木馬為達持久駐留，必須掛載到系統啟動流程。掌握三大經典掛載點，即可快速發現並清除殘留木馬。

1. System.ini (C:\Windows\)

[boot]
shell=explorer.exe          ; 原始值
shell=explorer.exe C:\Windows\xxx.exe  ; 被木馬修改 (xxx.exe 為木馬主程式)

修改後系統啟動會同時執行木馬。

2. Win.ini (C:\Windows\)

[windows]
load=                        ; 原始值通常為空
run=                         ; 原始值通常為空

; 被修改後
load=C:\Windows\malware.exe
run=C:\Windows\malware.exe

非系統啟動項出現在此處即為異常。

3. 註冊表 (最隱蔽、最常用)

關鍵鍵值：
HKEY_LOCAL_MACHINE\Software\Classes\exefile\shell\open\command\
原始數值資料："%1" %*
被木馬修改為："%1" %* C:\Windows\xxx.exe 或直接替換為木馬路徑，導致所有 .exe 執行前先跑木馬。

快速修復指令

1. 可進入系統：Win+R → msconfig →「系統設定公用程式」修正上述兩檔與「啟動」分頁異常項，並手動刪除木馬檔案。
2. 無法進入系統：開機按 Shift+F5 進入「僅命令提示字元」模式 → edit system.ini、edit win.ini 手動修復。
3. 註冊表修復：同樣在命令列模式用 regedit 載入離線登錄檔修正，或使用 ERD/PE 系統修復。

---

日常防護：定期檢視 msconfig「啟動」分頁、system.ini/win.ini、註冊表 Run/RunOnce/Winlogon 等關鍵路徑，異常項目立即清除並全盤掃毒。