WenGui
简介
WG-Win-Check 是一款基于原生 Win32 API 实现的轻量级的 Windows 应急响应辅助工具，目前 64 位版本大小仅 600+ Kb，旨在以轻量便捷的特性，通过多维度的系统常规排查，能够有效帮助安全人员快速识别恶意进程、可疑启动项、异常网络连接等安全风险。
核心功能
用户排查
枚举系统所有用户账户（包括隐藏用户）基础信息、识别克隆账户和异常权限。
进程排查
监控列举系统所有进程，展示基础进程信息字段，支持按进程类型、签名、关键字过滤。提供进程树、DLL 模块、执行文件 hash、在线验证、签名校验以及进程结束操作。
网络连接排查
监控所有 TCP/UDP 连接 ，展示基础连接信息及关联进程，支持按协议、状态、外联、关键字进行快速过滤筛选，提供一键提取所有外联 IP。
启动项排查
扫描系统常见启动项，包括：注册表启动项（Run、RunOnce、RunServices）、启动文件夹、Winlogon 劫持、IFEO（映像劫持）等其他驻留手段。
服务排查
枚举所有系统服务，可基于服务类型、签名、启动类型、服务状态进行过滤，包含签名校验及其他基础风险高亮规则，同时可快捷管理服务。
计划任务排查
列举所有计划任务，展示基础信息包括执行程序、文件路径、运行实际等，支持类型(系统/用户)、运行状态、关键字快速过滤。提供基础计划任务暂停、运行、删除等快捷操作。
文件排查
扫描常见的恶意文件落地目录包括下载、临时目录，过滤常见的恶意文件落地类型，支持自定义扫描路径如微信、飞书文件下载路径的扫描。
事件日志排查
提供常见事件类型包括登录、进程创建、日志清除的排查，以及快速关联打开操作。
威胁检索
基于 IOC 进程内存特征的威胁检索，检索上下文，便于快速定位快速定位可疑进程。
活动痕迹
聚合用户常见活动，解析UserAssist、Prefetch、最近访问、登录等多种活动来源，梳理程序执行、最近访问等活动时间线。
其他特点
内置基础风险判定规则，颜色标注，一目了然，便于快速分析定位。
原生 Win32 API 实现，无第三方依赖，便携转移。
扫描结果 CSV 导出，便于结果留存。
系统要求
操作系统：Windows 10 / 11，目前仅两个系统进行测试，原则上其他版本皆可支持。
架构：目前仅 x64。
权限：建议以管理员权限运行，否则影响扫描结果以及部分功能。
依赖：无需安装任何运行库，开箱即用。
获取方式
授权说明
基于离线安全、轻量便捷性及应急场景限制考虑，工具只使用简单的离线入口授权校验机制，但授权可免费申请获取，填写邮箱验证即可。
授权申请：授权中心
授权时长：90 天
由于授权方式为设备码，故切换设备皆要重新申请。目前每个邮箱每月可申请3次，每次时长90天，就个人实际应急场景和次数来说，单个邮箱或者切换邮箱，也是够用了。
自V1.3.0版本起，程序支持通用码授权，单次时长30天，到期随时联系进行续期，可在任意设备使用。
通用设备码如何获取？
此前赞助本站或相识的朋友，可于本站留言处或Email随时联系授权。
后续路过发现本工具的朋友￥4.99
￥9.99可邮件或留言授权，目前通用码为人工操作，就权当人工费了。
当然，如果觉得本站或觉得工具不错，可以前往友情赞助赞助本站，后续可随时联系获取授权。
有兴趣、有能力者可自行破解自行使用，但请尊重开发者，勿广泛传播即可。
更新日志
v1.4.0 (2026-04-06)
【新增】事件日志优化提取逻辑，新增 PS-400查询，rdp-1024-出站服务器IP字段提取修复
【新增】网络排查新增"内网"复选框，外连模式下可选择是否显示内网 IP
【新增】关于页面新增"检查更新"功能，便于手动检测最新版本
【新增】威胁检索新增"内存限制(MB)"输入框，支持自定义单区域扫描上限
【新增】文件排查默认扫描目录新增 C:\inetpub
【优化】进程、服务、计划任务模块刷新按钮保留当前过滤状态，不再重置筛选条件
【优化】授权机制更新，适配最新授权机制
【优化】软件安装记录改为通过关联目录获取安装时间，提升准确性，排除噪声项目
【其他】其他细节优化/修复
v1.3.0 (2026-03-01)
【修复】修复低版本prefech解析问题
【优化】优化部分签名高亮规则，减少非必要噪声
【优化】授权窗口新增“授权中心”，移除非必要“浏览文件”功能
【优化】其他细节优化
v1.2.0 (2026-02-08)
【新增】活动痕迹模块：聚合用户常见活动痕迹，包括UserAssist、Prefetch、最近访问、登录等活动，梳理活动时间线
【新增】事件日志新增 杀软检出 查询
【优化】其他细节优化
【修复】修复右键异常刷新，过滤状态重置BUG
v1.1.0 (2026-01-31)
【新增】文件排查模块新增时间排序逻辑，新增自定义后缀扫描
【优化】取消部分非必要风险判定规则，优化风险描述字段
【优化】优化部分默认过滤规则，新增其他关键字段过滤
【优化】网络排查模块移除“UDP”与“其他”复选框的误关联
【修复】修复自启动模块右键菜单点击误刷新，事件日志模块修复右键失效问题
v1.0.0 (2025-01-18)
✨ 首次发布:
用户排查 - 枚举系统用户账户，识别隐藏用户和克隆账户
进程排查 - 监控系统进程，进程树查看、DLL分析、签名验证和在线威胁查询，标注可疑进程
网络连接排查 - 监控TCP/UDP连接，快速过滤方式
启动项排查 - 全面扫描注册表启动项、启动文件夹、IFEO劫持等多种启动方式
服务排查 - 枚举系统服务，标注可疑服务
计划任务排查 - 扫描系统计划任务，显示任务状态、触发器和执行程序
文件排查 - 扫描指定目录常见落地文件类型，内置常见威胁落地目录+自定义路径扫描
事件日志排查 - 分析Windows安全事件日志，筛选登录失败、权限提升等关键事件
威胁检索 - 基于进程内存特征的威胁检索，快速定位威胁进程