Windows 10开机启动程序存放路径是什么？

Question

Windows 10开机启动程序的存放路径有哪些常见位置？除了用户熟知的“开始菜单”的“启动”文件夹（路径为：`C:\Users\用户名\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup`），系统还支持全局启动项（位于：`C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp`）。此外，通过注册表 `HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run` 和 `HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run` 也可添加开机启动程序。这些路径常被软件自动写入，导致开机变慢或出现未知启动项。如何识别合法启动项与潜在恶意程序？建议结合任务管理器、系统配置工具（msconfig）和注册表编辑器综合排查。

Answer 1

1. Windows 10开机启动程序的常见存放路径概述

Windows 10系统中，开机启动项可通过多种机制注册，涵盖用户级、系统级以及第三方工具植入方式。常见的启动路径包括：

• C:\Users\用户名\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup（当前用户启动）
• C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp（全局所有用户启动）
• 注册表键：HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
• 注册表键：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
• 任务计划程序中的“启动时触发”任务
• 服务项（Services）中设置为自动启动的应用程序
• Winlogon Notify、AppInit_DLLs 等高级注入点（较少见但存在安全风险）

2. 启动项分类与作用域分析

类型	路径/位置	作用域	权限需求	典型应用场景
用户启动文件夹	C:\Users\...\AppData\Roaming\...\Startup	仅当前用户	普通用户权限	办公软件快捷方式自启
公共启动文件夹	C:\ProgramData\...\StartUp	所有用户登录时	管理员权限写入	企业统一部署工具
HKCU Run 注册表项	HKEY_CURRENT_USER\...\Run	当前用户	用户权限	个性化配置程序
HKLM Run 注册表项	HKEY_LOCAL_MACHINE\...\Run	所有用户	管理员权限	防病毒软件、驱动辅助程序
任务计划程序	Task Scheduler Library	可定制（用户或系统）	根据任务设定	定时同步、后台维护脚本
Windows 服务	services.msc	系统级别	SYSTEM 权限	数据库引擎、远程管理代理

3. 检测启动项的技术手段与工具链

识别合法与潜在恶意启动项需结合多维度信息进行交叉验证。推荐使用以下工具组合排查：

1. 任务管理器 → “启动”选项卡：显示启动影响（高/中/低），支持启用/禁用
2. msconfig.exe（系统配置）→ “启动”标签页：查看传统启动项列表
3. regedit.exe → 手动检查 HKCU 和 HKLM 下的 Run 键值
4. Autoruns from Sysinternals ：微软官方高级工具，涵盖所有启动入口（含 DLL、浏览器插件等）
5. PowerShell 脚本查询示例：

# 查询当前用户Run注册表项
Get-ItemProperty "HKCU:\Software\Microsoft\Windows\CurrentVersion\Run"

# 查询本地机器Run项
Get-ItemProperty "HKLM:\Software\Microsoft\Windows\CurrentVersion\Run"

# 列出所有任务计划中与启动相关的任务
Get-ScheduledTask | Where-Object {$_.State -ne "Disabled"} | Select TaskName, State, Actions

4. 合法性判断标准与威胁建模思路

在分析未知启动项时，应建立如下判断逻辑框架：

graph TD
    A[发现未知启动项] --> B{是否签名可识别?}
    B -->|是| C[验证发布者是否可信]
    B -->|否| D[标记为可疑]
    C --> E{是否位于标准路径?}
    E -->|是| F[检查数字证书有效期]
    E -->|否| G[怀疑路径伪装]
    F --> H{是否联网外联?}
    H -->|是| I[使用防火墙或Wireshark抓包分析]
    H -->|否| J[暂视为良性]
    I --> K[确认域名归属与用途]
    K --> L[列入白名单或阻断]

此外，注意观察进程行为特征，如：

• 随机命名的可执行文件（如 abc123.exe）
• 位于临时目录（Temp）、AppData\Local\Low）的启动项
• 无版本信息、无数字签名的二进制文件
• 尝试隐藏窗口或调用 rundll32 加载非标准 DLL