SFC是Windows内置系统文件检查工具，用于扫描并修复受Windows资源保护（WRP）管控的DLL、EXE、SYS等关键系统文件，通过比对本地缓存或映像源恢复原始版本；需以管理员身份运行，常用命令包括/scannow（扫描修复）、/verifyonly（仅验证）、/verifyfile（指定文件验证），配合DISM可解决映像损坏导致的修复失败问题。
当系统出现蓝屏、程序异常崩溃、安全软件失效或注册表项莫名消失时，很可能是关键系统文件已被篡改。Windows 提供原生工具直接验证文件数字签名与缓存副本一致性，无需安装第三方软件即可完成可信检测。
用SFC命令扫描并验证系统文件完整性
打开“开始”→搜索“Windows终端（管理员）”→右键选择“以管理员身份运行”。
输入 sfc /scannow 并回车。该命令会逐个比对所有受 Windows 资源保护（WRP）机制管控的系统文件（如 dll、exe、sys），一旦发现校验失败或版本不匹配，立即尝试从本地缓存（%WinDir%\System32\dllcache）或 Windows 映像中恢复原始版本。
扫描耗时通常为10～25分钟，期间请勿关闭窗口或操作其他程序——【中断会导致缓存状态异常，后续需先执行 sfc /purgecache 再重试】。
完成后查看输出结果：若显示“Windows资源保护未发现任何完整性冲突”，说明当前系统文件全部通过校验；若提示“已修复xxx个文件”，则表明此前存在被篡改或损坏的文件。
用DISM配合SFC解决SFC自身失效问题
当 SFC 扫描反复报错“无法修复某些文件”或返回“Windows资源保护找到了损坏文件但无法修复”，说明系统映像本身已受损，此时必须先修复映像源。
在同一个管理员终端中，依次执行以下两条命令：
DISM /Online /Cleanup-Image /RestoreHealth → 等待完成（约5～15分钟）→ sfc /scannow
DISM 命令会从 Windows Update 或本地安装源下载并重建受损的系统映像组件，为 SFC 提供可靠的修复依据。若网络不可用，可挂载 Windows ISO 镜像后添加参数：/Source:D:\sources\install.wim:1（D:为镜像盘符，:1 表示第一个映像索引）。
仅验证不修复：快速确认文件是否被动过手脚
方法一：sfc /verifyonly
适用于只想确认当前系统文件状态、避免自动替换的场景，比如取证前的快照检查。它只做比对，不写入任何更改，输出结果与 /scannow 完全一致，但速度更快。
方法二：sfc /verifyfile=C:\Windows\System32\notepad.exe
可指定单个文件进行校验，适合怀疑某程序被植入后门时精准排查。注意路径必须是完整绝对路径，且文件需属于 WRPs 保护范围，否则返回“此文件不受系统文件保护”。
用PowerShell比对关键文件哈希值
第一步：获取官方可信哈希值
访问 Microsoft 官方下载中心，查找对应 Windows 版本的“系统文件校验清单”（如 Windows 10 22H2 的 SHA256SUMS 文件），从中提取目标文件（如 kernel32.dll）的哈希值。
第二步：在管理员 PowerShell 中运行
Get-FileHash C:\Windows\System32\kernel32.dll -Algorithm SHA256 | Format-List
第三步：将输出的 Hash 值与官方清单逐字符比对。若不一致，说明该文件已被替换或注入代码——【此时不应手动删除，而应立即运行 sfc /scannow 或重装系统】。
