应依次检查计划任务、启动项、恶意软件、服务与注册表、CMD审计日志：先禁用可疑计划任务和启动项，再用Malwarebytes与AdwCleaner扫描，接着核查Run键值和服务路径，最后启用事件日志追踪父进程。
如果您的Windows电脑频繁弹出cmd窗口，这通常表明有后台进程、计划任务、启动项或恶意软件正在调用命令提示符执行指令。以下是解决此问题的步骤：
一、检查计划任务
Windows计划任务可能被配置为定期运行批处理或PowerShell脚本，从而触发cmd窗口弹出。检查并禁用可疑任务可立即阻止此类行为。
1、按 Win + R 键，输入 taskschd.msc，回车打开任务计划程序。
2、在左窗格依次展开 任务计划程序库，浏览所有任务名称及“描述”列。
3、重点关注名称含 update、run、start、launcher、shell 等关键词的任务。
4、右键可疑任务，选择 禁用；若不确定用途，先右键 → 属性 → 查看“操作”选项卡中是否调用 cmd.exe 或 .bat/.cmd/.ps1 文件。
二、扫描启动项
开机自启的程序或脚本可能通过shell命令调用cmd.exe，导致系统启动后反复弹窗。需排查常规启动位置中的异常条目。
1、按 Ctrl + Shift + Esc 打开任务管理器，切换到 启动 选项卡。
2、按“状态”列排序，筛选出 已启用 的项目，逐个查看发布者和名称。
3、对来源不明、名称可疑（如随机字符串、拼写异常）的条目，右键选择 禁用。
4、同时按下 Win + R，输入 shell:startup 回车，检查当前用户启动文件夹中是否存在 .bat、.cmd、.vbs 文件；若存在且非本人创建，直接删除。
三、排查恶意软件与PUP
广告软件、下载器捆绑程序或远程控制木马常利用cmd.exe执行隐藏指令，并故意保持窗口可见以规避静默检测。需使用多引擎工具交叉验证。
1、断开网络连接，以防止恶意程序外联或更新载荷。
Windows 命令行编码与兼容规范。涵盖 GBK/UTF-8 编码、PowerShell/pwsh 互操作、Python/Node.js、Git 配置及代码生成规则。适用于 Windows 10/11 + MSYS2/Git Bash 环境下的所有命令行操作。
2、下载并运行 Malwarebytes Free，执行完整扫描，勾选“查找潜在不受欢迎程序（PUP）”选项。
3、扫描完成后，勾选所有检测项，点击 移除所选项目。
4、重启电脑后，再使用 AdwCleaner 进行二次扫描，重点清理浏览器劫持与启动项残留。
四、审查Windows服务与注册表启动项
部分顽固程序将自身注册为服务或通过注册表Run键值实现持久化，绕过常规启动项管理。需手动核查高危注册表路径和服务映像路径。
1、按 Win + R 输入 regedit，定位至：
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
及
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
2、逐项查看右侧数据值，识别指向 cmd.exe /c、powershell.exe -exec bypass 或包含 .bat/.vbs/.js 绝对路径的条目。
3、对确认非法的条目，右键 → 删除；操作前建议先导出对应键值备份。
4、在管理员权限的PowerShell中运行：
Get-Service | Where-Object {$_.PathName -like "*cmd.exe*" -or $_.PathName -like "*.bat*"}
检查是否存在异常服务。
五、启用CMD窗口调用审计（高级追踪）
当上述方法无法定位源头时，可通过Windows事件日志与进程命令行审计，精确捕获每次cmd弹窗的父进程与参数。
1、以管理员身份运行PowerShell，执行：
auditpol /set /subcategory:"Process Creation" /success:enable
2、打开“事件查看器” → “Windows 日志” → “安全”，筛选事件ID 4688。
3、在筛选结果中查找 New Process Name 包含 cmd.exe 的记录，重点关注 Creator Process Name 字段，该字段即为触发cmd的原始程序。
4、根据该进程路径，前往其所在目录，检查文件属性中的数字签名与创建时间，判断是否为系统合法组件或可疑第三方程序。
