木馬屢殺不絕、甚至殺毀後系統癱瘓，源於三大駐留技術：啟動項佔位、EXE 文件並聯劫持、系統文件替換偽裝。本文逐層拆解原理並給出經驗證的清除方案。

一、木馬運作三部曲

1. 投遞執行：誘騙受害者運行 Server 端。
2. 植入啟動項：自我複製至系統目錄，寫入開機自啟動區（註冊表 Run/RunServices、啟動資料夾、win.ini、服務、AppInit_DLLs 等）。
3. 開放端口潛伏：側聽連接，等待控制端上線。

二、啟動項大全：木馬最愛的 10+ 個藏身處

系統	啟動項位置
Win 9x	Autoexec.bat、Config.sys、啟動群組、HKLM\Run、HKCU\Run、HKLM\RunServices
Win 2000/XP/2003	上述註冊表項保留 + 新增：HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\AppInit_DLLs、HKCU\同路徑\Run、服務

進階隱匿：「系統路徑遍歷優先級欺騙」——木馬將自身命名為系統啟動必調用文件（如 internat.exe），放置於比真實文件更淺層目錄（如 C:\），Windows 會優先執行木馬。

防範： 熟記本機所有合法啟動項；定期檢查根目錄是否出現系統同名文件。

三、文件並聯型木馬：殺毒後「所有程式打不開」的真相

原理： 竄改 HKEY_CLASSES_ROOT\exefile\shell\open\command 預設值從 "%1" %* 改為 木馬.exe "%1" %*。所有 EXE 執行前先載入木馬，木馬傳參給原程式 → 木馬長駐記憶體、自我恢復。刪除木馬後，Windows 找不到調用者 → 所有 EXE 無法運行。

修復步驟（保持注冊表編輯器開啟）

1. 任務管理器終結木馬進程（及其衍生進程）。
2. 刪除所有木馬文件。
3. 將 exefile\shell\open\command 改回 "%1" %*。

若已誤刪木馬導致程式全掛：

• Win 9x：F8 進 DOS → 改 Explorer.exe 名 → Regedit.exe 改名為 Explorer.exe → 重啟進註冊表修復 → 重啟恢復 Explorer.exe。
• Win 2000/XP：F8 進「帶命令提示符的安全模式」直接跑 REGEDIT 修復；XP 甚至可在「打開方式」瀏覽選 CMD.EXE 直接拉起註冊表編輯器。

四、系統文件替換型木馬：接力賽式偽裝

木馬將目標系統文件（如 internat.exe、rundll32.exe）改名隱藏，自身冒用其名。被調用時接收系統參數，傳遞給真文件執行 → 系統感知正常。刪除木馬後參數傳遞鏈斷裂 → 系統功能失效。

修復：

1. 記住木馬文件名。
2. 刪除木馬後，從系統安裝光碟拷回原版文件覆蓋；或用工具追蹤木馬調用的目標文件名，將其改回原名。

掌握三大駐留技術清除法，頑固木馬不再是「牛皮癬」。