠谱。
我把常用工具按用途列个表：
| 工具 | 用途 | 说明 |
|---|---|---|
| Process Explorer | 进程深度排查 | Sysinternals套件，能看到进程的父进程、路径、签名、句柄 |
| AutoRuns | 启动项排查 | 覆盖注册表Run键、启动文件夹、服务、计划任务、驱动等所有持久化位置 |
| Process Monitor | 文件/注册表/网络行为监控 | 用来观察某个程序在运行时的行为，排查复杂样本时必备 |
| TCPView | 网络连接查看 | 实时查看TCP/UDP连接和对应进程 |
| Autoruns、Sigcheck | 数字签名校验 | Sigcheck可以批量检查可执行文件签名 |
| 在线沙箱（VirusTotal等） | 样本判别 | 提交可疑文件，查看多家引擎的检测结果 |
自带工具里最常用的就是tasklist、netstat、wmic（Win10高版本已弃用但还能用）、reg query、schtasks、wevtutil，后面实操环节会给出命令。
2.2 环境准备：从隔离到收集
实际操作流程我建议这样走：先断网，然后用U盘把工具拷贝到机器的临时目录（比如C:\TempTools），注意U盘一定要干净，最好是一次性使用的。拷贝完成后，把U盘写保护打开，避免病毒反过来感染U盘。
接下来用管理员身份打开CMD或PowerShell，关闭Windows Defender的实时防护只是临时手段，不要关。实际上Windows Defender在Win10/11上已经很强，很多云查杀能力在线，只不过断网状态下它的优势发挥不出来。所以更合理的做法是：先离线排查、确认毒源，再考虑联网用Defender或云查杀做二次清理。
准备一个排查记录表，哪怕是txt都行，记录每一条命令的输出。后面排查完写报告、或者处理不清楚时回看，都很有用。我见过太多人查完就忘，下次又从头来一遍。
3. 核心排查步骤：逐层往下挖
3.1 进程排查：先抓CPU高占用和陌生进程
进程排查是整个排查中最直观、也最容易出成果的一步。先用任务管理器按CPU和内存排序，快速圈定高占用进程——挖矿病毒通常会让CPU飙到80%甚至100%，这是最明显的特征。但任务管理器信息有限，真正要看的是命令行和父进程。
用命令获取完整进程列表：
tasklist /v > C:\process_list.txt wmic process get name,processid,parentprocessid,executablepath,commandline > C:\process_detail.txtwmic命令在Windows 11最新版可能提示“找不到WMIC”，改用PowerShell：
Get-Process | Select-Object Name,Id,CPU,Path | Sort-Object CPU -Descending | Format-Table -AutoSize Get-CimInstance Win32_Process | Select-Object Name,ProcessId,ParentProcessId,ExecutablePath,CommandLine | Where-Object {$_.ExecutablePath -eq $null} | Format-Table -AutoSize我对ExecutablePath为空或者路径可疑的进程特别敏感，原因在后面讲。
拿到进程列表后，按这个顺序筛选：
- 只看自己认识的关键进程，svchost.exe、conhost.exe、lsass.exe、csrss.exe这些是系统进程，但要注意路径必须在
C:\Windows\System32下。出现svchost.exe在C盘根目录或Temp目录的情况，基本可以断定中招。 - 看
CommandLine字段。正常进程的命令行是可读且明确的，比如C:\Windows\System32\svchost.exe -k netsvcs。恶意进程常常用PowerShell下载器、混淆参数，命令行会特别长或含有base64、wget、http等特征。 - 用Process Explorer查可疑进程的签名和父进程。右键进程->Properties->Image标签页查看签名状态，未签名或签名无效的进程重点标记。再点开“Process Tree”视图，看它是不是被浏览器、Office、explorer.exe这类进程拉起——这是典型的钓鱼附件触发木马的执行链特征。
排查中如果一个进程连路径都查不到，或者同名进程数量异常多，也是明显的危险信号。正常的svchost会有多个实例，但都是系统服务宿主；如果你的机器上出现三五个名字相同且路径都在Temp下的奇怪进程，赶紧记下PID。
3.2 持久化排查：启动项、服务、计划任务一个都不能漏
主程序再隐蔽，如果它要重活，就必然要写持久化。清理时只杀进程不清理持久化，重启后还会卷土重来，这是新手最容易犯的错误。
启动项排查用AutoRuns最直观，绿色版打开即可，勾选“Hide Signed Microsoft Entries”后，剩余的项目基本都是要重点审查的。常见恶意持久化位置包括：
- HKCU和HKLM下的
Software\Microsoft\Windows\CurrentVersion\Run、RunOnce - 启动文件夹：用户启动文件夹和
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp - 计划任务：
schtasks /query /fo LIST /v，重点看运行账户为SYSTEM且触发器异常的任务 - Windows服务：注册表路径
HKLM\SYSTEM\CurrentControlSet\Services，重点看服务对应的ImagePath是否为exe放在了奇怪位置 - WMI事件订阅：
wmic /namespace:\\root\subscription PATH __EventConsumerBinding，高端木马会利用WMI做无文件持久化
用命令快速导出便于留存：
reg export "HKCU\Software\Microsoft\Windows\CurrentVersion\Run" C:\hkcu_run.reg /y schtasks /query /fo CSV > C:\tasks.csv wmic service get name,displayname,pathname,startmode > C:\services.txt看可疑计划的技巧是留意触发条件：正常情况下你不会有一个任务“每次系统启动时运行”，更不会有任务指向Temp目录下的脚本。如果计划任务指向PowerShell且带有-enc参数，直接按恶意处理，因为-enc是PowerShell编码执行命令，正常软件极少这样用。
3.3 网络连接排查：木马藏不住的尾巴
断网只是排查阶段的手段，但你可以在断网前的日志或者重启联网后的短窗口里观察连接情况。更务实的做法是：断网状态下先清掉可疑进程，确认没有外联需求后再临时联网，用netstat做一轮快速扫描：
netstat -ano > C:\netstat_before.txt重点看ESTABLISHED状态的连接，以及连接外部地址的进程PID。对照进程列表，排查哪些进程在主动外联。常见异常特征：
- 连接非标准端口，比如外网主机的4444、5555、6666、8888这类端口，或者随机高位端口
- 连接大量不同IP的相同端口，比如同时连接十几个IP的443端口，横向扫描和C2轮询常有这种模式
- 进程路径为Temp目录，却有外网连接，直接判定恶意
如果你有Conditional Access或防火墙策略，可以在排查时临时开启Windows高级防火墙的“出站阻止”规则，把系统里所有程序的外联连接挡掉，再观察哪些程序报错、哪些不断重试——这一招能让潜伏的远控木马自己露出马脚。实操中我用过不止一次，效果比单纯看netstat更直观，因为木马会持续重连C2，日志里能抓到它的域名或IP。
3.4 浏览器劫持与hosts文件排查
浏览器被劫持是中毒里最常见的现象，症状是主页被改、搜索被重定向、不停弹广告页。这种毒往往不碰系统关键进程，只改用户配置，所以进程和启动项排查容易漏。
重点检查三个位置：
- 浏览器快捷方式，查看“目标”和“起始位置”是否被追加了
http://开头的外链参数 - hosts文件：
C:\Windows\System32\drivers\etc\hosts，恶意软件会把常用安全网站域名指向127.0.0.1，这样你打不开安全网站，它自己却畅通无阻 - 浏览器扩展和代理设置。查看
control /name Microsoft.DefaultPrograms里的浏览器默认设置，以及IE或Chrome的代理设置，恶意软件常把代理指向本地某个监听代理端口
hosts文件的排查很简单，用记事本打开，正常内容基本只有localhost注释行。如果你看到一堆网站域名和IP的映射，特别是有帐号支付类网站的条目，直接按恶意处理，把文件内容清空回默认状态。
3.5 日志分析：安全事件日志也能当参谋
Windows安全日志是排查环节里最容易被忽略、但价值最高的部分。恶意软件在横向移动、提权、创建计划任务时，都会留下日志记录，这些记录不会因为病毒清了进程而消失。
重点查看事件ID：
| 事件ID | 含义 | 重要程度 |
|---|---|---|
| 4688 | 进程创建 | 高，配合命令行审计可还原攻击链 |
| 4624/4625 | 登录成功/失败 | 中高，4625大量出现说明在爆破 |
| 4697 | 服务安装 | 高，很多木马通过服务安装持久化 |
| 4698/4699 | 计划任务创建/删除 | 高 |
| 7045 | 系统服务安装（系统日志） | 高 |
| 4657 | 注册表值创建/修改 | 中 |
查看方式和筛选命令：
wevtutil qe Security "/q:*[System[(EventID=4688)]]" /c:50 /rd:true /f:textPowerShell方式更灵活：
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4688} -MaxEvents 50 | Get-WinEvent | % { $_.Message }新版Windows默认不开启4688的进程命令行审计，需要提前配置组策略“审核进程创建”并勾选“包括命令行”。如果机器没开，这条就用不上，但4624登录日志、4634注销日志通常是默认记录的，可以检查安全日志里的异常登录时间点，尤其是非本人操作的时段。
4. 常见病毒类型：认出它们的套路，你就能对症下药
4.1 勒索软件：特征最明显，处理最紧急
勒索软件最典型的现场是桌面壁纸被改、弹出勒索说明文件（通常是!!!READ_ME!!!.txt或HowToRestore.txt），大量文档、图片、数据库文件后缀被改成.locked、.encrypted、.crypt这类。
处理原则是：机器立刻断电断网，不要重启！重启可能会让勒索软件继续加密或触发自毁。然后联系专业人员判断是哪个家族，部分家族样本已经被破解，加密文件有恢复可能。不要急着给赎金，先看读取说明文件里有没有可识别特征，比如邮箱地址、家族名称，拿去搜索确认是否是已破解的老家族。
被勒索前的防御是最重要的：本地文件历史记录、Windows备份、定期离线备份三选一必须做。我处理过太多因为没有备份而损失惨重的案例，备份的成本远低于被勒索后的代价。
4.2 挖矿病毒：CPU就是温度计
挖矿病毒的特征非常直白：CPU占用异常高、风扇狂转、电脑卡顿，打开任务管理器CPU曲线满格。账号里的门罗币、以太坊挖矿程序会占用所有核心，而且通常通过计划任务或服务做持久化，杀掉进程后几分钟内会自动拉起。
排查时找到CPU占用最高的进程，看路径。挖矿程序常伪装成系统工具名字，比如MicrosoftUpdate.exe、svch0st.exe（注意是数字0不是字母o）、csrss.exe放在C:\Users\Public下。用Process Explorer看签名基本都是无效或未签名。
清理时要连同它的守护进程一起清：挖矿程序往往同时注册了计划任务和服务，有的还写了两个，一个挂了另一个拉起来。AutoRuns里把相关启动项和服务全部禁用，再清主程序文件，顺序不能反，否则重启就复活。
4.3 远控木马：最难察觉，慢慢耗死你
远控木马不以破坏为目的，它只想长期潜伏，操控你的机器。特征是偶发性的弹窗、鼠标自己动、账号密码被盗用、文件被莫名访问。这种木马常用白加黑（白进程加载黑DLL）手法，进程看着是正常的微信、浏览器，实际DLL注入了一堆恶意代码。
排查重点是DLL注入和系统钩子。Process Explorer里点击进程，查看“Strings”或“DLL”标签，正常情况下系统进程加载的DLL都是系统路径的；如果看到一个正常程序加载了Temp目录下的DLL，那基本可以确认注入。配合Process Monitor监控文件访问，能抓到木马读取敏感文件的路径，比如浏览器保存的密码文件（Login Data）、SSH密钥、钱包文件等。
遇到白加黑类木马，单独杀进程或删DLL都是治标不治本，因为白程序本身是正版文件，被加载的DLL才是恶意的，你需要找到DLL是谁释放的、靠什么持久化加载的。用Process Monitor的Boot Logging功能记录开机阶段的加载行为，然后重启分析日志，能找到DLL通过服务或APC注入加载的链条。
4.4 蠕虫与横向传播：一台变一窝
网络蠕虫的特征是局域网内多台机器同时中招，表现为共享文件夹异常、SMB服务被打爆、多台机器设备CPU同步飙升。这类毒往往通过未修补的漏洞（比如MS17-010永恒之蓝系列）或弱口令传播。
排查时要在断网的前提下对局域网做一次排查，找感染源机。感染源机的特征通常是有异常的高频SMB连接，用netstat -ano可以发现它主动向局域网大量IP发起445端口连接。清理顺序是先隔离感染源、再修补漏洞，最后统一改口令。如果只处理终端不堵漏洞，几天后又会复发。
5. 常见问题与排查技巧实录
5.1 新手最容易犯的三个错误
第一个错误是边排查边联网。查着查着想用在线沙箱查个文件，就临时接上网络，结果木马趁机把现场数据传出去，或者更新换代变成新版本，之前的取证全部作废。我的习惯是：断网状态完成所有静态取证，再在可控环境下联网做动态分析。
第二个错误是看到可疑文件就手滑双击。不管是.exe还是.png，都先在沙箱或只读环境里分析。有一次处理现场，客户双击了一个看似“工资条.jpg”的快捷方式，结果直接触发勒索加密，把原本可控的局面搞崩了。
第三个错误是清理不彻底。只删主程序、不查持久化；只清了一个位置的启动项、漏了服务或计划任务；只清了本机、不管同网段的其他机器。中毒这件事是系统性的，清理也必须系统性。
5.2 实用命令速查表
把排查过程中最常用的命令整理成一张表，建议收藏：
| 场景 | 命令 |
|---|---|
| 查看完整进程信息 | wmic process get name,processid,parentprocessid,executablepath,commandline |
| 查看网络连接 | netstat -ano |
| 查看指定PID对应进程 | tasklist /FI "PID eq 1234" |
| 查看服务列表 | wmic service get name,displayname,pathname,startmode |
| 查看计划任务 | schtasks /query /fo LIST /v |
| 导出启动项注册表 | reg export "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" C:\run.reg |
| 结束可疑进程 | taskkill /PID 1234 /F |
| 禁用可疑服务 | sc config 服务名 start= disabled |
| 检查hosts文件 | type C:\Windows\System32\drivers\etc\hosts |
| 清理DNS缓存 | ipconfig /flushdns |
注意taskkill /F强制结束进程前，先确认它的父进程不是系统关键进程，否则可能蓝屏。我遇到过强杀一个注入系统进程的木马后，机器直接重启的情况，这种要确认完父子关系再动手。
5.3 清理完成后的加固：别让病毒回来了还把门敞着
处理完中毒机器，加固环节不能省，否则就是白忙一场。我的标准收尾流程是：
- 全盘扫描：在线状态下用Windows Defender完整扫描，或下载免费版杀毒软件（注意不要同时装两款，容易冲突）
- 检查账号和口令：所有本地账户口令改为强口令，关闭Guest账户，检查管理员组成员是否被加入陌生账号
- 更新系统和补丁：重点是SMB相关漏洞和远程桌面（RDP）相关漏洞
- 修改网络设备口令：路由器、NAS、摄像头等管理密码一并改掉，很多病毒是靠横向渗透把这些设备的默认口令当成跳板
- 开启日志审计：组策略开启进程创建审计（4688带命令行），安全日志大小调大至少到50MB，万一再次中招能有迹可循
- 定期备份：本地文件历史版本和离线备份并行，备份存储最好与工作机物理隔离
特别要提防火墙。Windows自带防火墙默认是拦截入站但放行出站，对于终端来说这还远远不够。建议在“高级安全Windows防火墙”里把出站规则改为默认允许、但关键端口（445、3389、137-139）做限制，同时用Process Explorer或Sysmon监控异常外联。我在几台办公电脑上配置了出站白名单后，外联型木马的存活率大幅下降。
6. 实操总结：一次真实排查过程的完整流程
最后用一个实际案例串一遍流程。上个月处理一台办公电脑，现象是风扇狂转、卡顿严重，任务管理器显示某个dwm.exe进程CPU长期90%以上。当时这台机器还在联网状态，我先拔掉网线，然后用AutoRuns排查启动项，发现HKCU\...\Run下有个指向C:\Users\Public\.cache\updater.exe的启动项；再查计划任务，发现一个名为WindowsMemoryUpdater的任务每天凌晨执行同一路径。用Process Explorer查看该进程签名，显示“无法验证”，命令行里带--pool和--wallet参数，确认是挖矿程序。
接着查看C:\Users\Public\.cache目录，里面除了updater.exe还有两个辅助DLL和配置json，json里直接写着矿池地址。再把服务列表过一遍，没有发现异常服务；netstat扫描时因为断网没有外部连接，但配置里能看到外联端口。清理顺序是：先禁用计划任务和启动项，再结束进程，最后删除整个.cache目录。重启后CPU恢复正常。随后按加固流程给机器打了KB补丁、修改所有密码、开启防火墙出站限制。
整个过程从定位到清理大约40分钟，关键就是每一步都有记录、每个动作都有依据，不在怀疑阶段就乱删乱杀。这也是排查工作最核心的素养。
我个人在实际操作中的体会是：Windows病毒排查不是靠某一个工具或某一条命令，而是靠一套完整的思路和纪律。网络隔离、取证记录、逐层排查、彻底清理、事后加固，这五个环节缺一不可。很多时候你和专业工程师的差距，不在工具多厉害，而在遇到异常时的判断顺序和从容程度。希望这篇整理能让你在下一次面对一台可疑的Windows机器时，心里有数、手上有招。
