首页 > 电脑主机 >

在Msconfig中找不到的自启动项

电脑杂谈　发布时间：2019-07-15 17:13:58　来源：网络整理

update.exe*32_uiexec.exe_msconfig32.exe

chang_bo11-15 18:14

等级 Bbs9 3楼

注册表是启动程序藏身之处最多的地方，主要有以下几项：

1.Run键

Run键是病毒最青睐的自启动之所，该键位置是[HKEY_CURRENT_

USER\Software\Microsoft\Windows\CurrentVersion\Run]和[HKEY_

autoruns for windows 是 mark russinovich 和 bryce cogswell 开发的一款软件，它能用于显示在 windows启动或登录时自动运行的程序，并且允许用户有选择地禁用或删除它们，例如那些在“启动”文件夹和注册表相关键中的程序。autorunsfor windows 是 mark russinovich 和 bryce cogswell 开发的一款软件，它能用于显示在 windows启动或登录时自动运行的程序，并且允许用户有选择地禁用或删除它们，例如那些在“启动”文件夹和注册表相关键中的程序。autoruns for windows 由 mark russinovich 和 bryce cogswell 联合开发，它能用于显示在 windows启动或登录时自动运行的程序，并且允许用户有选择地禁用或删除它们，例如那些在“启动”文件夹和注册表相关键中的程序。

还有一个不被注意的Run键，位于注册表[HKEY_CURRENT_

USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run]和[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\

Policies\Explorer\Run]，也要仔细查看。

2.RunOnce键

msconfig32.exe_uiexec.exe_update.exe*32

RunOnce位于[HKEY_CURRENT_USER\Software\Microsoft\Windows\

九、runonce注册键：安装程序通常用runonce键自动运行程序，它的位置在hkey_local_machine\software\microsoft\windows\currentversion\runonce和hkey_current_user\software\microsoft\windows\currentversion\runonce。八、runonce\setup注册键：runonce\setup指定了用户登录之后运行的程序，它的位置是：hkey_current_user\software\microsoft\windows\currentversion\runonce\setup，和hkey_local_machine\software\microsoft\windows\currentversion\runonce\setup。定为到以册表项：hkey_local_machine\software\wow6432node\microsoft\windows\currentversion\run，hkey_local_machine\software\wow6432node\microsoft\windows\currentversion\runonce，hkey_local_machine\software\microsoft\windows\currentversion\run，hkey_local_machine\software\microsoft\windows\currentversion\runonce，在这些注册表项中会有启动项中的程序，找到要删除的，直接删除。

windows\currentversion\runonce]键，与run不同的是，runonce下的程序仅会被自动执行一次。runonce位于[hkey_current_user\software\microsoft\windows\currentversion\runonce]和[hkey_local_machine\software\microsoft\windows\currentversion\runonce]键，与run不同的是，runonce下的程序仅会被自动执行一次。runservicesonce键位于[hkey_current_user\software\microsoft\windows\currentversion\runservicesonce]和[hkey_local_machine\software\microsoft\windows\currentversion\runservicesonce]下，其中的程序会在系统加载时自动启动执行一次。

3.RunServicesOnce键

这个键同时位于〔hkey_current_user\software\microsoft\windows\currentversion\runservicesonce〕和〔hkey_local_machine\software\microsoft\windows\currentversion\runservicesonce〕下。runonce位于[hkey_current_user\software\microsoft\windows\currentversion\runonce]和[hkey_local_machine\software\microsoft\windows\currentversion\runonce]键，与run不同的是，runonce下的程序仅会被自动执行一次。runservices继runservicesonce之后启动的程序，位于注册表[hkey_current_user\software\microsoft\windows\currentversion\runservices]和[hkey_local_machine\software\microsoft\windows\currentversion\runservices]键。

runservicesonce注册键的位置是：hkey_current_user\software\microsoft\windows\currentversion\runservicesonce，和hkey_local_machine\software\microsoft\windows\currentversion\runservicesonce。定为到以册表项：hkey_local_machine\software\wow6432node\microsoft\windows\currentversion\run，hkey_local_machine\software\wow6432node\microsoft\windows\currentversion\runonce，hkey_local_machine\software\microsoft\windows\currentversion\runmsconfig32.exe，hkey_local_machine\software\microsoft\windows\currentversion\runoncemsconfig32.exe，在这些注册表项中会有启动项中的程序，找到要删除的，直接删除。六：hkey_current_user＼software＼microsoft＼windows＼currentversion＼policies＼explorer＼run，具体位置是，你还需要检查一下hkey_local_machine＼software＼microsoft＼windows＼currentversion＼runonceex、runservicesonce注册键。

Software\Microsoft\Windows\CurrentVersion\RunServicesOnce]下，其中的程序会在系统加载时自动启动执行一次。

4.RunServices键

RunServices继RunServicesOnce之后启动的程序，位于注册表[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServices]和[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\

RunServices]键。

5.RunOnceEx键

uiexec.exe_update.exe*32_msconfig32.exe

该键是WindowsXP/2003特有的自启动注册表项，位于[HKEY_

CURRENT_USER\\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnceEx]和[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnceEx]。

6.load键

[HKEY_CURRENT_USER\Software\Microsoft\WindowsNT\CurrentVersion\Windows]下的load键值的程序也可以自启动。

7.Winlogon键

该键位于位于注册表[HKEY_CURRENT_USER\SOFTWARE\

Microsoft\WindowsNT\CurrentVersion\Winlogon]和[HKEY_LOCAL_MACHINE\

SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon]，注意下面的Notify、Userinit、Shell键值也会有自启动的程序，而且其键值可以用逗号分隔，从而实现登录的时候启动多个程序。

8.其他注册表位置

6、病毒通过添加如册表项实现病毒开机自动运行:[hkey_local_machine\software\microsoft\windows\currentversion\run]"load"="c:\\winnt\\rundl132.exe"[hkey_current_user\software\microsoft\windows nt\currentversion\windows]"load"="c:\\winnt\\rundl132.exe"7、病毒运行时尝试查找窗体名为:"ravmonclass"的程序，查找到窗体后发送消息关闭该程序。6、病毒通过添加如册表项实现病毒开机自动运行:[hkey_local_machine\software\microsoft\windows\currentversion\run]load=c:\\winnt\\rundl132.exe[hkey_current_user\software\microsoft\windows nt\currentversion\windows]load=c:\\winnt\\rundl132.exe7、病毒运行时尝试查找窗体名为:ravmonclass的程序，查找到窗体后发送消息关闭该程序。＼“开始”菜单＼程序＼启动，但这个键允许指定用逗号分隔的多个程序，如图一，但两者都在处理“启动”文件夹之前，它的位置在hkey_local_machine＼software＼microsoft＼windows＼currentversion＼runonce和hkey_current_user＼software＼microsoft＼windows＼currentversion＼runonce，它的位置是、runonce＼setup注册键。

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad]

uiexec.exe_update.exe*32_msconfig32.exe