在任务管理器“启动”选项卡右键列标题勾选“命令行”，可显示每项完整路径；若为空或“n/a”，说明非标准注册，需用autoruns深挖注册表run键、计划任务等15类启动位置，并重点核查路径异常、随机命名及签名可疑项。
任务管理器里“命令行列”必须打开
不勾选【命令行列】，光看“SmartControl”“AudioService”这种名字根本没法判断来源。右键点击任务管理器“启动”选项卡任意列标题→勾选该选项→每行末尾立刻显示完整路径。这是最直接的真相入口。
如果某行命令列为空或显示“N/A”，说明它没走标准注册流程，大概率是注册表 Run 键残留、计划任务伪装，或者映像劫持，得进下一步深挖。
Autoruns 是唯一能看清全貌的工具
微软官方 Autoruns（Sysinternals 套件）能扫出 15 类启动位置，远超任务管理器可见范围。解压即用，右键“以管理员身份运行”后，先点顶部【Options】→勾选【Hide Microsoft Entries】，瞬间过滤掉系统项。
重点盯这些特征：
- 名称含随机字符串（如
qazxsw123.exe）、非英文字符或特殊符号（@、#、_） - 路径指向
C:\Users\XXX\AppData\Local\Temp、Downloads或非标准Program Files子目录 - 右键→【Jump to Entry】能直接跳到注册表键值或文件所在目录，比手动翻注册表快得多
注册表 Run 键里的顽固项怎么清
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run 和 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 是两个核心位置。前者只影响当前用户，后者影响所有账户——误删后者可能让系统组件失效。
操作前务必导出该键值备份；双击右侧数值，看“数值数据”是否指向真实 .exe 文件且路径可信。对拿不准的条目，优先用 Autoruns 右键【Delete】，它会同步清理注册表，比手动更稳妥。
Mac 上的未识别启动项藏在 LaunchAgents
Mac 的未知自启项几乎都卡在 ~/Library/LaunchAgents。Shift + Command + G 输入该路径后，逐个打开 .plist 文件，搜索 <key>Label</key> 后面的 <string>xxx</string>——这才是它的真实标识名，比如 com.badapp.helper。
终端里执行三步：
-
launchctl list | grep -i "com.badapp.helper"确认是否已加载 -
launchctl unload ~/Library/LaunchAgents/com.badapp.helper.plist立即停用 -
rm ~/Library/LaunchAgents/com.badapp.helper.plist彻底删除配置
别漏掉 /Library/LaunchDaemons，那里可能有系统级残留，看到“无签名”或“开发者未知”的 .plist，直接拖进废纸篓。
真正难处理的不是名字怪，而是那些签名正常但行为异常的程序——比如发布者是“Intel Corporation”，路径也在 Program Files，但它开机就拉起一堆子进程、监听本地端口、往临时目录写文件。这类需要结合 netstat -ano 和资源监视器交叉验证，不能只信表面信息。
