一次性看清这台电脑里到底藏着什么：透明加密、DLP、员工监控、远程控制、键盘记录、流量劫持、HTTPS 中间人证书。检测之外，还能把你不想要的残留组件可回滚地拆掉。
单文件 · 免安装 · 完全离线 · 零上传 · 永久免费 · 非商业
- 本程序是个人电脑的隐私与安全自查工具，仅限你拥有全部所有权、且不含任何单位统一管控代理的个人设备使用。
- 企业、机关、事业单位、学校、外包驻场等组织配发的设备，以及任何接入单位网络或受单位统一管理的设备，严禁下载、安装、运行本程序。
- 严禁使用本程序规避、破坏、对抗任何单位依法依规部署的安全管控、审计、监控或数据保护措施。任何违规使用（包括对本程序二次修改后的违规使用）及由此产生的一切后果，与本程序作者无关，由使用者自行承担全部责任。
- 本程序不包含、也不提供任何木马、病毒、蠕虫、勒索软件、键盘记录器或窃密程序的生成、制作、投放、传播功能；不提供针对他人设备的入侵、控制或数据获取能力；不包含任何违反中华人民共和国法律法规的功能。
- 本程序完全原创，由作者独立设计与实现，非转载、非改造他人软件。
- 本程序永久免费，以开放共享的精神提供给个人用户做隐私自查，永远不会具有任何盈利目的；禁止任何人以任何形式直接或间接利用本程序盈利、售卖、捆绑或作为付费服务的一部分。
大多数侵入性软件不会出现在"设置 → 应用"里。
- 透明加密 / DLP 客户端把你的文件在磁盘上就地加密：在许可环境内正常打开，带回家或发出去就是乱码；它还会把自己注入到你的每一个进程里，读取剪贴板、打印与截图。
- 屏幕与行为监控按秒级截屏、记录窗口标题、统计停留时长，通常没有托盘图标，任务管理器里也叫不出名字。
- 远程控制可能正与远端保持一条已建立的连接，对方能看你的屏幕、动你的鼠标。
- 键盘记录器静默记录每一次击键，密码、聊天、网银全部落盘。
- HTTPS 中间人证书 + 系统代理把根证书装进"受信任根证书"区，你的银行页面、邮箱、网页版聊天流量在网关侧全部明文可见。
- 行为审计驱动 / 注入 DLL（AppInit_DLLs、Winlogon 篡改、IFEO 劫持）让"谁在看着我"根本无法靠肉眼判断。
这些软件的共同特征是：静默安装、无感运行、无卸载入口、不告知用户，而它们恰好掌握着你最私密的数据。
本程序做的事情：把这层看不见的东西一次性、逐条、带证据地摊开在你面前。 软件名称、厂商、路径、PID、服务与内核驱动、注入到本程序里的第三方 DLL、根证书颁发者、系统代理地址、远控进程的真实外连状态——红/绿结论直接呈现，不需要你懂安全知识。
检测阶段完全只读。它不阻断、不查杀、不改任何系统设置——除非你在处置对话框里自己勾选并点了「开始处置」。
| 项目 | 值 |
|---|---|
| 最新版本 | Releases → 下载 WindowsEnvSecurityCheck.exe |
| 下载文件名 | WindowsEnvSecurityCheck.exe |
| 大小 | 49,372,622 字节（约 47.1 MB） |
| 版本 | 1.5.0 |
| SHA-256 | C01BEFFAC9F3C29CE0F2C37EBF2E40B17425C48171873AF8E915781ACDD7FE00 |
关于文件名：程序原始文件名为
Windows环境安全检测.exe，但 GitHub Release 会剥离附件名中的非 ASCII 字符，因此下载得到的是WindowsEnvSecurityCheck.exe。两者是同一个二进制，SHA-256 完全一致；重命名回中文名不影响运行。窗口、界面与功能均为中文。
校验（PowerShell，一条命令）：
Get-FileHash -LiteralPath ".\WindowsEnvSecurityCheck.exe" -Algorithm SHA256 | Format-ListHash 与上表一致 = 文件在传输过程中未被篡改或替换。
为什么二进制放在 Releases 而不是仓库里？ 为了让仓库保持轻量（克隆只拉几百 KB 的文档与截图），约 47 MB 的单文件二进制通过 Releases 分发，每个 Release 都附带 SHA-256 供你独立校验。
这是本项目的核心承诺，并且每一条都可以被你亲手验证：
| 承诺 | 具体含义 |
|---|---|
| 零联网 | 程序内部不含任何 HTTP/HTTPS/Socket 客户端代码，不解析域名，不发起任何网络请求。Telemetry、崩溃上报、更新检查、激活验证——全部不存在。 |
| 零上传 | 不收集、不缓存、不外发任何个人信息、文件内容、进程列表或检测结果。结果只存在于内存与你主动导出的那个本地文件里。 |
| 检测只读 | 检测阶段不写注册表、不写系统目录、不装服务、不加启动项、不建计划任务、不装证书、不改代理。 |
| 处置可控 | 只有你在处置对话框中勾选动作并点「开始处置」后，程序才会改动本机配置项；每一项都先落盘原值快照，可一键回滚。 |
| 零依赖 | 运行时已打包进 exe，目标机不需要安装任何运行库，不需要联网下载组件。 |
| 权限克制 | 普通用户权限即可完成全部检测；以管理员运行只是为了让进程完整路径、BitLocker 状态与部分处置动作可用。 |
- 资源监视器：
Win+R→resmon→ 「网络」标签页 → 看本程序是否有任何 TCP/UDP 端点或收发字节。全程为 0。 - 防火墙出站规则：
wf.msc→ 出站规则 → 阻止本程序的一切出站连接 → 再次检测，结果完全一致。 - 物理断网：拔掉网线 / 关闭 Wi-Fi 后运行，功能不打折扣。
- Process Monitor（Sysinternals）：过滤
Process Name is WindowsEnvSecurityCheck.exe（即你的 exe 文件名）+Operation is TCP/UDP Send，命中数为 0。
任意一项验证不成立，请在 Issues 公开指出——这是可以被证伪的承诺。
点击「开始检测 (F5)」后约 5–15 秒完成一次全量只读扫描（约 1600–1700 个证据点），命中任意一类即顶部横幅变红，表格逐条列出软件名称、厂商、路径、PID、服务/驱动信息；全部未命中则为绿色「未检测到」。
| 类别 | 覆盖内容 |
|---|---|
| 透明加密 / DLP 客户端 | 亿赛通、天锐绿盾、迅软 DSE、华途、中孚、IP-guard、天空卫士、明朝万达、天融信、网御、任子行等 |
| 文件系统加密过滤驱动 | 驱动 Group=FSFilter Encryption 即视为透明加解密（未收录厂商同样会命中） |
| 磁盘 / 全盘加密 | BitLocker、VeraCrypt、TrueCrypt、BestCrypt、DiskCryptor、企业级 FDE |
| 远程控制 / 屏幕共享 | 向日葵、TeamViewer、AnyDesk、ToDesk、RustDesk、VNC、Radmin、Splashtop、Chrome 远程桌面、快速助手等，并检查是否正与远端保持 ESTABLISHED 连接 |
| 键盘记录 / 间谍软件 | Ardamax、Actual Keylogger、超级眼、网眼、域之盾、网路岗、WorkWin、StaffCop、Spyrix 等 |
| 屏幕监控 / 员工监控 | Teramind、ActivTrak、Hubstaff、Time Doctor、Kickidler、Veriato、Controlio、Insightful 等 |
| 终端管控 / EDR / 杀毒 | 火绒、奇安信天擎、深信服、亚信、绿盟、安恒、启明星辰、联软、北信源、CrowdStrike、SentinelOne、Carbon Black、Symantec、McAfee/Trellix、ESET、Kaspersky、Sophos、FortiClient、Cortex XDR、SCCM、Tanium、Splunk/Elastic/Wazuh/osquery 等 |
| 抓包 / 流量监听 | Wireshark、Npcap、WinPcap、WinDivert、USBPcap、Fiddler、Charles、mitmproxy、Burp Suite、Proxyman、Reqable 等 |
| HTTPS 中间人证书 | 受信任根证书区出现 Fiddler / Charles / Burp / Zscaler / Netskope / Fortinet / 杀软 SSL 扫描等证书 |
| 流量代理 | 系统 WinINET 代理、PAC 自动代理、WinHTTP 代理 |
| 系统行为审计 | Sysmon、Windows 事件日志转发 (WEF)、RDP 无同意影子会话、Windows Recall 已允许 |
| 可疑注入 / 钩子 | AppInit_DLLs、AppCertDlls、Winlogon 篡改、IFEO 劫持，以及本程序自身进程被第三方 DLL 注入 |
| 远程会话 | RDP 已启用 / 正在登录、WinRM、VNC / Radmin / TeamViewer 等端口监听 |
系统自带的 Microsoft Defender 不列入判定，避免把系统默认防护误报成"监控"。
检测之外，右键任意一条风险 →「解决此风险…」，程序按风险类型生成一组可勾选的最小动作，先预演、再执行，每一步都给出结果或明确的失败原因，全部改动留快照，可随时回滚。
- 预演：只列出将要做的事，逐项写日志，不动系统。
- 回滚：按最近一次处置记录倒序恢复（假象进程/服务 → 服务配置与启动类型 → 启动项/计划任务 → 证书 → 代理与注册表原值）。
- 审计：
%LOCALAPPDATA%\EnvSentry\remedy\下留audit.log、每次处置的journal-*.json、backup\（证书 .cer、任务 XML、注册表文本）与latest.json。 - 失败原因：逐动作返回，例如拒绝访问（5）、服务未及时响应（1053）、驱动不能在线停止（1052）、不是安全模式不能卸载驱动（1084）、需要管理员权限——不会"整体失败但不说话"。
处置覆盖三类对象：监控类（远控 / 键鼠记录 / 屏幕监控 / EDR）、加密类（透明加密 / DLP）、策略与配置类（根证书 / 代理 / 审计 / 注入 / RDP / BitLocker）。内置 122 个厂商/产品处置手册，未收录的程序从证据里解析真实 PID、服务名、驱动名、启动项、计划任务与证书指纹后套用通用动作。
边界（重要）：本机处置无法伪造远端心跳——管理端仍可能看到"设备在网但无数据"；带 PPL / 反篡改 / 内核自保护的目标会返回拒绝访问，程序会明确说明并中止；加密过滤驱动无法在线卸载，已加密文件不会因此变成明文。详见 使用说明.txt 第十节。
以上能力仅用于清理你自己的个人设备上你不希望保留的组件。用于单位设备或规避单位管控，属于本仓库明确禁止的用途，见使用边界。
| 展开即用的单窗口 | 检测结论：命中即红色横幅 |
|---|---|
 |
 |
| 干净环境：绿色「未检测到」 |
|---|
 |
单击表格任意一行 → 下方证据面板显示完整判定说明与原始数据；双击 → 独立窗口查看全文。
仓库内所有截图均已脱敏：不含用户名、主机名、安装路径、IP 或单位信息。
| 状态 | 工作集 | 私有内存 | CPU |
|---|---|---|---|
| 刚启动、空闲 | 17–25 MB | 52–54 MB | ~0.1% |
| 检测完成后（常驻实时监测） | 30–35 MB | ~68 MB | ~0.0% |
| 实时监测旋转动效开销 | 无明显增长 | 无明显增长 | ~0.06%（4 秒均值） |
- 单文件 47.1 MB，自包含打包（win-x64 / Release），目标机不需要装任何运行时。
- 一次全量扫描约 1600–1700 个证据点、约 9–15 秒。
- 窗口最小化或隐藏到托盘时自动暂停资源采样与动效，后台开销趋近于 0。
- 每 10 秒一次"只看进程名"的轻量巡检；发现新的监控进程 → 顶栏红字告警 → 2.5 秒后自动重扫并刷新表格。
- Windows 10（1607 及以上）/ Windows 11，64 位
- 免安装、免运行库、免联网
- 双击即用；建议右键「以管理员身份运行」，可读到更完整的进程路径与 BitLocker 状态（普通权限下界面会用黄字提示检测受限）
- 首次运行若出现 SmartScreen 提示（程序未做代码签名）：点「更多信息」→「仍要运行」
- 双击下载得到的
WindowsEnvSecurityCheck.exe→ 出现「准备就绪」界面 - 点击左下角绿色按钮 「开始检测 (F5)」，约 5–15 秒完成
- 顶部横幅即结论；表格每行代表一项命中：单击看证据，双击看全文
- 底部按钮：
[重新检测 (F5)][解决风险…][导出报告][复制详情 (Ctrl+C)] - 点右上角
X= 最小化到托盘（程序不退出）；想真正退出：右键托盘图标 →「退出程序」
完整手册见仓库内 使用说明.txt：处置策略细节、失败码说明、命令行接口、判定规则与常见问题。
- 检测为特征库 + 通用行为特征双轨判定。未收录的定制软件可能漏报，但它的加密过滤驱动、HTTPS 解密证书、远控通道、注入 DLL 仍会被通用规则捕获。
- 普通用户权限下，部分进程路径与磁盘加密状态读取受限（界面会黄字提示）。
- 本机处置无法伪造远端心跳，也无法突破 PPL / 反篡改 / 内核自保护。
- 处置不创建系统还原点，重要数据请先自行备份。
一、用途限制 本程序仅限个人用户在自己的个人电脑上做隐私与安全自查。严禁在组织配发设备、接入单位网络的设备、或任何受单位统一管控的设备上使用；严禁用于规避、破坏、对抗任何单位依法依规部署的安全管控、审计或监控措施。
二、无恶意功能 本程序不提供任何木马、病毒、蠕虫、勒索软件、键盘记录器或窃密程序的生成、制作、投放、传播功能，不提供针对他人设备的入侵与控制能力，不包含任何违反中华人民共和国法律法规的功能。
三、永久免费、非商业 本程序永久免费，以开放共享的精神提供给个人用户使用，永远不会具有任何盈利目的。禁止任何形式的售卖、转售、租赁、捆绑销售、付费分发，或将其作为付费服务、付费课程、付费社群的一部分；禁止以本程序直接或间接获利。
四、原创声明 本程序由作者完全原创设计与实现，不是转载，不是对他人软件的改造、套壳、二次打包或破解产物。
五、免责 本程序按「现状」提供，不附带任何明示或暗示的担保。因使用或误用本程序导致的任何直接或间接损失、数据丢失、系统异常、合规或法律后果，由使用者自行承担；违规使用（含二次修改后的违规使用）与作者无关。详见 LICENSE 与 DISCLAIMER.md。
六、贡献 仓库以开放方式维护：欢迎 fork、提交 Pull Request 参与改进（检测规则、文案、缺陷修复）。提交 PR 即表示你同意你的贡献以相同条款并入本项目。
主分支 main 受保护，任何人都不能直接推送。 包括提交者本人在内，所有改动一律走 Pull Request：
fork / feature 分支 → Pull Request → CODEOWNERS 审核 → Squash merge → main
| 规则 | 状态 |
|---|---|
禁止直接 push / force push / 删除 main |
✅ 强制 |
| 所有改动必须经由 Pull Request | ✅ 强制 |
| 必须通过 CODEOWNERS（@hage2000）审核 | ✅ 强制 |
| 至少 1 个 approval，新提交撤销旧 approval | ✅ 强制 |
| 所有 review 会话已解决才能合并 | ✅ 强制 |
| 允许外部用户 fork 并提交 PR | ✅ 开放 |
欢迎的贡献：新增软件特征、补充未覆盖的检测路径、改进界面与可访问性、修正文案、报告漏报/误报。
合并权：唯一维护者 @hage2000 审核通过后才会合入 main。
提交前请阅读 CONTRIBUTING.md。安全问题请按 SECURITY.md 私下报告。