控制開機自啟動不只看「啟動」資料夾。Windows XP/2000/2003 透過 2 個資料夾與 8 組註冊表鍵值實現自動執行，惡意程式常藏匿其中。本文提供完整清單與清理指南。
| 類型 | 路徑 | 範圍 |
|---|---|---|
| 當前使用者 | %USERPROFILE%\「開始」功能表\程式集\啟動(XP: C:\Documents and Settings\<用戶>\開始功能表\程式集\啟動) | 僅當前登入用戶 |
| 所有使用者 | %ALLUSERSPROFILE%\「開始」功能表\程式集\啟動(XP: C:\Documents and Settings\All Users\開始功能表\程式集\啟動) | 任何用戶登入皆生效 |
現代 Windows (Vista/7/8/10/11) 對應路徑：
shell:startup (當前用戶) / shell:common startup (所有用戶)
| 鍵值名稱 | 路御 (HKCU / HKLM) | 執行時機 | 備註 |
|---|---|---|---|
| Run | Software\Microsoft\Windows\CurrentVersion\Run | 使用者登入後，啟動資料夾前 | 最常用，多數軟體在此 |
| RunOnce | Software\Microsoft\Windows\CurrentVersion\RunOnce | 登入後，Run 之後，僅執行一次 | 安裝程式常用 |
| RunOnceEx | Software\Microsoft\Windows\CurrentVersion\RunOnceEx (僅 HKLM) | 登入後，RunOnce 之前 | XP/2003 專屬，安裝精靈用 |
| RunServices | Software\Microsoft\Windows\CurrentVersion\RunServices | 使用者登入前，服務階段 | 服務類程式 |
| RunServicesOnce | Software\Microsoft\Windows\CurrentVersion\RunServicesOnce | 登入前，RunServices 之前，僅一次 | 服務安裝用 |
| RunOnce\Setup | Software\Microsoft\Windows\CurrentVersion\RunOnce\Setup | 登入後，其他 Run 之前 | 安裝精靈 |
| Explorer\Run | Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run | 受群組原則控制 | 企業環境常見 |
| Load | Software\Microsoft\Windows NT\CurrentVersion\Windows\load (僅 HKCU) | 極早期，Userinit 之前 | 極少用，惡意程式藏匿點 |
| Userinit | SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit (僅 HKLM) | 系統啟動極早期 | 預設 userinit.exe, 可追加多程式用逗號分隔 |
msconfig → 「啟動」頁籤 (Win 7) / 工作管理員「啟動」頁籤 (Win 8+)。regedit 逐一檢查上表路徑，刪除可疑字串值 (右鍵 → 刪除)。操作前請匯出備份對應分支。Temp、AppData\Roaming、ProgramData 非正規安裝目錄xqz32.exe)-hide、/silent、regsvr32、rundll32 等shell:startup
shell:common startup
HKCU\Software\Microsoft\Windows\CurrentVersion\Run
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnceEx
HKCU\Software\Microsoft\Windows\CurrentVersion\RunServices
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
HKCU\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServicesOnce
HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce\Setup
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\Setup
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run
HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows\load
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit
定期掃描這 20 個位置，配合 Autoruns 簽章驗證，能攔截 99% 的流氓自啟動與惡意程式持久化嘗試。
