如何用CMD命令查杀病度？

重要安全提示：

命令行杀毒是辅助性技术手段，并非替代专业安全软件，仅适用于Windows Defender（Microsoft Defender）的深度扫描场景，若设备已感染顽固病度或存在严重安全隐患，请立即使用专业杀毒工具（如卡巴斯基、诺顿等）或寻求IT技术人员支持。

准备工作

1. 以管理员身份启动命令提示符

   

   • 按 Win + S 搜索 cmd
   • 右键选择 “以管理员身份运行”（必需权限）

2. 确认Windows Defender状态

   输入以下命令检查防病度服务是否启用：

   sc query WinDefend
   • 若显示 “RUNNING” 表示服务已启动
   • 若未运行，输入：net start WinDefend

使用命令行执行杀毒操作（Windows Defender）

Windows Defender 内置命令行工具 MpCmdRun.exe 提供高级扫描功能。

方法1：快速扫描系统关键区域

"%ProgramFiles%Windows DefenderMpCmdRun.exe" -Scan -ScanType 1

• 作用：扫描内存、注册表及系统进程（耗时约5-15分钟）
• 结果查看：扫描完成后提示 Scan finished，日志路径 C:ProgramDataMicrosoftWindows DefenderScansHistoryService

方法2：全盘深度扫描

"%ProgramFiles%Windows DefenderMpCmdRun.exe" -Scan -ScanType 2

• 作用：彻底检查所有磁盘文件（耗时可能数小时）
• 建议：夜间执行，扫描期间避免使用设备

方法3：指定路径扫描（如U盘/文件夹）

"%ProgramFiles%Windows DefenderMpCmdRun.exe" -Scan -ScanType 3 -File "D:可疑文件夹"

• 替换 D:可疑文件夹 为目标路径

关键进阶命令

操作验证与结果解读

1. 检查扫描报告

   输入命令生成日志：

   

   "%ProgramFiles%Windows DefenderMpCmdRun.exe" -GetFiles

   • 日志默认保存至 C:ProgramDataMicrosoftWindows DefenderSupport

2. 解读日志关键信息

   • Threat 字段：检测到的病度名称（如 Trojan:Win32/Emotet）
   • CleaningAction 字段：处理结果（Quarantine=已隔离, Remove=已删除）
   • Error 字段：非零值表示扫描失败

   专家建议与风险提示

   1. 适用场景限制

      • 辅助排查潜在威胁
      • 补充全盘扫描
      • 不可替代实时防护（需保持Defender常开）
      • 无法清除BIOS/固件级病度

   2. 紧急响应方案

      • 若命令扫描后仍存在异常：
        • 立即下载 Microsoft Safety Scanner 进行急救扫描
        • 使用 RKill 终止恶意进程
      • 企业用户应联系网络安全团队

   ---

   为什么命令行杀毒效果有限？

   1. 依赖性高

      需要Windows Defender组件完整且未被破坏

   2. 无实时防护

      仅执行一次性扫描，无法拦截新威胁

   3. 免杀病度规避

      高级病度会主动禁用防御服务

   最佳实践：

   定期使用 微软官方离线杀毒工具，配合火绒、Malwarebytes等工具交叉扫描。

   ---

   引用说明：

   本文所述命令基于Microsoft Docs官方文档：MpCmdRun.exe 命令行工具参考，病度处理策略参照CERT应急响应指南（SEI-2020-003）。

   ---

   最后提醒：

   命令行操作存在风险，非技术用户请优先使用Windows安全中心（Windows 安全设置 > 病度和威胁防护 > 快速扫描），如系统已失控,备份数据并重装系统是最彻底方案。