| 枚举 | Get-CimInstance Win32_Service |
|---|---|
| 重点 | PathName 异常、StartMode=Auto |
| svchost 规则 | 正常服务宿主是 svchost.exe -k 组名 |
| 服务详情 | sc qc 服务名 |
枚举并筛可疑服务
枚举并筛可疑服务
Get-CimInstance Win32_Service | Select-Object Name,State,StartMode,PathName | Format-Table -AutoSize
Get-CimInstance Win32_Service | Where-Object {$_.PathName -notmatch 'System32|Program Files|ProgramData'} | Select-Object Name,PathName服务 DLL 形态（ServiceDll）也要看：svchost 内加载的恶意 DLL 只看 PathName 发现不了。