从事应急响应工作几年之后，我认为总结一份快速确定计算机是否被感染木马和病毒的“方法论”是十分有用的。这显然不是那么简单的，可我却发现感染几乎存在于所有不复杂的攻击中，如果你执行了以下检测，便可发现存在感染并快速杀掉它。所有这些事情都可以由一个建立于Windows命令行功能的管理员命令提示符完成。
1、WMIC启动项（WMIC Startup Items）
Windows已经有一个非常强大的工具——WMIC，在以下几种方式中较容易为你的调查建立启动项。只需打开一个命令提示符，然后输入【wmic startup list full】。这是一个真实的例子，猜一下哪个项目不属于其中，会是本地临时文件夹吗？是的。如果你知道应该在列表中的东西以及一般正常运行的位置，你就能在这里暂停，通常这都非常简单。找到程序，然后在malwr.com或者VirusTotal上查找它的散列，看看它有没有感染了其他什么，然后删除。
2、DNS缓存（DNS Cache）
打开命令提示符，并输入【ipconfig/displaydns】。看看这些待反测的区域，有没有任何的异常现场？在VirusTotal或者其他地方寻找他们解析的域名及IP，看是否有与之相连的样本。如果有，那么你肯定被感染了。这里有一个现成的例子：
3、WMIC进程列表（WMIC Process List）
这是WMIC另一个受欢迎的项目，输入【wmic process list full|more】，或者更紧凑但是更长的输出【wmic process get description,processed,parentprocessid,commanline/format:csv.】。寻找在奇怪地方运行的东西或者恶意、随机、名称怪怪的程序。
4、WMIC服务列表（WMIC Service List）
如果你不清楚自己在寻找什么，那这个用起来可能比较困难。但是检测方便并且容易通过路径或者exe名称发现恶意软件。格式与其他的相似，或者你也可以得到更具体“get”版本。输入【wmic service list full| more】或者【wmic service get name,processid,startmode,state,status,pathname /format:csv】。这里有个小例子展示了只有服务名称和路径的情况。
