前言

控制開機自動執行程式，不僅能加快開機速度、釋放資源，更是**查殺木馬病毒的核心技能** (80% 以上持久化木馬透過啟動項實現)。

四大核心啟動位置

1. 啟動資料夾 — 最直觀、使用者層級

• **當前使用者**：`shell:Startup` / `C:\Users\<用戶名>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup`
• **所有使用者**：`shell:Common Startup` / `C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp`
• **操作**：直接在資料夾中刪除/新增捷徑，或「開始」→「所有程式」→「啟動」右鍵刪除。

2. win.ini (舊版 16-bit 相容，現已極少用)

• Win+R → `win.ini` → Enter。
• `[windows]` 區段下的 `load=`、`run=` 後的程式路徑即為啟動項。
• 建議**清空 `=` 後的所有內容** (保留區段標題 `[windows]` 與換行)。

3. 登錄機碼 — 重中之重、病毒最愛藏身處

開啟登錄編輯器 (`regedit`) 依序檢查：

機碼路徑	範圍	說明
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run	全域 (所有使用者)	系統級服務、驅動、安全軟體、廠商工具
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run	當前使用者	使用者級應用 (雲端同步、通訊軟體、工具列)
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce	全域、僅執行一次	安裝程式第二階段、更新完成清理
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce	當前使用者、僅執行一次	同上
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnceEx	全域、序列執行	較少見，安裝程式批次操作
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit	系統關鍵	**預設值：`C:\Windows\system32\userinit.exe,`** (注意結尾逗號)。木馬常在逗號後掛載惡意程式 → **刪除逗號後所有內容**。

4. 服務 — 隱蔽持久化手段

• `services.msc` → 狀態「正在執行」、啟動類型「自動」的非 Microsoft 服務。
• 可疑服務：名稱隨機、描述模糊、路徑指向非標準目錄 (如 `C:\Windows\Temp\xxx.exe`、`C:\ProgramData\xxx.dll`)。
• 處理：右鍵「內容」→「停止」→「啟動類型」改「手動」或「停用」 → 刪除對應檔案 (需先在登錄 `HKLM\SYSTEM\CurrentControlSet\Services\<服務名>` 刪除機碼或設 `Start`=4)。

實戰清理原則

1. 白名單機制：僅保留**確認需要**的項目 (殺毒、雲端同步、輸入法、顯卡面板、聲音管理、筆電熱鍵驅動等)。
2. 不確定先停用：工作管理員 →「啟動」→ 停用可疑項 → 觀察數日無異常再決定刪除/保留。
3. 記錄備份：刪除登錄值前右鍵「匯出」備份 `.reg` 檔，或建立系統還原點。
4. 工具輔助：Autoruns (Sysinternals, 微軟官方、最強)、CCleaner、HiBit Startup Manager、360/火綠啟動項管理。

筆者實測成果

經細心處理啟動項 (三大區域 + 服務)，開機後進程數從 60+ 降至 **30 個左右**，開機到桌面就緒時間縮短超過 50%，系統回應明顯變快。

延伸閱讀

• Autoruns 進階使用教學：驗證簽章、跳過 Microsoft 項目、離線分析。
• Windows 服務優化指南：哪些服務可安全停用 (Print Spooler、Fax、Remote Registry 等)。
• 木馬持久化技術原理與應急響應流程。