開機自動執行不只「啟動」資料夾。病毒、木馬、流氓軟體最愛藏身註冊表、系統配置、INI 檔、甚至 DOS 批次檔。全面掌握五大藏身處，才能真正掌控開機流程。

一、啟動資料夾（最直觀）

• 開始選單 → 「啟動」
• 實體路徑：C:\Users\<使用者>\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup
• 註冊表：HKCU\Software\Microsoft\Windows\CurrentVersion\Run

二、系統配置工具

Win+R → msconfig → 「啟動」分頁。幾乎所有可見的開機啟動項目都在這裡（經特殊手法隱藏者除外）。可檢查名稱、命令、註冊表位置，一鍵停用可疑項目。

msconfig 其它分頁隱藏啟動點

• system.ini：shell=explorer.exe 後若接其他程式名，極度可疑。
• win.ini：[windows] load=hack.exe / run=hack.exe 可掛載程式。

三、註冊表核心啟動鍵值（病毒木馬最愛）

建議定期備份註冊表，或用「魔方」等工具監控變更。重點檢查：

• HKLM\Software\Microsoft\Windows\CurrentVersion\Run
• HKLM\Software\Microsoft\Windows\CurrentVersion\RunOnce
• HKLM\Software\Microsoft\Windows\CurrentVersion\RunOnceEx
• HKCU\Software\Microsoft\Windows\CurrentVersion\Run
• HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce
• HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon（Userinit、Shell）
• HKLM\Software\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\（映像檔執行選項劫持）
• HKLM\System\CurrentControlSet\Services（服務啟動）

原則： 對照乾淨系統註冊表，發現不一致立即查證，確屬惡意碼果斷刪除。

四、Wininit.ini（安裝後清理腳本，極隱蔽）

位於 C:\Windows\Wininit.ini（或 .hak）。安裝程式常用它刪除暫存檔。若被植入刪除指令，可隱藏木馬本體。用記事本開啟檢查。

五、DOS 層級啟動檔

• config.sys、autoexec.bat、*.bat 仍可透過特定程式設計載入程式。
• 雖屬舊世代，但駭客常利用其隱蔽性植入 Rootkit 載入器。

管理建議

1. 定期用 msconfig 檢視「啟動」分頁，停用非必要項目。
2. 安裝新軟體前後對比註冊表關鍵鍵值。
3. 善用安全軟體「開機項管理」或「註冊表監控」功能。
4. 保持系統、殺毒軟體更新，從源頭阻擋惡意碼植入。