前言：遏制啟動即遏制威脅

木馬必須隨系統啟動才能持續駐留控制。掌握六大啟動機制、隱蔽性評級與破解方法，才能在木馬落地第一時間斷其生路。

一、啟動資料夾

• 隱蔽性：★★☆☆☆
• 普及度：低
• 特徵：出現在「開始→程式→啟動」及 msconfig 中，極易被發現。
• 破解：直接刪除捷徑或 msconfig 取消勾選。

二、Win.ini 檔案

• 隱蔽性：★★★☆☆
• 普及度：低
• 機制：[Windows] 區段 load=、run= 項目，同樣出現在 msconfig。
• 破解：msconfig 或手動編輯 Win.ini 刪除對應行。

三、登錄檔 Run 類鍵值（最主流）

1. 常駐執行鍵值

• HKCU\Software\Microsoft\Windows\CurrentVersion\Run
• HKLM\Software\Microsoft\Windows\CurrentVersion\Run
• HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices

隱蔽性：★★★★☆ | 普及度：極高 (BO2000、GOP、NetSpy、冰河等)

對抗機制：木馬進程常駐監控鍵值，偵測到被刪即重寫，形成「進程↔鍵值」互保。

破解：安全模式啟動（不載入 Run 鍵值）→ 木馬不執行 → 互保鏈斷裂 → 刪除鍵值與木馬檔案。

2. 單次執行鍵值

• HKLM\...\RunOnce
• HKCU\...\RunOnce
• HKLM\...\RunServicesOnce

隱蔽性：★★★★★ | 普及度：低 (Happy99)

特徵：啟動後鍵值自動清空，不顯示於 msconfig。木馬啟動後重寫自身達到持久化。

進階變體：攔截關機訊息，關機前寫入 RunOnce，正常開機前無痕跡。缺點：系統異常關機導致木馬失效。

破解：同樣採用安全模式。

四、Autoexec.bat / Winstart.bat / Config.sys

• 隱蔽性：★★★★☆ | 普及度：低
• 限制：DOS 環境下執行，僅能載入 16 位元程式，32 位木馬無法直接運行。
• 變通：如 SoftIce 先在 Autoexec.bat 載入驅動，再進 Windows 呼叫。理論上木馬可仿效，但極少見。
• 破壞風險：常被植入 deltree C:\*.*、format C:/u 等毀滅指令。

五、System.ini Shell 鍵值劫持

• 隱蔽性：★★★★★ | 普及度：中
• 機制：[Boot] Shell=explorer.exe 惡意程式路徑。Windows 啟動時載入 Shell，掛載程式同步啟動，安全模式亦不例外。
• 經典案例：尼瑪達 (Nimda) 病毒。
• 互保升級：木馬若同時監控 Shell 鍵值，極難清除。
• 破解：需以進程管理工具強制結束木馬進程 → 修正 Shell 值 → 刪除木馬檔案。或使用 DOS 啟動盤刪除檔案後修正登錄檔。
• 缺陷：單一 Shell 槽位，多木馬衝突導致前者失效（以毒攻毒）。

六、掛載特定程式/檔案關聯

1. 綁定正常程式（捆綁）

木馬與正常程式捆綁，執行時優先取得控制權。需 PE 結構與 Windows 底層知識，難度高。

2. 改名偽裝（常見於 QQ 木馬）

將 QQ2000b.exe 改為 QQ2000b.ico.exe（利用隱藏副檔名顯示為圖示），木馬改名為 QQ2000b.exe。用戶點擊圖示實際執行木馬，木馬再啟動真 QQ。

3. 檔案關聯劫持

將木馬與 .txt、.exe 等關聯。雙擊文字檔或執行檔時，木馬優先啟動。案例：「廣外女生」病毒。

清除對策：

刪除木馬檔案、修復檔案關聯登錄檔（HKCR\txtfile\shell\open\command 等）、移除捆綁載入點。

總結：分層防禦體系

機制	隱蔽性	普及度	核心破解鍵
啟動資料夾	低	低	msconfig/手動刪除
Win.ini	中	低	msconfig/編輯檔案
Run/RunServices	高	極高	安全模式斷開互保
RunOnce	極高	低	安全模式/登錄檔監控
Autoexec.bat 類	高	極低	編輯批次檔/DOS 清除
System.ini Shell	極高	中	結束進程+修正 Shell/DOS
程式掛載/關聯	極高	中高	刪除檔案+修復關聯

建議：平時啟用防毒即時掃描、定期檢查啟動項、關鍵登錄檔設為唯讀、重要系統檔案啟用 Windows 檔案保護 (WFP)。