大量用戶反映 Windows XP 登入桌面瞬間即強制登出，陷入無限循環。金山毒霸分析確認：病毒/惡意軟體修改註冊表 Userinit 鍵值或劫持 userinit.exe 導致。本文提供基於 WinPE 的離線修復標準流程。
故障成因分析
| 向量 | 技術手法 | 結果 |
|---|
| 註冊表竄改 | 修改 HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit 值，指向不存在/惡意程式 | 登入流程找不到合法 userinit.exe → 立即登出 |
| 映像劫持 | 在 HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\userinit.exe 建立 Debugger 鍵值指向惡意程式 | 合法 userinit.exe 被攔截替換執行 |
| 檔案替換 | 直接覆寫 C:\Windows\System32\userinit.exe 為惡意程式 | 同樣導致登入流程異常 |
修復前提
- 正常模式與安全模式均無法進入桌面。
- 準備 WinPE 啟動媒體 (CD/USB)，內含檔案總管與註冊表編輯器 (如
RegEditPE、ERD Commander、Win10PE 等)。
- 目標系統盤代號在 WinPE 下可能非 C:，請以磁碟管理/檔案總管確認 (假設為
D:)。
修復步驟 (WinPE 環境下)
1. 修正註冊表 Userinit 鍵值
- 啟動 WinPE 註冊表編輯器，載入目標系統登錄配置單元：
選 HKEY_LOCAL_MACHINE → 檔案 → 載入配置單元 → 選 D:\Windows\System32\Config\SOFTWARE → 命名為 TARGET_SOFTWARE。
- 展開
HKEY_LOCAL_MACHINE\TARGET_SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon。
- 雙擊
Userinit，將數值資料修正為標準值：
C:\Windows\System32\Userinit.exe, (注意結尾逗號不可少)
- 卸載配置單元：選
TARGET_SOFTWARE → 檔案 → 卸載配置單元。
2. 替換被感染/損壞的 userinit.exe
- 在 WinPE 檔案總管中，瀏覽 WinPE 光碟/映像內的
I386\System32 目錄 (或 Windows\System32)，找到 userinit.exe。
- 複製並覆蓋目標系統：
D:\Windows\System32\userinit.exe (若提示覆蓋請選「是」)。
- 同步檢查
D:\Windows\System32\Dllcache\userinit.exe (若存在) 同步覆蓋。
3. 清除映像劫持殘留 (若存在)
- 重新載入
SOFTWARE 配置單元 (同上)。
- 檢查
HKLM\TARGET_SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\userinit.exe，若存在 Debugger 鍵值 → 刪除該鍵值或整個 userinit.exe 子鍵。
- 卸載配置單元。
4. 完成並驗證
- 移除 WinPE 媒體 (重要：否則重開機再次進入 WinPE)。
- 重新啟動電腦，應可正常進入 Windows XP 桌面。
- 進入系統後，**立即執行完整掃毒**，並檢查啟動項、服務、排程工作是否有殘留惡意項目。
預防與加固建議
- 啟用「軟體限制原則」/「AppLocker」 (需 XP Professional + 群組原則) 限制僅允許簽署/白名單程式執行。
- 部署 HIPS/行為防禦 (如 360 核心水晶、Comodo Defense+、Malwarebytes Anti-Exploit) 攔截註冊表關鍵鍵值竄改與映像劫持行為。
- 定期備份登錄關鍵鍵值 (Winlogon、Image File Execution Options、Run/RunOnce 等) 至異地。
- 建立系統還原點 於安裝新軟體/驅動前。
常見誤區提醒
- ❌ 嘗試在安全模式下修復 — 安全模式同樣載入 Winlogon，會觸發相同故障。
- ❌ 直接刪除 userinit.exe — 會導致系統完全無法登入，甚至損壞使用者設定檔。
- ❌ 忽略 Dllcache/映像劫持殘留 — 病毒常多點佈防，單點修復易復發。
「反覆登出」雖癥狀嚴重，實則成因單一且修復路徑固定。掌握 WinPE 離線修復註冊表與系統檔雙管齊下的技法，配合事後徹底掃毒與加固，可在 15 分鐘內讓受害電腦滿血復活。建議 IT 運維人員預製含註冊表編輯器的 WinPE 救援隨身碟，作為標準應急裝備。
