Windows 木马 / 后门一键排查工具

1

⚡ 一键全量排查（复制粘贴即用）

把下面整段脚本粘贴到 PowerShell 管理员窗口，回车运行，全程约 30-60 秒

脚本自动检测系统版本 → Win7 跑 12 项，Win10 跑 12 项，Win11 额外多 虚拟化安全 + Secure Boot 共 13 项。发现可疑项自动标红，安全项显示绿色。

$ErrorActionPreference='SilentlyContinue'
function ok($m)  { Write-Host "  [OK] $m" -ForegroundColor Green }
function warn($m){ Write-Host "  [!!] $m" -ForegroundColor Red }
function hdr($m) { Write-Host "`n=== $m ===" -ForegroundColor Cyan }

# ── 自动检测 Windows 版本 ──────────────────────────
$ver   = [System.Environment]::OSVersion.Version
$build = $ver.Build
$isWin7  = ($ver.Major -eq 6 -and $ver.Minor -eq 1)
$isWin11 = ($ver.Major -ge 10 -and $build -ge 22000)
$isWin10 = ($ver.Major -ge 10 -and $build -lt 22000)
if($isWin11){ $label="Windows 11" } elseif($isWin10){ $label="Windows 10" } else { $label="Windows 7" }
Write-Host "`n  检测到系统：$label (Build $build)" -ForegroundColor Yellow

hdr "1/12 系统基本信息"
if($isWin7){ $os=Get-WmiObject Win32_OperatingSystem } else { $os=Get-CimInstance Win32_OperatingSystem }
ok "主机名: $env:COMPUTERNAME  |  OS: $($os.Caption)  |  上次启动: $($os.LastBootUpTime)"

hdr "2/12 当前登录用户"
query user 2>$null | ForEach-Object { ok $_ }

# ── 3: 管理员组 ─────────────────────────────────────
hdr "3/12 本地管理员组成员"
if($isWin7){
  net localgroup Administrators 2>$null |
    Where-Object { $_ -notmatch "^(命令|The command|---|\s*$|别名|注释|成员|Members|Alias|Comment)" } |
    Where-Object { $_.Trim() -ne "" } | ForEach-Object {
      $n=$_.Trim()
      if($n -notmatch "^(Administrator|管理员)$"){ warn "非常规管理员: $n" } else { ok $n }
    }
} else {
  Get-LocalGroupMember -Group "Administrators" | ForEach-Object {
    $n=$_.Name
    if($n -notmatch "($env:COMPUTERNAME\\Administrator|AzureAD\\|BUILTIN\\Administrators)"){
      warn "非常规管理员: $n"
    } else { ok $n }
  }
}

# ── 4: 可疑进程 ─────────────────────────────────────
hdr "4/12 可疑进程（路径在 Temp/AppData/Downloads 等非标准位置）"
$suspPaths = "\\Temp\\|\\AppData\\Roaming\\|\\Downloads\\|\\Public\\"
if($isWin7){
  Get-WmiObject Win32_Process | Where-Object { $_.ExecutablePath } | ForEach-Object {
    if($_.ExecutablePath -match $suspPaths){ warn "PID $($_.ProcessId) | $($_.Name) | $($_.ExecutablePath)" }
    if($_.Name -match "^(svchost|lsass|csrss|winlogon|explorer)\.exe$" -and $_.ExecutablePath -notmatch "System32|explorer\.exe"){
      warn "伪装系统进程! PID $($_.ProcessId) | $($_.Name) | $($_.ExecutablePath)"
    }
  }
} else {
  Get-Process | Where-Object { $_.Path } | ForEach-Object {
    if($_.Path -match $suspPaths){ warn "PID $($_.Id) | $($_.Name) | $($_.Path)" }
  }
  Get-Process | Where-Object { $_.Name -match "^(svchost|lsass|csrss|winlogon|explorer)$" -and $_.Path -and $_.Path -notmatch "System32|explorer\.exe" } |
    ForEach-Object { warn "伪装系统进程! PID $($_.Id) | $($_.Name) | $($_.Path)" }
}

# ── 5: 网络连接 ─────────────────────────────────────
hdr "5/12 对外网络连接（已建立）"
$localNets = "^(127\.|10\.|192\.168\.|172\.(1[6-9]|2[0-9]|3[01])\.|::1|0\.0\.0\.0)"
$dangerProc = "powershell|cmd|wscript|mshta|regsvr32|rundll32|certutil|bitsadmin"
if($isWin7){
  $pidMap = @{}
  Get-WmiObject Win32_Process | ForEach-Object { $pidMap[[int]$_.ProcessId] = $_.Name }
  netstat -ano 2>$null | Select-String "ESTABLISHED" | ForEach-Object {
    $cols = ($_ -replace '\s+',' ').Trim() -split ' '
    if($cols.Count -ge 5){
      $rAddr = $cols[2]; $rip = ($rAddr -split ':')[0]
      $ownerPid = [int]($cols[4]); $pname = $pidMap[$ownerPid]
      if($rip -notmatch $localNets){
        $line = "$pname (PID $ownerPid)  ->  $rAddr"
        if($pname -match $dangerProc){ warn $line } else { ok $line }
      }
    }
  }
} else {
  Get-NetTCPConnection -State Established | ForEach-Object {
    $rip=$_.RemoteAddress
    $proc=(Get-Process -Id $_.OwningProcess -EA SilentlyContinue).Name
    if($rip -notmatch $localNets){
      $line="$proc (PID $($_.OwningProcess))  ->  $rip`:$($_.RemotePort)"
      if($proc -match $dangerProc){ warn $line } else { ok $line }
    }
  }
}

# ── 6: Run 键 ───────────────────────────────────────
hdr "6/12 注册表自启动项（Run Keys）"
$runKeys=@(
  "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Run",
  "HKCU:\SOFTWARE\Microsoft\Windows\CurrentVersion\Run",
  "HKLM:\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run",
  "HKCU:\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce",
  "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce"
)
foreach($k in $runKeys){
  if(Test-Path $k){
    (Get-ItemProperty $k).PSObject.Properties | Where-Object {$_.Name -notmatch "^PS"} | ForEach-Object {
      $v=$_.Value
      if($v -match "Temp|\\AppData\\Roaming|powershell.*-enc|-w.{0,3}hidden|-nop|cmd.*/c.*http|\.vbs|\.js$|mshta|regsvr32|rundll32"){
        warn "$($_.Name) = $v"
      } else { ok "$($_.Name) = $v" }
    }
  }
}

# ── 7: 计划任务 ─────────────────────────────────────
hdr "7/12 计划任务（非微软来源，含可疑命令）"
$taskBad = "Temp|AppData|powershell.*-enc|cmd.*/c.*http|-w.{0,3}hidden|mshta|wscript|cscript|regsvr32"
if($isWin7){
  $csv = schtasks /query /fo CSV /v 2>$null | ConvertFrom-Csv
  $csv | Where-Object { $_.'Status' -ne 'Disabled' -and $_.'Task To Run' -and $_.'Task To Run' -ne 'N/A' } | ForEach-Object {
    $cmd=$_.'Task To Run'; $name=$_.'TaskName'
    if($cmd -match $taskBad){ warn "[$name] $cmd" } else { ok "[$name] $cmd" }
  }
} else {
  Get-ScheduledTask | Where-Object {$_.State -ne "Disabled" -and $_.TaskPath -notmatch "^\\\\Microsoft\\"} | ForEach-Object {
    $acts=$_.Actions | ForEach-Object {"$($_.Execute) $($_.Arguments)"}
    $line="[$($_.TaskName)] $($acts -join '; ')"
    if(($acts -join '') -match $taskBad){ warn $line } else { ok $line }
  }
}

# ── 8: WMI ──────────────────────────────────────────
hdr "8/12 WMI 持久化订阅（正常系统应为空）"
$wmiF=Get-WMIObject -Namespace root\subscription -Class __EventFilter -EA SilentlyContinue
$wmiC=Get-WMIObject -Namespace root\subscription -Class __EventConsumer -EA SilentlyContinue
if($wmiF){ $wmiF | ForEach-Object { warn "WMI Filter: $($_.Name) | $($_.Query)" } } else { ok "无 WMI EventFilter 订阅" }
if($wmiC){ $wmiC | ForEach-Object { warn "WMI Consumer: $($_.Name)" } } else { ok "无 WMI EventConsumer 订阅" }

# ── 9: 近期文件 ─────────────────────────────────────
hdr "9/12 近 7 天新增/修改的可执行文件"
$dirs=@("$env:USERPROFILE\Desktop","$env:TEMP","C:\Windows\Temp","$env:APPDATA","$env:LOCALAPPDATA")
$found=$false
foreach($d in $dirs){
  if(Test-Path $d){
    Get-ChildItem $d -Include "*.exe","*.dll","*.bat","*.ps1","*.vbs","*.js","*.hta","*.cmd" -Recurse -EA SilentlyContinue |
    Where-Object {$_.LastWriteTime -gt (Get-Date).AddDays(-7)} |
    ForEach-Object { warn "近期文件: $($_.FullName) [$($_.LastWriteTime.ToString('yyyy-MM-dd HH:mm'))]"; $found=$true }
  }
}
if(-not $found){ ok "未发现近 7 天新增可执行文件" }

# ── 10: Defender / MSE ──────────────────────────────
hdr "10/12 杀毒软件状态 + 排除项"
if($isWin7){
  $mse = Get-WmiObject -Namespace root\Microsoft\SecurityClient -Class AntimalwareHealthStatus -EA SilentlyContinue
  if($mse){
    if($mse.RealTimeProtectionEnabled){ ok "MSE 实时保护: 已开启" } else { warn "MSE 实时保护: 已关闭!" }
    if($mse.SignatureAge -gt 3){ warn "MSE 病毒库已 $($mse.SignatureAge) 天未更新" } else { ok "MSE 病毒库: $($mse.SignatureAge) 天前更新" }
  } else { ok "未检测到 MSE（或已由第三方杀毒替代）" }
} else {
  $mp=Get-MpComputerStatus -EA SilentlyContinue
  if($mp){
    if($mp.RealTimeProtectionEnabled){ ok "Defender 实时保护: 已开启" } else { warn "Defender 实时保护: 已关闭!" }
    if($mp.AntivirusSignatureAge -gt 3){ warn "病毒库已 $($mp.AntivirusSignatureAge) 天未更新" } else { ok "病毒库: $($mp.AntivirusSignatureAge) 天前更新" }
  }
  $pref=Get-MpPreference -EA SilentlyContinue
  if($pref.ExclusionPath){ $pref.ExclusionPath | ForEach-Object { warn "Defender 排除路径: $_" } } else { ok "无异常排除路径" }
  if($pref.ExclusionProcess){ $pref.ExclusionProcess | ForEach-Object { warn "Defender 排除进程: $_" } } else { ok "无异常排除进程" }
}

# ── 11: hosts ───────────────────────────────────────
hdr "11/12 hosts 文件（检查 DNS 劫持）"
Get-Content "C:\Windows\System32\drivers\etc\hosts" |
  Where-Object { $_ -notmatch "^#" -and $_.Trim() -ne "" } |
  ForEach-Object {
    if($_ -match "\d+\.\d+\.\d+\.\d+\s+\S+\.(com|cn|net|org|gov|io)"){ warn "可疑域名重定向: $_" } else { ok $_ }
  }

# ── 12: 安全事件 ────────────────────────────────────
hdr "12/12 近期安全事件（近 3 天）"
$evts=@(
  @{Id=4625;Log='Security';Desc='登录失败(爆破)';Thresh=20},
  @{Id=4720;Log='Security';Desc='账号已创建';Thresh=0},
  @{Id=4732;Log='Security';Desc='加入管理员组';Thresh=0},
  @{Id=1102;Log='Security';Desc='安全日志被清除';Thresh=0},
  @{Id=7045;Log='System';  Desc='新服务已安装';Thresh=0},
  @{Id=4688;Log='Security';Desc='可疑进程创建';Thresh=50}
)
foreach($e in $evts){
  $cnt=(Get-WinEvent -FilterHashtable @{LogName=$e.Log;Id=$e.Id;StartTime=(Get-Date).AddDays(-3)} -EA SilentlyContinue | Measure-Object).Count
  $line="事件 $($e.Id) ($($e.Desc)): $cnt 次"
  if($cnt -gt $e.Thresh -and $cnt -gt 0){ warn "$line  <- 需关注" } else { ok $line }
}

# ── Win11 专属：虚拟化安全 / 内存完整性 ─────────────
if($isWin11){
  hdr "13/12 [Win11 专属] 虚拟化安全 / 内存完整性"
  $dg=Get-CimInstance -Namespace root\Microsoft\Windows\DeviceGuard -ClassName Win32_DeviceGuard -EA SilentlyContinue
  if($dg){
    if($dg.VirtualizationBasedSecurityStatus -eq 2){ ok "VBS 虚拟化安全: 已启用" } else { warn "VBS 虚拟化安全: 未运行（建议开启）" }
    if(2 -in $dg.SecurityServicesRunning){ ok "内存完整性 (HVCI): 已启用" } else { warn "内存完整性 (HVCI): 未启用 ← 被攻击者手动关闭?" }
  }
  $sb = Confirm-SecureBootUEFI -EA SilentlyContinue
  if($sb -eq $true){ ok "Secure Boot: 已启用" } elseif($sb -eq $false){ warn "Secure Boot: 已关闭!" } else { ok "Secure Boot: 无法读取（可能是虚拟机）" }
}

Write-Host ""
Write-Host "━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━" -ForegroundColor Cyan
Write-Host " 排查完成 [$label]。" -NoNewline
Write-Host "[!!]" -ForegroundColor Red -NoNewline
Write-Host " 标红项需人工复核。" -ForegroundColor White
Write-Host "━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━" -ForegroundColor Cyan

脚本涵盖的 12 项检查：

系统基本信息 + 自动识别版本

当前登录用户

管理员组异常账号

可疑路径进程 + 伪装系统进程

对外网络连接（Win7 用 netstat）

注册表 Run 自启动项

计划任务（Win7 用 schtasks）

WMI 持久化订阅

近 7 天新增可执行文件

Win7: MSE / Win10+: Defender

hosts 文件 DNS 劫持

安全事件（爆破/账号/日志清除）

Win11 专属: VBS 虚拟化安全

Win11 专属: Secure Boot 状态

输出样例（颜色仅在 Windows Terminal / PowerShell 7 中显示）：

=== 5/12 对外网络连接（已建立）=== [OK] chrome (PID 4312) → 142.250.80.46:443 [OK] Code (PID 9840) → 20.205.243.166:443 [!!] powershell (PID 2288) → 103.45.12.7:4444 ← ⚠️ 反弹Shell特征 === 6/12 注册表自启动项 === [OK] OneDrive = C:\Program Files\Microsoft OneDrive\OneDrive.exe [!!] MicrosoftEdgeUpdate = C:\Users\user\AppData\Roaming\svc.exe -w hidden === 8/12 WMI 持久化订阅 === [OK] 无 WMI EventFilter 订阅 [OK] 无 WMI EventConsumer 订阅 ... ━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━ 排查完成。[!!] 标红项需人工复核。

2

🔬 发现可疑项后——深挖命令

针对一键脚本标红的结果，用下面命令进一步确认

根据 PID 查进程完整路径 + 父进程

根据 PID 查该进程打开的所有网络连接

计算可疑文件的 SHA256（去 VirusTotal 查）

删除可疑注册表自启动项

删除可疑计划任务

清除 WMI 持久化订阅（发现有 WMI 后门时用）

强制终止可疑进程

查看 PowerShell 历史执行记录（找攻击者用过的命令）

3

💾 输出完整报告到文件（方便截图 / 发给别人看）

把完整脚本输出重定向到 txt 文件

运行一键脚本并保存报告（先把脚本保存为 .ps1 文件再用这条）

或者：直接保存纯文本版报告（无颜色转义码，方便阅读）

4

🔍 如何判断排查结果

看到 [!!] 不一定是木马——对照下面标准判断

高危 — 基本确认中招中危 — 需要进一步核实低危 — 大概率正常

发现项	风险	判断依据
powershell / cmd 对外连接到陌生 IP	高危	反弹 Shell 的最强特征，几乎可以确认
WMI 事件订阅非空	高危	正常系统几乎不用 WMI 订阅，APT 常用
svchost.exe 路径不在 System32	高危	伪装系统进程名，是木马常见手段
注册表 Run 项值含 -w hidden / -enc	中危	确认程序名，合法软件偶尔用但很少见
Defender 排除了 Temp 或 AppData 路径	中危	恶意软件常把自己路径加白名单
Temp 目录中有近期 .exe / .bat	中危	查文件名、右键属性、去 VirusTotal 查 Hash
正常程序对外 443/80 端口连接	正常	Chrome/Teams/OneDrive 等正常联网行为
4625 登录失败 ≤ 20 次（3天内）	正常	偶尔密码输错，无需担心

🔑 Hash 查毒流程：
1. 对可疑文件运行 Get-FileHash "文件路径" -Algorithm SHA256
2. 复制 Hash 值 → 访问 virustotal.com → 搜索 Hash
3. 超过 3 家厂商标红 = 确认恶意；0 家标红但行为可疑 = 新型变种，仍需警惕