Windows服务器被植入木马或运行异常进程，多数时候不是因为没有安装杀毒软件，而是因为运维人员只盯着任务管理器里CPU占用最高的几个进程。真正危险的木马往往伪装成svchost.exe、lsass.exe、spoolsv.exe这类系统进程，或者注入到正常进程的内存空间中运行，任务管理器里根本看不出异常。排查异常进程的核心思路不是“找出陌生的名字”，而是“验证每一个正在运行的进程是否合法、路径是否正确、签名是否可信、父进程是否正常、网络连接是否可疑”。

第一步先看进程路径。在任务管理器的“详细信息”标签页里，右键点击列标题，选择“选择列”，把“映像路径名称”和“命令行”勾选出来。正常的系统进程路径几乎都在C:\Windows\System32或C:\Windows\SysWOW64下，而且文件名固定。如果你看到一个svchost.exe的路径是C:\Windows\Temp\svchost.exe或者C:\Users\Administrator\svchost.exe，基本可以判定是木马。同样，lsass.exe只应该出现在System32目录，explorer.exe只应该出现在Windows目录。任何同名进程出现在其他路径，都要立即提取样本并终止。

第二步核对签名。在进程上右键选择“打开文件所在位置”，再右键文件属性，查看“数字签名”标签。微软官方的系统文件一定有Microsoft Corporation的数字签名，而且签名状态显示“正常”。如果签名缺失、签名者名称拼写奇怪、或者签名状态显示“哈希值无效”，说明文件被篡改过。很多木马会替换系统文件或者释放同名文件到非标准路径，签名验证是最直接的鉴别手段。批量验证可以用PowerShell的Get-AuthenticodeSignature命令，对某个目录下所有可执行文件做签名检查。

第三步分析父进程关系。异常进程往往由不该启动它的父进程拉起。比如一个svchost.exe的父进程是winword.exe，或者一个cmd.exe的父进程是w3wp.exe，这就非常可疑。正常svchost.exe的父进程是services.exe，正常用户态进程的父进程是explorer.exe或winlogon.exe。可以用PowerShell的Win32_Process类查询父子进程关系，一条命令就能列出所有进程的PID、父PID、名称和路径。发现孤儿进程或者父进程已经退出的进程，要重点排查。

Get-CimInstance Win32_Process | Select-Object ProcessId,ParentProcessId,Name,ExecutablePath | Format-Table -AutoSize

第四步检查网络连接。木马必须回连控制端，所以网络连接是抓马的关键。用netstat -ano命令列出所有TCP和UDP连接，记录对应的PID，再和任务管理器里的进程对应起来。重点看ESTABLISHED状态的连接，尤其是连接目标IP在境外、端口是高端口或非标准端口的。正常的系统服务也会发起网络连接，比如DNS、Windows Update、时间同步，但目标地址通常是微软或系统服务商。如果一个svchost.exe连接到一个完全陌生的IP的4444端口，基本就是木马。更精细的做法是用PowerShell的Get-NetTCPConnection命令，直接输出进程名、远端地址和状态。

Get-NetTCPConnection -State Established | Select-Object LocalAddress,LocalPort,RemoteAddress,RemotePort,OwningProcess,@{Name="ProcessName";Expression={(Get-Process -Id $_.OwningProcess).Name}} | Format-Table -AutoSize

第五步排查计划任务和自启动项。木马要持久化，必须写进注册表Run键、服务、计划任务或者WMI事件订阅。用Autoruns工具可以一次性列出所有自启动位置，比手动翻注册表高效得多。重点看那些没有签名、路径在Temp或ProgramData下、文件名随机的启动项。计划任务用schtasks /query /fo LIST /v命令导出后，逐条检查任务要执行的程序和触发条件。很多挖矿木马会创建每5分钟运行一次的计划任务，执行一个藏在C:\ProgramData下的随机名exe。

第六步检查服务。木马常以Windows服务的形式运行，服务名伪装成“Windows Update Service”、“Microsoft Security Center”这类看起来正规的名字。在services.msc里逐个查看服务的“可执行文件路径”，正常服务的路径都是svchost.exe -k 某个组，或者指向System32下的具体exe。如果某个服务的路径指向Temp目录、ProgramData目录或者用户目录下的exe，就是木马服务。用sc qc 服务名可以查看服务的详细配置，用sc queryex 服务名可以查看服务对应的PID。

第七步分析进程加载的DLL。高级木马不释放独立exe，而是以DLL形式注入到正常进程里。排查方法是查看进程加载了哪些非微软签名的DLL。用Process Explorer的“查看DLL”功能，或者用PowerShell的Get-Process配合模块列表。重点看那些加载了随机名DLL、或者从Temp目录加载DLL的系统进程。lsass.exe加载了一个C:\Temp\evil.dll，这就是典型的DLL注入木马。还可以用listdlls工具批量导出所有进程的DLL列表，再用脚本筛选出无签名或路径可疑的DLL。

第八步检查WMI事件订阅。WMI持久化是近几年木马常用的隐蔽手段，因为普通运维很少检查这个位置。攻击者通过注册WMI事件订阅，可以在特定条件触发时执行恶意脚本，比如系统启动后60秒运行一个PowerShell下载器。用PowerShell的Get-WMIObject命令查询所有事件订阅，检查CommandLineEventConsumer里的命令行内容。任何包含powershell、cmd、vbs、下载字符串的WMI事件订阅都值得高度警惕。

Get-WMIObject -Namespace root\Subscription -Class __EventFilter | Select-Object Name,Query
Get-WMIObject -Namespace root\Subscription -Class CommandLineEventConsumer | Select-Object Name,CommandLineTemplate

第九步检查账户和登录会话。木马可能创建隐藏账户或者克隆管理员账户。用net user命令列出所有账户，检查是否有不认识的账户名，尤其是那些以$结尾的隐藏账户。用query user或quser命令查看当前登录会话，如果出现一个从可疑IP地址发起的远程桌面会话，说明服务器可能已经被入侵。还可以检查本地安全策略中的“拒绝从网络访问这台计算机”列表，确认没有异常账户被加入白名单。

第十步检查文件系统异常。木马释放的文件通常集中在Temp、ProgramData、用户AppData目录下，文件名随机或者伪装成系统文件名。用PowerShell扫描这些目录下最近几天创建的可执行文件、脚本文件、批处理文件。重点看那些文件大小在几十KB到几MB之间、没有版本信息、没有数字签名的文件。还可以用dir命令按时间排序，找出非工作时间创建的文件，因为攻击者经常在深夜或凌晨上传木马。

第十一步检查注册表关键位置。除了常规的Run键，还要检查RunOnce、RunServices、Winlogon下的Shell和Userinit值、AppInit_DLLs、映像劫持项。很多木马通过修改HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon下的Shell值，把explorer.exe替换成自己的加载器。映像劫持则可以把正常的taskmgr.exe指向木马文件，导致管理员打开任务管理器时反而运行了木马。用reg query命令导出这些键值，逐项核对数据是否指向合法路径。

第十二步建立基线对比。如果服务器在部署时做过进程快照，排查时把当前进程列表和历史快照对比，新增的进程一目了然。没有历史快照的话，可以找一台同版本、同配置、确认干净的服务器，导出它的进程列表、服务列表、计划任务列表，和可疑服务器做差异对比。差异项就是重点排查对象。这种方法在大型机房批量排查时效率很高，可以快速缩小范围。

第十三步应急响应流程。一旦确认某个进程是木马，不要急着直接结束进程，先做证据固定。用Process Explorer右键进程选择“创建转储”，把进程内存保存下来供后续分析。用netstat记录该进程的网络连接，用sc qc记录服务配置，用reg export导出相关注册表项。然后先断开网络连接，再结束进程、删除文件、删除服务或计划任务。最后全盘扫描，检查是否还有其他后门或下载器。清理完成后修改所有管理员密码，检查防火墙规则是否被修改，必要时重装系统。

第十四步预防措施。排查是事后补救，预防才是根本。服务器上线前必须做安全加固：关闭不必要的服务、限制远程桌面来源IP、启用账户锁定策略、安装终端防护软件、开启审核策略。日常运维中定期导出进程列表和计划任务做对比，定期检查新增账户和登录日志。对Web应用定期做漏洞扫描，及时打补丁。文件服务器和数据库服务器尽量不直接暴露公网，通过堡垒机或跳板机访问。这些措施能大幅降低被植入木马的概率。

Windows服务器异常进程排查是一项需要耐心和细心的技术活，没有一劳永逸的工具，只有不断积累的经验和对系统底层的深入理解。掌握上述方法后，绝大多数木马和异常进程都能被准确定位和清除。