前言：啟動項是惡意代碼持久化的「根據地」

病毒/木馬實現開機自啟、長期駐留，90% 依賴系統啟動機制。徹底掌握五大啟動據點，定期審計，是主機安全的基本功。

據點一：啟動資料夾 — 最直觀、最易被忽視

• 路徑：C:\Documents and Settings\%UserName%\「開始」功能表\程式\啟動 (XP/2003) / C:\Users\%UserName%\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup (Vista+)。
• 註冊表映射：HKCU\Software\Microsoft\Windows\CurrentVersion\Run。
• 檢查：打開資料夾、或 `regedit` 查看 `Run` 鍵值，刪除不明捷徑/指令。

據點二：系統配置工具 — 全景式啟動管理中樞

Win+R → msconfig 啟動「系統配置公用程式」：

1. system.ini 標籤

shell=explorer.exe 為預設。若後接其他程式 (如 `shell=explorer.exe virus.exe`)，即為掛馬。必須還原為純 `explorer.exe`。

2. win.ini 標籤

[windows]
load=hack.exe
run=hack.exe

此兩鍵值同樣可載入程式，檢查並刪除非預設值。

3. 「啟動」標籤 — 彙總所有可見啟動項

• 欄位：啟動項目名稱、命令參數、註冊表位置 (HKLM/HKCU Run/RunOnce 等)。
• 操作：取消勾選可疑項 → 「停用」 → 套用。除硬體驅動、核心系統、防毒/防火牆外，其餘均可按需停用。

據點三：註冊表深層啟動鍵值 — 病毒木馬最愛的隱蔽角落

核心鍵值 (含 32/64 位重導向)：

• HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
• HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce
• HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnceEx
• HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run
• HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
• HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce
• HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run (64 位系統 32 位程式)

實戰技巧：

1. 導出乾淨系統同位置註冊表作為基線備份 (`.reg` 檔)。
2. 定期對比 (WinMerge/RegDiff)，任何新增/修改/刪除項逐一核實。
3. 切勿輕信「System」「Windows」「Program Files」等偽裝名稱 — 驗證數位簽名、檔案路徑、廠商資訊**。
4. 確認惡意項 → 立即刪除，並同步清理對應實體檔案。

輔助工具：Autoruns (Sysinternals) — 圖形化列出所有啟動點、驗證簽名、一鍵跳轉檔案/註冊表、支援離線分析，為啟動項審計神器。

據點四：wininit.ini / wininit.hak — 安裝程式的「陰影執行器」

• 位置：%WinDir%\wininit.ini (有時為 wininit.hak)。
• 用途：Windows 安裝程式常用於安裝後刪除臨時檔案/重命名替換系統檔。
• 利用方式：木馬寫入 `[Rename]` 區段，下次重啟前執行刪除/替換操作，極度隱蔽。
  範例：NUL=C:\Malware\dropper.exe (重啟時刪除釋放器)；或替換系統檔植入後門。
• 檢查：記事本打開，若有非預設內容立即清空並刪除實體檔案。

據點五：DOS 時代的遺產 — config.sys、autoexec.bat、*.bat

雖現代 Windows 不再依賴 DOS 啟動，但：

• 兼容性子系統 (NTVDM) 仍會處理這些檔案。
• 惡意批處理可通過 `autoexec.bat` 啟動 TSR 程式、修改環境變量、掛載虛擬裝置。
• 檢查：系統盤根目錄下 `config.sys`、`autoexec.bat` 及任意 `*.bat`，清空異常內容。

總結：建立「啟動項審計 SOP」

頻率	動作	工具
每日登入	任務管理器「啟動」頁籤快速掃視	任務管理器
每週	Autoruns 全項掃描 + 簽名驗證 + 異常提交雲端	Autoruns + VirusTotal
月度/變更後	註冊表基線對比 + wininit.ini 檢查 + 批處理檢查	RegDiff/WinMerge + 記事本
應急響應	安全模式下 Autoruns + 進程強殺 (taskkill/ntsd) + 全盤掃毒	綜合工具箱

啟動項乾淨，系統才乾淨。從今天開始，把「檢查啟動項」加入您的安全肌肉記憶！