怎么查看最近有哪些软件悄悄在后台偷偷启动过-Windows系列-PHP中文网

要查软件悄悄自启历史，需用事件查看器筛选id 4688日志；若未启用审计，则用powershell提取最近24小时非系统进程；任务管理器“启动”页可查注册项权限；autoruns工具能深度扫描20余类隐藏启动点。

怎么查看最近有哪些软件悄悄在后台偷偷启动过

想确认哪些软件在你没注意的时候悄悄自启过，不能只看任务管理器里“当前正在运行”的进程——那只是快照，不是历史。真正能回溯“最近偷偷启动过”的记录，得靠Windows自带的事件查看器抓取系统级日志，它会忠实记下每次程序被拉起的精确时间、用户、路径和触发原因。

用事件查看器查后台自启历史

打开事件查看器：按 Win + R → 输入 eventvwr.msc → 回车。

左侧导航栏依次展开：Windows 日志 → 安全。这一步必须做，因为只有启用“审核进程跟踪”策略后，安全日志才会记录进程创建事件；默认情况下该策略是关闭的，所以直接看这里大概率是空的——别急着关窗口，先去开启它。

右键“安全”→ 选择“属性”→ 切到“过滤器”选项卡→ 勾选“启用显示所有匹配事件的过滤器”→ 在下方“事件ID”框中输入 4688 → 点击“确定”。4688 是 Windows 记录“新进程创建”的唯一事件ID，它包含进程名、父进程、命令行参数、用户SID等关键字段。

如果列表仍为空，说明系统尚未开启进程审计。此时需手动启用：右键“安全”→“属性”→“常规”选项卡→ 确保“启用日志”已勾选→ 然后点击左上角“操作”菜单→“筛选当前日志”→ 再次输入 4688 → 点“确定”。若仍无结果，说明本地组策略未配置审计，需进入“gpedit.msc”启用“审核进程跟踪”，但家庭版Windows不支持gpedit，此时可跳过此步，改用下面更普适的方法。

用PowerShell快速提取最近24小时自启程序

以管理员身份运行 PowerShell（右键开始菜单→“Windows Terminal（管理员）”）。

执行以下命令：

Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4688; StartTime=(Get-Date).AddHours(-24)} -ErrorAction SilentlyContinue | ForEach-Object { $proc = $_.Properties[5].Value; if ($proc -and $proc -notmatch '^(svchost|wininit|lsass|services|explorer)\.exe$') { $proc } } | Sort-Object -Unique

这条命令会过滤出过去24小时内所有非系统核心进程的启动记录，并自动去重。输出结果就是真实跑起来过的第三方软件路径，比如 C:\Program Files\WeChat\WeChat.exe 或 C:\Users\Alice\AppData\Local\Microsoft\Edge\Application\msedge.exe。

注意：若返回空白，说明要么没发生过非系统进程启动，要么安全日志未启用审计——这时请直接使用下一方法，它不依赖日志配置。

Postme

一款面向外贸和跨境营销场景的AI写作工具，可辅助生成产品推广、营销沟通和海外市场所需的商业文案内容。

下载

用任务管理器“启动应用”页看当前注册的自启项

按 Ctrl + Shift + Esc 打开任务管理器 → 切到“启动”选项卡。

这里列出的是所有被系统识别为“开机时自动加载”的程序，来源包括注册表 Run 键、当前用户的启动文件夹、以及部分服务触发的启动项。虽然它不显示历史，但能立刻暴露哪些软件有“偷偷启动”的权限基础。

右键任意一项 → “属性” → 查看“位置”字段：如果是 HKCU\Software\Microsoft\Windows\CurrentVersion\Run，说明是当前用户级注册；如果是 C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp，则是全用户级启动文件夹——这两处最常被残留软件写入。

重点看“启动影响”列为“高”或“中”的条目，这些才是真正在拖慢开机、且具备后台唤醒能力的程序。禁用前先核对发布者，【发布者为“未知”或路径含“Temp”“AppData\LocalLow”“Roaming”字样的，极大概率是可疑后台程序】。