木馬源自特洛伊木馬典故，是具強隱藏性與破壞力的遠控工具。為達持久控制，木馬會利用多種機制實現自啟動與駐留。本文梳理常見啟動點、藏身位置，並以實例演示手動清除流程。

常見木馬啟動與藏身點

1. Win.ini 啟動項

[Windows] 區段下的 load=、run= 若後接程式路徑（如 run=C:\Windows\file.exe），極可能為木馬。

2. 登錄檔檔案關聯劫持

修改 HKEY_CLASSES_ROOT\*\shell\open\command 等分支下的預設值。例如「冰河」木馬將 .txt 關聯從 Notepad.exe 改為木馬路徑 C:\Windows\System\Sysexplr.exe，雙擊文字檔即觸發木馬。同理 .htm、.exe、.zip、.com 皆為目標。需檢查 HKEY_CLASSES_ROOT 下各檔案類型的 shell\open\command 鍵值是否正常。

3. 檔案綁定

控制端將木馬與正常程式綁定上傳覆蓋。若綁定系統檔案，每次開機皆啟動木馬。清除需編輯 C:\Autoexec.bat 刪除相關行。

經典木馬手動清除實例

IndocTrination v0.1-v0.11

刪除登錄機碼 Run、RunServices、RunOnce、RunServicesOnce 下的 Msgsrv16 值，重啟後刪除 C:\Windows\System\msgserv16.exe。

SubSeven-Introduction v1.8

1. 刪除 Run、RunServices 中含 C:\Windows\System.ini 的值。
2. 修復 Win.ini：run= 空白。
3. 修復 System.ini：shell=explorer.exe。
4. 重啟刪除 C:\Windows\kernel16.dl。

廣外女生病毒

1. DOS 下刪除 System\diagcfg.exe。
2. 將 Regedit.exe 改名 Regedit.com 執行，修正 HKEY_CLASSES_ROOT\exefile\shell\open\command 預設值為 %1 %*，刪除 RunServices 下 Diagnostic Configuration。
3. 改回 Regedit.exe。

Netbull (網絡公牛)

Win9x 綁定 notepad.exe、regedit.exe 等；NT/2000 綁定 regedt32.exe、drwtsn32.exe 等。刪除 Run、RunServices 下 CheckDll.exe，檢查被綁定檔案大小是否增加約 40KB，若是則刪除並用系統檔案檢查器還原。

聰明基因

1. 刪除 MBBManager.exe、Explore32.exe、editor.exe，先結束進程。
2. 修正 Run 下 MainBroad BackManager，恢復 .txt、.hlp 關聯。

掌握上述規律，方能以不變應萬變，從容應對木馬變種。