传奇外传私服外挂识别：进程权限网络行为

与其等账号出问题，不如先花十分钟看看自己的机器。三个地方最值得查，进程列表、权限设置、联网行为。这篇是一份自查清单，讲的是怎么发现异常、发现后怎么处理，不涉及任何程序的用法，也不评价效果，照着做一遍大约十分钟。
问一：为什么普通玩家也要学会自查？
答：因为多数人是被动发现问题的，等到账号被封或者钱少了才回头找原因。自查能在早期看出苗头，比如开机变慢、风扇一直响、网络时不时卡一下。有人提前查了一次，发现三个陌生进程，清理之后半年都没再出过事。早查一次，比事后解释一百句都管用。
问二：第一步先看哪里？
答：先看任务管理器的进程列表，按内存占用排序，从头翻一遍。不认识的先记下名字，别急着结束。有人在这里看到五个名字很像系统文件的进程，一查才发现是伪装的，其中一个每三秒往外发一次数据。排序之后要往下翻，排在最前面的往往不是最可疑的。
问三：进程名会伪装吗？
答：会，而且伪装得很像。常见手法是把系统进程名改一个字母，或者在中间加个空格。有人看到名字里带系统的字样就放心了，其实真正的系统进程只有固定的那几个。判断方法是看文件路径，路径不对的一律可疑。名字对得上、路径对不上，这是最常见的组合。
问四：怎么确认一个进程的来历？
答：右键打开文件所在位置，看它待在哪个目录。正常程序有自己的安装目录，可疑的往往躲在临时文件夹或者用户目录的深处。有人顺着路径找到一个隐藏文件夹，里面躺着十几个同一天生成的文件，时间戳只差几分钟。同一批生成的文件，基本可以确定是一起进来的。
问五：权限设置要看什么？
答：看谁有管理员权限。控制面板里翻一遍用户列表，不认识的账户直接删掉。有个案例是电脑里多了一个叫管理员加英文名的账户，创建时间和装某个文件的时间完全一致，权限还是最高一级。账户列表这种东西，多数人一年都不会打开一次，多出来的就一直留着。
问六：管理员权限为什么危险？
答：因为拿到它就能改系统设置、装驱动、关掉防护。普通权限能做的事有限，管理员权限几乎不受限制。有人装完东西没注意，系统里多了一个服务，每次开机自动运行，结束进程之后还会自己重启。能自己重启的服务，删进程没用，得先把那个服务停掉。
问七：联网行为怎么观察？
答：看有没有程序在不该联网的时候联网。游戏关着，网络指示灯还在闪，就值得查一查。有人的机器在待机状态下每三秒发一次小包，每次只有几百字节，不仔细看根本发现不了，流量账单却每月多出几十块。流量不大，但一直在跑，这类最容易被忽视。
问八：后台心跳是什么？
答：是程序定时向外部报到的信号。正常软件也有心跳，但频率固定、目标固定。可疑的心跳往往目标地址经常变，间隔还特别规律。有人抓了一次连接记录，发现同一台机器连了六个不同地区的地址，全在深夜。深夜连外部地址，时间点本身就是一条线索。
问九：开机自启项怎么查？
答：任务管理器的启动页签，逐条看名字和发布者。发布者为空或者写着未知的，先禁用再看影响。有人在这里发现一个名字很像输入法的条目，禁用之后开机快了十几秒，进游戏也不卡了。自启项越少机器越轻，这个道理和背包一样，装满了就走不动。
问十：计划任务里会藏什么？
答：藏定时执行的脚本。有人打开计划任务库，看到一个每天凌晨三点运行的项目，路径指向一个临时文件，他从来没建过。这类项目的特点是触发时间很整齐，动作只有一个，就是启动某个程序。不认识的计划任务，直接禁用，别去研究它到底在干什么。
问十一：浏览器插件也要看吗？
答：要。插件能读页面内容、能改请求、能注入脚本，权限比想象的大。有人装了六个插件，其中两个是装别的软件时被顺带塞进来的，一直在后台改他的搜索页。清理完只剩两个，浏览器明显快了。插件装得越多，能被塞进东西的地方就越多，定期清一遍很有必要。
问十二：手机端要不要查？
答：要，而且更难查。手机上看应用列表里的未知应用、看无障碍权限、看流量使用排行。有人的手机被装了一个没有图标的程序，靠无障碍权限读取屏幕内容，流量排行里它排第三，一个月跑了两百多兆。手机比电脑难查，是因为权限藏得深，很多人根本不知道去哪看。
问十三：查到可疑项怎么办？
答：先断网，再记录，最后处理。记录是为了留证据，截图保存进程名、路径、创建时间。有人直接删了了事，后来账号出问题想追查，什么线索都没留下，只能自己去承担损失。断网这一步别省，有些程序一旦发现断网，会抢先把痕迹删掉，那时候再截图就晚了。
问十四：直接删除够不够？
答：通常不够。程序往往有两个以上进程互相看守，删掉一个另一个会把它拉起来。正确顺序是先禁用自启，再结束进程，最后删文件。有人只删了桌面上的图标，重启之后一切照旧。顺序错了等于给程序留出重新加载的时间，前面做的都白费，还得从头再来。
问十五：重装系统是唯一办法吗？
答：不是唯一，但最彻底。系统盘里被改过的东西太多时，重装比逐个排查省事。重装前把重要文件备份到另一个盘，别备份可执行文件。有人图省事整盘拷贝，结果把问题一起搬了过去。重装之后第一件事是改所有密码，不是先装游戏，顺序反了等于没重装。
问十六：平时怎么保持干净？
答：三条，只从官方渠道装软件，安装时看清每一步的勾选项，定期翻一遍自启和插件。三条做到，九成以上的问题都能避开。有人坚持了两年，机器一直很干净，连一次异常登录都没遇到过。干净不是一次性的状态，是每天少点一次不该点的东西，慢慢攒出来的。
自查这件事，说到底是为了把主动权拿回来。进程、权限、联网三处都看一遍，多数问题在造成损失之前就能发现。传奇外传私服外挂之所以危险，很大一部分原因是它进门时不会告诉你，而自查就是那道门铃。养成习惯，比事后补救有用得多。