Windows 自動啟動機制大全：7 大啟動點位、登錄對應、隱藏技巧完整圖譜

軟體為何開機就跑？Windows 有 7 大自動啟動點位，涵蓋資料夾、登錄、服務、排程、驅動、WMI、Shell 擴充。完整圖譜助你掌控開機流程，精簡啟動、查殺惡意常駐。

1. 使用者啟動資料夾 (最高優先權、最直觀)

• 路徑：%AppData%\Microsoft\Windows\Start Menu\Programs\Startup (Win10/11: shell:Startup)
• 登錄對應：HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Startup / User Shell Folders\Startup
• 特性：僅目前使用者、可放捷徑/批次檔/可執行檔、可隱藏屬性/更名資料夾達到隱蔽啟動

2. 所有使用者啟動資料夾

• 路徑：%ProgramData%\Microsoft\Windows\Start Menu\Programs\Startup (shell:Common Startup)
• 需管理員權限寫入，影響所有使用者

3. 登錄 Run / RunOnce (核心常駐區)

惡意軟體、駭客後門最愛藏身處。定期檢查、移除不明字串值。

4. 服務

• services.msc / HKLM\SYSTEM\CurrentControlSet\Services
• 啟動類型：自動/自動(延遲)/手動/停用
• 系統核心、驅動、防毒、資料庫、更新服務皆以服務常駐

5. 排程工作

• taskschd.msc / C:\Windows\System32\Tasks
• 觸發條件：開機時、登入時、閒置時、事件觸發、週期性
• Windows Update、Defender 掃描、瀏覽器更新、廠商工具皆用此機制

6. 驅動程式 / 開機啟動驅動

• HKLM\SYSTEM\CurrentControlSet\Services\\Start = 0 (Boot) / 1 (System) / 2 (Auto) / 3 (Manual) / 4 (Disabled)
• 檔案系統過濾器、防毒微型過濾器、虛擬光碟機、加密磁碟驅動

7. WMI 事件訂閱 / Shell 擴充 / Browser Helper Object (BHO)

• WMI: __EventFilter + __EventConsumer + __FilterToConsumerBinding (極隱蔽、惡意軟體常用)
• Shell 擴充: HKCR\*\shellex\ContextMenuHandlers 等 (右鍵選單、屬性頁、拖放處理常駐)
• BHO: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects (IE 專用，現代瀏覽器已棄用)

管理工具推薦

• Autoruns (Sysinternals)：唯一能完整列出上述 7 類 + 更多 (KnownDLLs, AppInit_DLLs, Winlogon, Image Hijacks 等) 的神器，支援驗證簽章、VirusTotal 掃描、跳轉登錄/檔案
• 任務管理員 → 啟動分頁：Win8/10/11 內建，直觀啟用/停用、顯示啟動影響
• CCleaner / Wise Care 365 → 啟動管理：介面友善，適合一般用戶

隱藏啟動技巧 (防禦視角必知)

• 啟動資料夾檔案設「隱藏」屬性 → 檔案總管不顯示 (即使「顯示隱藏檔案」也看不見)，但系統仍啟動
• 啟動資料夾本身更名/設隱藏 → 開始功能表不見，系統仍啟動內部非隱藏檔案
• 登錄 Run 值名隨機亂碼、資料路徑用環境變數混淆
• 服務顯示名稱偽裝成系統服務 (如 "Windows Update Helper")
• 排程工作執行 powershell -windowstyle hidden -enc 無視窗執行惡意碼

掌握 7 大啟動點位，配合 Autoruns 定期稽核，開機 30 秒內跑什麼程式全在掌握。惡意常駐無所遁形，系統精簡更有的放矢。