userinit.exe

Windows 處理程序Microsoft Corporation

目錄搜尋詞 userinit, userinit logon application

Windows系統元件

Userinit Logon Application。在你登入後，winlogon 會啟動此檔案，以便啟動殼層（通常是 explorer.exe）。

您需要瞭解的資訊

這會在登入後啟動 Explorer，然後應該會離開。從不結束的 userinit 需要進行路徑檢查。

userinit.exe 是有官方記載的登入協助程式。winlogon 會啟動它。它會啟動 Userinit 登錄值（通常為 explorer.exe），然後結束。持續性惡意軟體非常偏好使用相同的 Run 登錄機碼名稱。

是否安全？: 請檢查正在執行的檔案路徑、簽章與發行者。單憑名稱無法確定安全性。
它應該保持執行狀態嗎？: 它通常在殼層啟動後結束
惡意軟體名稱？: 請檢查正在執行的檔案路徑、簽章與發行者。單憑名稱無法確定安全性。

Feex 指出

我總是會開啟 userinit 的資料夾。位於 System32 加上生命週期短暫即為正常的登入程序。整天在 AppData 中常駐的 userinit.exe 則是另一回事。

什麼是 userinit.exe？

userinit.exe 是 Userinit Logon Application。它是 winlogon 驗證你身分後的官方下一站。

它的作用是什麼？

它會還原網路連線，並啟動 Userinit 登錄值中列出的殼層。在狀況良好的電腦上，該殼層是 explorer.exe，隨後 userinit 便會結束。

為什麼它正在執行？

你剛剛登入。一小時後仍在執行的複本要麼是自訂殼層取代項目，要麼是偽造的路徑。

檢查執行中的處理序

在 Windows PowerShell 中，此唯讀查詢會列出此 PC 上符合條件的處理序 ID、建立時間和可執行檔路徑。

Get-CimInstance -ClassName Win32_Process | Where-Object { $_.Name -eq 'userinit.exe' } | Select-Object ProcessId, ParentProcessId, CreationDate, Name, ExecutablePath | Format-List

無結果或無法存取的路徑是無法確定的。受保護的處理序可能會限制存取，處理序 ID 也可能被重複使用。請將個人路徑保留在本地。

使用檔案識別指南來比較簽章和產品中繼資料。僅憑檔案名稱無法確定安全性。

它是否安全？

檢查路徑及其存活時間

會結束的 System32 userinit 是 Windows 原生元件。位於使用者資料夾中的第二個 userinit，或是指向其他位置的 Userinit 登錄值，都是經典的持續性偽裝手法。

將記錄的位置與實際檔案進行比較。熟悉的資料夾本身無法確定識別。

C:\Windows\System32\userinit.exe

由 winlogon 啟動
應該啟動 explorer.exe 並結束
先確認路徑，再確認發行者

我可以結束它嗎？

僅可結束殘留的偽造檔案

請勿在登入期間結束 System32 複本。你可能會中斷桌面啟動。在確認路徑後，來自錯誤資料夾且長時間運作的複本屬於惡意軟體處置步驟。

我可以移除它嗎？

僅限偽裝的複本

請勿刪除 System32\userinit.exe。如果殼層無法啟動，請修復 Userinit 登錄值。這是一項進階修復工作。

它應該隨 Windows 啟動嗎？

登入會啟動它一次。它本身不應該是「啟動」應用程式中的一列。

測量資源使用量

測量目前的處理序，而不是假設通用的基準
CPU 和記憶體	比較相同 PID 和工作負載的幾項觀察結果。此項目沒有獨立測量的通用基準。
磁碟和網路	將活動歸因於實際的處理序和目前的任務；僅憑檔案名稱無法確定預期的目的地或傳輸量。

檔案資訊

userinit.exe 檔案資訊
可執行檔名稱	userinit.exe
記錄的安裝路徑	C:\Windows\System32\userinit.exe
發行者	Microsoft Corporation
簽章檢查	檢查實際檔案；此項目不證明其憑證識別。

常見問題

桌面從未出現

如果 Userinit 被覆寫以跳過 explorer.exe，你將會看到空白殼層。那是登錄檔調查工作，而不是缺少桌布的問題。

出現兩個 userinit.exe 資料列

登入期間位於 System32 中的一個是正常的。來自 Temp 且持續存在的則不正常。

疑難排解

在進行任何具破壞性的變更之前，請先進行診斷。

立即開啟檔案位置

System32 是真正的協助程式唯一預期的答案。

請勿使用隨機的 .reg 檔案來「修復」Userinit

這些檔案是常見的惡意酬載。

技術詳細資訊

userinit.exe 技術詳細資訊
映像名稱	userinit.exe
角色	登入殼層啟動器

檢查執行中檔案的身分

僅憑檔案名稱無法確定安全性。請驗證實際路徑、簽章和產品識別。

來源與驗證

記錄的來源標籤：2026年8月。此標籤不代表獨立驗證。我們的研究方式.

Microsoft Learn：Winlogon · 驗證後的 userinit
Microsoft Learn：Run 和 RunOnce · 與 Userinit 相關的持續性
Foxhole 處理程序圖譜 · 來自 Windows 電腦的第一手樣本。非實驗室基準測試。
Microsoft Sysinternals: Sigcheck · 說明如何檢查檔案簽章。此參考資料並不代表特定執行中檔案的身分或安全性。
Microsoft：Get-CimInstance · 唯讀的本機處理序查詢方法。
Microsoft：Win32_Process 屬性 · 記錄處理序 ID、可執行檔路徑、建立日期和父處理序 ID 重複使用。

這篇文章實用嗎？

只要回答「是」或「否」即可。您也可以依意願選擇原因，或附上簡短說明。