木馬隱蔽性強、危害大。XP 為高危目標，掌握手動查殺技能至關重要。本文系統梳理木馬常見藏身處與通用排查流程。

木馬常見藏身處

1. Win.ini 啟動項

[Windows] 區段的 load=、run= 後若跟隨程式路徑（如 run=C:\Windows\file.exe），極大機率為木馬。

2. 註冊表檔案關聯劫持

修改 HKEY_CLASSES_ROOT\<副檔名>\shell\open\command 預設值。例：.txt 原關聯 notepad.exe %1 被改為木馬路徑。需逐一檢查 HKEY_CLASSES_ROOT 下各副檔名分支。

3. 捆綁系統/應用程式

木馬與正常程式綁定，啟動正常程式即觸發木馬。若綁定系統檔，每次開機必中。

4. System.ini Shell 欄位

[boot] shell=Explorer.exe file.exe → 木馬隨 Explorer 載入。
[386Enh] driver=、[mic]、[drivers]、[drivers32] 亦常被利用載入驅動型木馬。

5. 註冊表 Run 類鍵值

重點檢查三大分支所有以 Run 開頭的鍵值：

• HKCU\Software\Microsoft\Windows\CurrentVersion\Run*
• HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run*
• HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run*

6. Autoexec.bat / Config.sys / Winstart.bat

較少見但仍需檢查，木馬可偽裝同名檔覆蓋。

通用排查與清除流程

1. 斷網：防駭客遠控、下載後門。
2. 編輯 Win.ini 清空 run=/load= 後的路徑。
3. 編輯 System.ini 修正 shell=Explorer.exe。
4. 註冊表搜尋木馬檔名，刪除對應鍵值。若刪除後自動重生，記下路徑，重啟進 DOS/安全模式刪除實體檔，再回註冊表清理殘留鍵值。

防護建議

• 即時更新防毒軟體、啟用防火牆。
• 不執行不明來源程式、不開可疑附件。
• 定期備份重要資料、系統還原點。

耐心排查，拔除系統內的「定時炸彈」！