必须使用微软Sysinternals Autoruns工具排查Windows所有隐藏自启动项，它可发现msconfig无法显示的映像劫持、Appinit DLL等深层启动点；需以管理员身份运行并关闭杀软，通过隐藏微软项、验证签名、搜索异常路径定位风险项，支持禁用与导出CSV报告供安全分析。
要彻底排查Windows系统中所有隐藏的自启动项，包括注册表深层键值、服务、驱动、浏览器扩展、Winlogon通知等200多个启动点，必须使用微软官方Sysinternals套件中的Autoruns工具——它能发现msconfig完全看不到的“隐形乘客”，比如映像劫持、Appinit DLL、LSA安全提供程序等。
下载与管理员运行
访问微软Sysinternals官网，找到Autoruns页面，点击“Download Autoruns”获取最新v14.30压缩包（2026年6月17日发布）；解压到本地文件夹如C:\Tools\Autoruns\后，【务必右键autoruns.exe→选择“以管理员身份运行”】，否则无法读取HKLM等受保护注册表路径，大量系统级启动项将显示为空白或报错。
运行前建议临时关闭杀毒软件实时防护，避免其将Autoruns误判为可疑工具而拦截扫描进程。
快速聚焦第三方可疑项
启动后主界面自动完成全盘扫描，左侧树状菜单列出全部启动类别。此时立即执行以下三步筛选：
① 点击顶部菜单栏【选项】→勾选【隐藏已签名的Microsoft条目】，界面瞬间精简掉数百个系统自带项，只留下第三方和未知来源条目；
② 再次点击【选项】→【验证数字签名】，使“Publisher”列显示真实签名状态；未签名（Unsigned）、签名无效或Publisher为空的行需重点标记；
③ 在右上角搜索框输入关键词如“temp”、“appdata”、“%userprofile%”，快速定位路径异常的启动项——【任何启动项路径含可变环境变量且无数字签名，90%以上为恶意软件惯用手法】。
定位并禁用高风险条目
方法一：直接禁用
在右侧列表中找到目标行（例如Publisher列为“Unsigned”且Image Path指向C:\Users\XXX\AppData\Local\Temp\svchost.exe），单击其最左侧复选框取消勾选即可禁用，下次重启生效。
方法二：深度验证再操作
右键该行→选择【Jump to Entry】，自动跳转至注册表对应键值或磁盘文件位置；若跳转后发现注册表项位于HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce或路径指向%APPDATA%\Roaming\Microsoft\Windows\Start Menu\Programs\Startup，基本可判定为用户级持久化行为，禁用更稳妥。
注意：禁用操作仅修改启用状态，不删除文件或注册表项，安全可逆。
导出完整报告用于交叉分析
点击菜单栏【文件】→【另存为】，保存类型选择CSV（逗号分隔），文件名建议包含日期与用户名，如Autoruns_20261022_Admin.csv；该文件可导入Excel排序筛选，也可用命令行工具autorunsc.exe离线生成哈希比对：
打开CMD（管理员），执行：
autorunsc.exe -a * -c -s -h -m > C:\Reports\offline_scan.csv
此命令将扫描全部启动项、验证签名、显示哈希、隐藏微软项，并输出标准CSV——适合提交给安全团队做VirusTotal批量查杀或MD5/SHA256哈希匹配。
