木馬藏身 Windows XP 七大據點深度排查：win.ini、註冊表檔案關聯、檔案綁定、system.ini、啟動鍵值、啟動批次、Winstart.bat

前言：木馬為了持久化、隱蔽啟動，會利用 XP 多處自動執行機制，逐一排查才能徹底清除

1. win.ini [windows] 區段

• load=、run= 後若有路徑（如 c:\windows\file.exe）極大機率為木馬。

2. 註冊表修改檔案關聯

• 正常 .txt 開啟命令為 notepad.exe %1，木馬改為 sysexplr.exe（如冰河木馬）。
• 檢查 HKEY_CLASSES_ROOT\*\shell\open\command 及各副檔名分支預設值。

3. 檔案綁定

• 控制端將木馬與正常程式（如 notepad.exe）綁定上傳覆蓋，執行正常程式即重裝木馬。
• 若綁定系統檔，每次開機必中。

4. system.ini [boot] 區段

• shell=explorer.exe file.exe 後掛木馬路徑。
• [386enh]、[mic]、[drivers]、[drivers32] 區段 driver= 也可能被利用。

5. 註冊表 Run 類鍵值（三大據點）

• HKCU\Software\Microsoft\Windows\CurrentVersion\Run*
• HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run*
• HKU\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run*
• 所有以 run 開頭的值（Run、RunOnce、RunServices 等）均需檢查。

6. Autoexec.bat / Config.sys

• 駭客上傳同名檔覆蓋，利用 DOS 階段啟動木馬，隱蔽性較差但仍需查。

7. Winstart.bat

• Windows 載入多數驅動後自動執行，可替代 Autoexec.bat 功能，木馬同樣可寫入此處。

通用清除流程

1. 斷網（防駭客遠端反制）。
2. 編輯 win.ini、system.ini 清除掛載行。
3. 註冊表刪除所有 Run* 下木馬項，全域搜尋木馬檔名刪除/替換。
4. 若刪除後自動重現，記錄路徑 → 重開機進 DOS/復原主控台刪除實體檔 → 回註冊表清理殘留鍵值。

結語

木馬入侵隱蔽且持久，日常保持警惕、定期排查上述七大據點、斷網清除、備份重要資料，是 XP 時代生存法則，亦是現代資安基礎功夫。