1. [Wiki](https://feex.it/wiki/)
2. [處理程序](https://feex.it/wiki/process/)
3. [Windows 處理序](https://feex.it/wiki/process/windows/)
4. userinit.exe

# userinit.exe

Windows 處理程序: Microsoft Corporation

目錄搜尋詞 userinit, userinit logon application

Windows, 系統元件

Userinit Logon Application。在你登入後，winlogon 會啟動此檔案，以便啟動殼層（通常是 explorer.exe）。

## 您需要瞭解的資訊

這會在登入後啟動 Explorer，然後應該會離開。從不結束的 userinit 需要進行路徑檢查。

userinit.exe 是有官方記載的登入協助程式。winlogon 會啟動它。它會啟動 Userinit 登錄值（通常為 explorer.exe），然後結束。持續性惡意軟體非常偏好使用相同的 Run 登錄機碼名稱。

- **是否安全？**: 請檢查正在執行的檔案路徑、簽章與發行者。單憑名稱無法確定安全性。

  **它應該保持執行狀態嗎？**: 它通常在殼層啟動後結束

  **惡意軟體名稱？**: 請檢查正在執行的檔案路徑、簽章與發行者。單憑名稱無法確定安全性。

Feex 指出

我總是會開啟 userinit 的資料夾。位於 System32 加上生命週期短暫即為正常的登入程序。整天在 AppData 中常駐的 userinit.exe 則是另一回事。

## 什麼是 userinit.exe？

userinit.exe 是 Userinit Logon Application。它是 winlogon 驗證你身分後的官方下一站。

## 它的作用是什麼？

它會還原網路連線，並啟動 Userinit 登錄值中列出的殼層。在狀況良好的電腦上，該殼層是 explorer.exe，隨後 userinit 便會結束。

## 為什麼它正在執行？

你剛剛登入。一小時後仍在執行的複本要麼是自訂殼層取代項目，要麼是偽造的路徑。

## 檢查執行中的處理序

在 Windows PowerShell 中，此唯讀查詢會列出此 PC 上符合條件的處理序 ID、建立時間和可執行檔路徑。

`Get-CimInstance -ClassName Win32_Process | Where-Object { $_.Name -eq 'userinit.exe' } | Select-Object ProcessId, ParentProcessId, CreationDate, Name, ExecutablePath | Format-List`

無結果或無法存取的路徑是無法確定的。受保護的處理序可能會限制存取，處理序 ID 也可能被重複使用。請將個人路徑保留在本地。

使用 [檔案識別指南](https://feex.it/wiki/l/zh-hant/software/system/verify-executable-path-signature/) 來比較簽章和產品中繼資料。僅憑檔案名稱無法確定安全性。

## 它是否安全？

檢查路徑及其存活時間

會結束的 System32 userinit 是 Windows 原生元件。位於使用者資料夾中的第二個 userinit，或是指向其他位置的 Userinit 登錄值，都是經典的持續性偽裝手法。

將記錄的位置與實際檔案進行比較。熟悉的資料夾本身無法確定識別。

`C:\Windows\System32\userinit.exe`

- 由 winlogon 啟動
- 應該啟動 explorer.exe 並結束
- 先確認路徑，再確認發行者

## 我可以結束它嗎？

僅可結束殘留的偽造檔案

請勿在登入期間結束 System32 複本。你可能會中斷桌面啟動。在確認路徑後，來自錯誤資料夾且長時間運作的複本屬於惡意軟體處置步驟。

## 我可以移除它嗎？

僅限偽裝的複本

請勿刪除 System32\userinit.exe。如果殼層無法啟動，請修復 Userinit 登錄值。這是一項進階修復工作。

## 它應該隨 Windows 啟動嗎？

登入會啟動它一次。它本身不應該是「啟動」應用程式中的一列。

## 測量資源使用量

| CPU 和記憶體 | 比較相同 PID 和工作負載的幾項觀察結果。此項目沒有獨立測量的通用基準。    |
| -------- | ---------------------------------------- |
| 磁碟和網路    | 將活動歸因於實際的處理序和目前的任務；僅憑檔案名稱無法確定預期的目的地或傳輸量。 |

## 檔案資訊

| 可執行檔名稱  | userinit.exe                     |
| ------- | -------------------------------- |
| 記錄的安裝路徑 | C:\Windows\System32\userinit.exe |
| 發行者     | Microsoft Corporation            |
| 簽章檢查    | 檢查實際檔案；此項目不證明其憑證識別。              |

## 常見問題

### 桌面從未出現

如果 Userinit 被覆寫以跳過 explorer.exe，你將會看到空白殼層。那是登錄檔調查工作，而不是缺少桌布的問題。

### 出現兩個 userinit.exe 資料列

登入期間位於 System32 中的一個是正常的。來自 Temp 且持續存在的則不正常。

## 疑難排解

在進行任何具破壞性的變更之前，請先進行診斷。

### 立即開啟檔案位置

System32 是真正的協助程式唯一預期的答案。

### 請勿使用隨機的 .reg 檔案來「修復」Userinit

這些檔案是常見的惡意酬載。

## 技術詳細資訊

技術詳細資訊

| 映像名稱 | userinit.exe |
| ---- | ------------ |
| 角色   | 登入殼層啟動器      |

## 檢查執行中檔案的身分

僅憑檔案名稱無法確定安全性。請驗證實際路徑、簽章和產品識別。

## 相關項目

這些實體與本文連結。每個連結上都會顯示類型。

[winlogon.exe: Windows 處理程序](https://feex.it/wiki/l/zh-hant/process/winlogon.exe/)[explorer.exe: Windows 處理程序](https://feex.it/wiki/l/zh-hant/process/explorer.exe/)[什麼是 Windows 處理程序: 指南](https://feex.it/wiki/l/zh-hant/software/system/what-is-a-windows-process/)[檢查可執行檔路徑和數位簽章: 指南](https://feex.it/wiki/l/zh-hant/software/system/verify-executable-path-signature/)[閱讀工作管理員並比較處理序活動: 指南](https://feex.it/wiki/l/zh-hant/software/system/how-to-read-task-manager/)[Windows 處理序: 類別](https://feex.it/wiki/process/windows/)

## 來源與驗證

記錄的來源標籤：2026年8月。此標籤不代表獨立驗證。 [我們的研究方式](https://feex.it/wiki/research/).

- [Microsoft Learn：Winlogon ](https://learn.microsoft.com/windows/win32/secauthn/winlogon)· 驗證後的 userinit
- [Microsoft Learn：Run 和 RunOnce ](https://learn.microsoft.com/windows/win32/setupapi/run-and-runonce-registry-keys)· 與 Userinit 相關的持續性
- [Foxhole 處理程序圖譜 ](https://foxhole.feex.it/)· 來自 Windows 電腦的第一手樣本。非實驗室基準測試。
- [Microsoft Sysinternals: Sigcheck ](https://learn.microsoft.com/en-us/sysinternals/downloads/sigcheck)· 說明如何檢查檔案簽章。此參考資料並不代表特定執行中檔案的身分或安全性。
- [Microsoft：Get-CimInstance ](https://learn.microsoft.com/en-us/powershell/module/cimcmdlets/get-ciminstance)· 唯讀的本機處理序查詢方法。
- [Microsoft：Win32_Process 屬性 ](https://learn.microsoft.com/en-us/windows/win32/cimwin32prov/win32-process)· 記錄處理序 ID、可執行檔路徑、建立日期和父處理序 ID 重複使用。

## 這篇文章實用嗎？

只要回答「是」或「否」即可。您也可以依意願選擇原因，或附上簡短說明。

速覽

本頁面的簡短身分識別。規格、來源和完整說明保留在文章中。

- **類型**: Windows 處理程序

  **發行者**: Microsoft Corporation

  **可執行檔**: userinit.exe

  **典型路徑**: C:\Windows\System32\userinit.exe

  **記錄內容**: Feex Wiki 參考項目

記錄的來源狀態：Feex 已審核: 記錄的來源標籤：2026年8月。此標籤不代表獨立驗證。

---

Source: [Canonical Feex Wiki page](https://feex.it/wiki/l/zh-hant/process/userinit.exe/)

[Developer guide](https://feex.it/wiki/developers/) | [API policy](https://feex.it/developers/api-policy/) | [Agent guidance](https://feex.it/wiki/llms.txt)