啟動/關機腳本 vs 登入/登出腳本

• 啟動/關機腳本：電腦啟動/關機時執行，僅執行一次，在使用者登入對話框出現之前完成。
• 登入/登出腳本：使用者登入/登出時執行，執行次數等於登入/登出次數。

透過組策略 (MMC) 指派腳本

1. 啟動 MMC → 加入「群組原則」獨立管理單元。
2. 選擇「本機電腦」 (本機腳本) 或「Default Domain Policy」 (網域腳本)。
3. 展開「電腦設定 → Windows 設定 → 腳本 (啟動/關機)」，雙擊「啟動」或「關機」新增腳本。
4. 腳本項目包含「腳本名稱」與「參數」。若未含路徑，系統搜尋預設路徑：
   • 本機：%systemroot%\system32\GroupPolicy\Machine\Scripts\Startup
   • 網域：\\\sysvol\\Policies\\Machine\Scripts\Startup

底層儲存：scripts.ini

設定資料儲於 C:\WINNT\system32\GroupPolicy\Machine\Scripts\scripts.ini (隱藏檔)，含 [Startup] 與 [Shutdown] 兩區段。每個腳本條目以 XCmdLine (腳本路徑) 與 XParameters (參數) 儲存，X 為 0 起始序號決定執行順序。

[Startup]
0CmdLine=d:\start\ss.bat
0Parameters=
1CmdLine=scriptsa.vbs
1Parameters=start

群策略微調選項

• 非同步執行啟動腳本：啟用後腳本並行執行 (對應 RunStartupScriptSync=0)。
• 顯示啟動/關機腳本執行狀態：啟用後指令顯示於命令視窗 (對應 HideStartupScripts=0, HideShutdownScripts=0)。警示：此選項極度危險，若啟動腳本含 explorer.exe 等互動指令，系統將以 System 身分互動登入，等同著名輸入法漏洞。
• 最大等待時間：預設 600 秒 (10 分鐘)，可設 1~32000 秒或 0 (無限等待，不建議)。對應 MaxGPOScriptWait。

三大典型應用範例

1. 啟動/關機時間稽核：VBScript 記錄時間與事件至日誌檔。
2. 自動修補/部署：啟動時自動套用修補程式、複製設定檔。
3. 密碼重設後門：核心風險——在啟動腳本中植入 net user Administrator NewPass 或呼叫 passwd 類工具，可在無人知曉下重置管理員密碼。因腳本在登入前以 System 權限執行，繞過所有存取控制。

防禦建議

• 嚴格控制群組原則編輯權限 (僅 Domain Admins/Enterprise Admins)。
• 定期稽核 scripts.ini 與腳本檔案完整性 (檔案監控/雜湊比對)。
• 啟用「顯示啟動腳本執行狀態」僅限除錯臨時使用，生產環境必須停用。
• 考慮使用「軟體限制原則」或 AppLocker 限制可執行腳本類型與路徑。