Windows 開機自啟動機制遠不止「啟動」資料夾。註冊表藏有七大核心啟動鍵值，也是惡意軟體、病毒、流氓軟體駐留的重災區。本文系統梳理各鍵值路徑、觸發時機、權限差異，並提供排查清單與防護建議。

一、經典啟動資料夾（非註冊表，但最直觀）

• 當前使用者：shell:startup（%AppData%\Microsoft\Windows\Start Menu\Programs\Startup）
• 所有使用者：shell:common startup（%ProgramData%\Microsoft\Windows\Start Menu\Programs\Startup）
• 放入捷徑/可執行檔即開機自動執行，用戶權限執行，易管理也易被惡用。

二、註冊表七大核心啟動鍵值詳細圖譜

鍵值名稱	註冊表路徑（HKCU / HKLM）	觸發時機	執行權限	特殊說明
Run	HKCU\Software\Microsoft\Windows\CurrentVersion\Run	使用者登入時，按序執行	當前使用者	病毒最愛藏身處；HKLM 需管理員權限寫入
	HKLM\Software\Microsoft\Windows\CurrentVersion\Run		系統級（所有使用者）
Run (Policies)	HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run	使用者登入時（組策略強制）	當前使用者	常被忽略，組策略推送的強制自啟程式在此
	HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run		系統級
RunOnce	HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce	下次登入僅執行一次，執行後自動刪除	當前使用者	安裝程式常用於重開機完成設定；惡意軟體可重寫達到持久化
	HKLM\Software\Microsoft\Windows\CurrentVersion\RunOnce		系統級
RunOnceEx	HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnceEx	WinXP/2003 特有，下次登入依序號執行一次	當前使用者	現代 Windows 少見，但兼容性保留
	HKLM\Software\Microsoft\Windows\CurrentVersion\RunOnceEx		系統級
RunServices	HKCU\Software\Microsoft\Windows\CurrentVersion\RunServices	服務控制管理器啟動服務前	系統級	早期服務註冊方式，現多用 Services 鍵值
	HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices		系統級
RunServicesOnce	HKCU\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce	系統啟動早期僅執行一次	系統級	極早期初始化任務
	HKLM\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce		系統級
Load (Winlogon)	HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows\load	使用者登入初期（Explorer 啟動前）	當前使用者	字串值可含多路徑，逗號分隔；極隱蔽，Rootkit 常駐此
Winlogon	HKCU\Software\Microsoft\Windows NT\CurrentVersion\Winlogon	登入/登出/螢幕鎖定事件	當前使用者	關鍵子鍵值：Shell（預設 explorer.exe）、Userinit（預設 userinit.exe,）、Notify（DLL 事件掛鉤）。逗號分隔可掛載多程式，極高危。
	HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon		系統級

三、其他易被忽略的自啟動位置

• 排程工作：taskschd.msc / %SystemRoot%\Tasks / %SystemRoot%\System32\Tasks，觸發條件靈活（閒置、事件、登入、定時）。
• 服務：services.msc / HKLM\System\CurrentControlSet\Services，Start=2 (自動)、Start=3 (手動)。
• 驅動程式：HKLM\System\CurrentControlSet\Services 中 Start=0 (開機載入)、Start=1 (系統啟動載入)。
• WMI 事件訂閱：powershell Get-WmiObject -Namespace root\subscription -Class __EventFilter，無檔案落地，極難查殺。
• 瀏覽器擴充/捷徑修改：捷徑目標後附加網址、擴充套件自動載入。
• 檔案關聯劫持：HKCR\.\*shell\open\command 修改預設開啟程式。

四、實戰排查與清理流程

1. 授權工具掃描：Autoruns (Sysinternals) —— 官方神器，完整列舉所有自啟動項，驗證簽章、高亮無簽章/可疑項，支援一鍵停用/刪除。
2. 手動檢查核心鍵值：Win+R → regedit → 依上表路徑逐一檢視，注意：
   • 無簽章/路徑指向臨時目錄/隨機檔名/無描述資訊的項目。
   • Winlogon 下 Shell、Userinit、Notify 異常值。
   • Load 鍵值非空。
3. 檢查排程工作：taskschd.msc → 工作排程器程式庫 → 檢視觸發條件與動作。
4. 服務異常排查：services.msc → 狀態「執行中」且啟動類型「自動」的非 Microsoft 服務，驗證簽章與路徑。
5. PE/離線掃描：疑似 Rootkit/深度持久化，製作 WinPE/U 盤啟動，離線掛載註冊表（reg load HKLM\OFFLINE C:\Windows\System32\config\SOFTWARE）清理，或用離線殺毒工具。

五、防護最佳實踐

• 最小權限原則：日常使用標準使用者帳號，UAC 保持預設/高。
• 啟用受控資料夾存取：Windows 安全中心 → 病毒與威脅防護 → 勒索軟體防護 → 受控資料夾存取（防未授權程式寫入啟動目錄/註冊表）。
• 軟體限制原則/AppLocker：企業環境限制可執行檔路徑/簽章/雜湊。
• 定期備份關鍵鍵值：匯出上表 HKLM/HKCU 路徑為 .reg 檔，異常時快速對比/還原。
• 啟動項白名單機制：僅允許已知必要程式自啟，其餘一律禁用。

結語

註冊表啟動項是 Windows 持久化機制的核心戰場。熟記七大鍵值路徑、觸發時機與權限差異，善用 Autoruns 等專業工具，配合最小權限與白名單策略，才能有效防範惡意軟體駐留，守護系統純淨與啟動速度。