指南

如何使用 Autoruns 排查 Windows 启动项

在禁用启动项之前，请先检查其背后的程序、启动位置和发布者。保留记录以便能够还原更改。

确定启动问题

判断症状是登录缓慢、出现不需要的应用程序窗口、反复进行的后台作业还是未知的可执行文件。这些属于不同的问题。记录它在何时启动，以及是针对所有账户还是仅对你的账户发生。在注销或重启以进行对比之前，请保存工作。

对于熟悉的可选应用程序，使用常规的 Windows 启动应用控件即可。当启动来源于不太显眼的位置时，Autoruns 非常有用。它展示的内容远不止 Startup 文件夹，还包括服务、计划任务以及其他自启动机制。

从 Microsoft Sysinternals 下载 Autoruns。记录条目名称、类别、完整映像路径、命令行和发布者。利用该工具的位置和映像导航功能，检查其配置位置以及启动的文件。缺失的文件可能是孤立条目，但请先确认预期的安装情况。

调查发布者身份时，请启用相关的签名验证选项。单凭文件名无法确认安全性。隐藏 Microsoft 条目可以缩小排查视图，但这只是一种便利筛选，既不能证明剩余的条目具有恶意，也不能证明隐藏的条目毫无过错。

与直接删除相比，建议优先取消勾选已明确识别的可选条目。记录其确切的原始状态。在相同的工作负载下重启或重新登录，并对比症状。如果该应用程序不再自动启动但卡顿依旧存在，说明该条目并非全部原因。

未经负责管理员的指导，切勿禁用安全软件、存储或网络驱动程序、登录组件或受管设备所需的服务。某个条目可以被禁用，这一事实并不能作为禁用它就是安全的证据。

如果更改引发了问题或没有帮助，请重新启用该条目并确认操作正常。如果决定移除该应用程序，请使用其受支持的卸载流程，以便一并移除其服务和任务。

对于反复出现的未知条目，请保留其配置位置、命令行、签名者和文件哈希。遇到可疑文件时，请使用 Windows Security 或联系你的安全团队。不要在忽略重新创建该注册表值的程序或策略的情况下，一味地反复删除该值。

编辑归属：Feex。未记录独立审核日期。我们的研究方式.

回答"是"或"否"即可。如果您愿意，可以选择一个原因，或添加一段简短附言。