应急响应里最烦人的一件事：事态紧急的时候，你需要的不是重装系统，而是快速搞清楚机器上到底发生了什么。Sysinternals 套件很好，但一个个开窗口、手动排查效率太低。商业 EDR 的离线扫描器又往往又大又慢。

WG-Win-Check 刚好卡在这个痛点中间。

600KB，Win32 API，零依赖

这个项目由 SECWG 团队开发，核心卖点就三句话：

基于原生 Win32 API 实现，64 位单文件仅 600 余 KB，无需任何运行库，开箱即用。

这意味着什么？你可以从 U 盘拷过去双击就跑，不需要等 .NET 运行时安装，不需要塞一大堆 DLL。对于"内网隔离、断网排查"这种典型应急场景而言，这一点就是决定性的。

系统要求也很简单：Windows 10/11 x64，建议管理员权限（影响扫描结果完整性）。

十个模块，覆盖全流程

v1.6.0 整合了十个排查维度，基本覆盖了一线应急响应的所有常规需求：

模块 核心能力
用户排查 枚举用户账户，识别隐藏用户和克隆账户，区分登录界面隐藏/$隐藏/SAM 不一致
进程排查 进程树、DLL 模块列表、文件 Hash、签名校验、在线威胁查询
网络连接排查 TCP/UDP 监控，按协议/状态/外联过滤，一键提取外联 IP（v1.6 新增 IP 归属列）
启动项排查 Run/RunOnce/启动文件夹/Winlogon 劫持/IFEO 映像劫持
服务排查 按类型/签名/状态过滤，签名校验 + 风险高亮，快捷管理
计划任务排查 类型/状态过滤，支持暂停/运行/删除，v1.6 新增关联文件字段
文件排查 扫描常见恶意文件落地目录（下载、临时目录），支持自定义路径
事件日志排查 登录/进程创建/日志清除事件筛选，5156 网络连接事件
威胁检索 基于 IOC 进程内存特征的威胁检索
活动痕迹 聚合 UserAssist/Prefetch/最近访问/登录，梳理活动时间线

迭代速度说明问题

WG-Win-Check 从 2026 年 1 月 18 日的 v1.0.0 到 6 月 27 日的 v1.6.0，五个月六个大版本，迭代节奏相当快。几个值得关注的更新方向：

v1.5.0 移除了授权校验——从闭源授权变成了完全开放。开源项目做这个转向是需要勇气的，但这步走对了：安全工具的用户天然对"内嵌授权"敏感。

v1.6.0 新增的风险概览首页是一个很务实的改进。过去的 ER 工具（包括 Sysinternals 的 Autoruns）都倾向于把所有东西列出来让分析师自己判断。WG-Win-Check 把核心五个模块的风险结果集中汇总到一张首页上，相当于给了你一个"这台机器到底有没有问题"的一眼判断。

细节上的打磨也看得出实战经验：

  • Prefetch 路径解析支持 Volume GUID → 盘符路径还原（v1.6）
  • 文件排查默认扫描 C:\inetpub（v1.4，Web 服务器常见恶意文件落地目录）
  • 网络排查增加"内网"复选框，外联模式下可选是否显示内网 IP（v1.4）
  • 签名校验改为自动完成，不再需要手动触发（v1.6）

这些改进都不是功能堆砌，而是实实在在的现场经验反馈。

和其他工具比

Sysinternals Autoruns 启动项排查最强，但你需要配合 Process Explorer、TCPView、PsList 等多个工具才能完成完整排查。WG-Win-Check 把所有这些维度整合到了同一个界面里，减少了工具切换成本。

火绒剑的功能集更广，但体量更大，且不适合在干净的应急取证环境中临时部署。WG-Win-Check 的单文件 600KB 意味着它可以作为"应急 U 盘标配"存在。

当然，WG-Win-Check 的劣势也很明显：Windows 10/11 x64 限定，没有历史版本 Windows 支持，没有命令行模式（不能远程下发执行），社区还不够大（GitHub 56 stars）。作为一个才发布 5 个月的项目，生态还在早期。

我的看法

WG-Win-Check 并不是要替代 Sysinternals 或商业 EDR——它在应急响应工具链里找到了一个还没有被很好满足的定位：极度轻量、开箱即用、开源的 Windows 一键排查工具。

对于个人安全研究员和中小企业安全团队来说，把它放进应急 U 盘，配合 Sysinternals 和一份排查 checklist，就是一个成本几乎为零的基础应急响应工具包。

如果项目后续能加上命令行模式（WG-Win-Check.exe --quick-scan --output json），再出一个 CSV/JSON 导出，就更有被集成到自动化响应流程里的潜力了。

项目地址：github.com/SECWG/WG-Win-Check