Windows 手動病毒排查指南：不依賴殺毒軟件的系統安全防護

在數字時代，電腦病毒就像潛伏的"網絡幽靈"，從竊取隱私的木馬到消耗資源的蠕蟲，時刻威脅著系統安全。當殺毒軟件失效或遭遇新型威脅時，手動排查病毒便成為最后防線。本指南將詳細講解Windows系統手動排查病毒的核心方法和實用技巧，每個步驟都配有可直接操作的細節說明，助你輕松完成排查。

進程是程序在系統中的活動狀態，病毒通常以進程形式駐留內存。只要病毒在運行，就一定會留下進程痕跡。

按下Ctrl + Shift + Esc打開任務管理器，查看"進程"選項卡：

異常信號：
- 正常辦公時，若某進程CPU占用突然超過80%且持續5分鐘以上（排除視頻渲染等高負載操作），可能是病毒在挖礦或攻擊；
- 內存占用無上限增長（如從100MB飆升至2GB），需立即警惕。
警惕陌生名稱：
- 系統進程名稱多為固定詞匯（如explorer.exe、svchost.exe），若出現sys32.exe（模仿系統文件）、update123.exe（隨機數字命名）等，右鍵選擇"打開文件位置"，若路徑不在C:\Windows\System32\或C:\Program Files\，基本可判定為病毒。

添加關鍵列：在任務管理器"詳細信息"選項卡中，右鍵列標題→勾選PID、命令行、啟動時間：
- PID（進程ID）：用于后續定位網絡連接；
- 命令行：顯示進程啟動路徑（如C:\Users\Public\a.exe多為可疑路徑）；
- 啟動時間：若進程在凌晨3點自動啟動，且非系統服務（如Windows更新），需重點排查。
關聯服務查詢：按下Win + R輸入cmd，運行tasklist /svc，可查看進程關聯的服務。例如正常svchost.exe會關聯Windows Update等已知服務，若顯示"未知服務"，則可能是病毒偽裝。

備份正常進程：系統正常時，在命令提示符中運行TaskList /fo:csv > D:\normal_process.csv（D:為非系統盤，避免病毒感染后丟失），保存當前所有進程信息。
對比異常進程：懷疑中毒時，用同樣命令生成abnormal_process.csv，再運行FC D:\normal_process.csv D:\abnormal_process.csv，差異部分會被標紅——新增的陌生進程、路徑異常的進程（如explorer.exe不在C:\Windows\目錄），都是重點排查對象。

病毒想要"常駐系統"，必須配置自啟動。即使手動結束進程，重啟后仍會復活，因此必須切斷其啟動源頭。

按下Win + R輸入msconfig，打開系統配置：
- 切換到"啟動"選項卡（Windows 10/11需點擊"打開任務管理器"），逐個查看啟動項的"發布者"，若顯示"未知發布者"且名稱陌生（如run32.exe），立即取消勾選（禁用啟動）。
- 切換到"服務"選項卡，勾選"隱藏所有Microsoft服務"，剩余的第三方服務中，若有名稱含"update"、“service"但無對應軟件（如未裝某殺毒軟件卻有xxxSecurityService），勾選"禁用”。

按下Win + R輸入regedit打開注冊表編輯器（先備份：文件→導出，保存為reg_backup.reg，不要操作此備份文件，用于注冊表恢復），重點檢查以下路徑：

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run（用戶級自啟動，病毒常用）
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run（系統級自啟動，影響所有用戶）
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce（單次啟動，病毒可能臨時植入）

操作技巧：在右側窗口中，查看鍵值的"數據"列，若指向C:\Windows\Temp\、C:\Users\用戶名\AppData\Roaming\等路徑，且程序名稱陌生，右鍵"刪除"該鍵值，徹底阻斷啟動。

病毒的核心目的往往是"偷數據"（如賬號密碼）或"被遠程控制"，必然會與外界建立網絡連接。

按下Win + R輸入cmd，運行netstat -a -n -o，含義如下：

重點關注：

病毒為了隱蔽，常偽裝成系統文件，或藏在冷門目錄中。

按下Win + R輸入%temp%，打開臨時文件夾：

C:\Windows\System32\和C:\Windows\SysWOW64\（64位系統）：按"修改日期"排序，系統文件修改時間多為系統安裝日，若有近期新增的陌生文件（如msvcrt32.exe，模仿系統庫文件），立即上傳檢測。
C:\ProgramData\（隱藏目錄，需在"查看"中勾選"隱藏的項目"）：病毒常在此創建偽裝文件夾（如Microsoft Update，多了空格），打開后若有.exe文件，基本可判定為病毒。

若系統頻繁藍屏、程序報錯，可能是病毒篡改了系統文件：

以管理員身份打開命令提示符，運行sfc /scannow，系統會自動掃描并修復受損文件（需聯網，耗時約10-30分鐘）。
若提示"無法修復"，運行DISM /Online /Cleanup-Image /RestoreHealth修復系統鏡像，完成后再重新運行sfc /scannow。

系統日志會記錄病毒的"作案痕跡"，如異常登錄、服務啟動失敗等。

按下Win + R輸入eventvwr.msc，打開事件查看器：

安全日志：篩選事件ID：
- 4625（登錄失敗）：若1小時內出現5次以上來自同一IP的失敗登錄，可能是病毒在暴力破解密碼。
- 4688（進程創建）：搜索"進程名稱"為可疑程序（如virus.exe），可查看其啟動時間和路徑。
系統日志：篩選"錯誤"級別事件，若來源為"Service Control Manager"，且描述為"某服務啟動失敗"（服務名稱陌生），可能是病毒服務加載失敗。
應用程序日志：若多個程序報"找不到xxx.dll"，可能是病毒刪除了系統依賴文件，需結合sfc命令修復。