木馬病毒藏身處大公開：手動清除特洛伊木馬完整指南

特洛伊木馬是具遠端控制能力的駭客工具，隱蔽性高、危害大。了解其常見啟動機制與藏身位置，是手動清除的關鍵。本文整理木馬在 Windows XP 中的常見落腳點與通用排查技巧。

一、木馬常見藏身地

1. Win.ini 啟動項

[Windows] 區段的 load=、run= 若後接程式路徑（如 run=C:\Windows\file.exe），極可能為木馬。

2. 登錄檔檔案關聯劫持

修改 HKEY_CLASSES_ROOT\<副檔名>\shell\open\command 預設值，將開啟動作導向木馬程式。例如「冰河」木馬將 .txt 關聯至 Sysexplr.exe。

3. 系統檔案綁定

木馬與正常應用程式（甚至系統核心檔）綁定，執行原程式即重新安裝木馬，極難根除。

4. System.ini 與驅動區段

• [boot] shell=Explorer.exe file.exe 掛載木馬
• [386enh]、[drivers]、[drivers32] 等驅動載入區段

5. 登錄檔 Run 類鍵值

重點檢查三大根鍵下所有以 Run 開頭的值：

• HKCU\Software\Microsoft\Windows\CurrentVersion
• HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion
• HKU\.DEFAULT\Software\Microsoft\Windows\CurrentVersion

6. Autoexec.bat / Config.sys / Winstart.bat

較不隱蔽但仍被利用，Winstart.bat 在 Win.com 載入驅動後執行，常被惡意利用。

二、通用清除步驟

1. 斷網：防止駭客遠端操控或下載更新。
2. 編輯 Win.ini，清空 run=、load= 後的路徑。
3. 編輯 System.ini，將 shell= 還原為 Explorer.exe。
4. 登錄檔編輯器搜尋並刪除木馬路徑相關鍵值；若刪除後自動重現，記下路徑進入 DOS 模式刪除實體檔案，再回登錄檔徹底清除。

掌握上述位置與流程，配合殺毒軟體，能大幅提升手動除木馬成功率。