前言
电脑开机后突然变慢、弹出不认识的窗口，或有程序每次登录都自动运行，未必代表设备已经中毒，但值得检查。Windows 的启动项分布在多个位置，逐项翻找注册表既费时又容易误操作。微软 Sysinternals 工具集中的 Autoruns 可以集中展示多类自动启动位置，适合用来建立排查线索。
先说结论： Autoruns 展示的是“配置为自动启动的项目”，不是恶意软件判定器。陌生、未签名或名称奇怪都不等于恶意。请先记录、核验，再决定是否临时禁用；不要看到不认识就删除。
一、下载与准备
百度网盘链接：https://pan.baidu.com/s/1oLRj8vUXALFEE8BaXysVXQ?pwd=LD66 提取码: LD66
准备事项：
- 在你自己的 Windows 电脑或获得授权的测试设备上操作。
- 关闭不必要的应用，避免把正常安装/更新动作误判为异常。
- 从官方页面下载后解压运行 Autoruns；若系统提示权限，可先以普通权限查看，需要检查系统级项目时再按组织策略使用管理员权限。
- 不要启用 VirusTotal 上传选项来扫描敏感或内部文件，除非你已确认组织政策允许上传。
二、图文操作：从观察到核验
第 1 步：先建立基线，不急着改动
打开 Autoruns 后先等待扫描完成。首次检查只观察和记录，不取消勾选、不删除项目。建议截取整体界面，并记录日期、电脑用途和当前用户，方便后续比较。
第 2 步：隐藏已签名的 Microsoft 项目
在 Options（选项） 中启用 Hide Signed Microsoft Entries（隐藏已签名的 Microsoft 条目），然后重新扫描/刷新列表（如界面提示）。这能减少部分系统自带条目的干扰，但不意味着剩余项目就可疑，也不能代替签名验证。
第 3 步：按类别查看，不要一上来全盘翻找
建议初学者先看以下类别：
- Logon（登录项）： 用户登录时启动的程序。
- Scheduled Tasks（计划任务）： 到达指定时间或条件时运行的任务。
- Services（服务）： 后台服务或驱动相关项目。
选中一项后，重点查看程序名称、发布者、文件路径、数字签名状态和时间信息。可通过属性窗口查看文件信息，也可使用跳转到项目/映像位置的功能定位来源。路径位于常见程序目录并不自动代表安全，路径奇怪也不能单独作为恶意证据。
第 4 步：对“异常感”做交叉核验
对不熟悉的项目，按以下顺序核查：
- 核对完整路径： 是否位于预期的软件安装目录？是否是临时目录或用户可写目录？这只是线索，不是结论。
- 检查数字签名： 查看签名者是否与软件发布者相符、签名是否有效。未签名程序可能是合法小工具，也可能需要进一步调查。
- 搜索准确文件名与发布者： 优先看厂商官方文档、组织软件清单和可信安全产品的结果，警惕只凭论坛帖子定性。
- 联系设备使用者或管理员： 了解最近是否安装、升级过相关软件。
- 保留证据： 记录项目名称、命令行/路径、时间、签名信息和截图，供后续复核。
在企业设备上，先遵循内部事件响应流程；不要把可疑文件上传到公开服务，也不要擅自把公司设备信息贴到论坛。
第 5 步：确有必要时，单项临时禁用并验证
只有在你拥有该设备管理权限、完成记录并确认不会影响关键业务后，才考虑取消单个项目左侧的勾选进行临时禁用。禁用与删除不同，通常更容易回退。完成后重启，观察症状是否变化，并检查依赖该程序的功能是否正常。
如果出现登录异常、网络/安全软件失效或业务程序无法启动，应尽快恢复该项目并联系管理员。不要批量取消勾选、直接删除注册表项，或禁用你不了解的驱动与安全软件。
三、命令行导出：留一份便于比较的清单
官方工具包还提供命令行版本 Autorunsc。可在工具所在目录打开命令提示符，导出 CSV 供本机留档：
autorunsc.exe -accepteula -c -h -s > autoruns-baseline.csv
参数含义：-c 输出 CSV，-h 显示哈希，-s 验证数字签名。请把导出文件保存在受控位置；文件可能包含用户名、软件路径等设备信息，不要未经审查就公开分享。使用前可执行 autorunsc.exe -? 查看当前版本支持的参数。
如果只需要在图形界面查看，不必运行命令行。对新手来说，先理解条目和来源，比收集一大堆输出更重要。
四、如何判断排查有没有进展？
可以在改动前后用同一台设备、同一用户和同一检查条件进行比较，重点看：
- 异常弹窗或启动延迟是否复现；
- 相关启动项目是否仍存在、是否有明确软件来源；
- 禁用一个项目后，预期软件功能是否受影响；
- 安全软件或系统日志是否出现可关联的告警。
Autoruns 只能帮助你查看自动启动配置，不能证明设备绝对干净。若发现明确恶意行为、账号异常或数据外传迹象，应保留证据、断开风险连接（按组织流程执行）并联系专业安全人员处理。
五、常见问题
Q：红色或黄色项目是不是病毒？ 颜色或状态提示用于辅助注意，不等同于最终判定。结合签名、路径、来源、行为和安全产品检测结果综合判断。
Q：可以直接删除找不到来源的项目吗？ 不建议。先记录并确认归属；如确需处置，优先采取单项、可回退的禁用，并确保你有管理授权。
Q：扫描报告能不能发到网盘求助？ 先检查用户名、目录结构、软件清单和内部资产信息，做脱敏并取得授权。不要上传可疑文件或完整企业配置到公开分享链接。
结语
Autoruns 适合把 Windows 分散的自启动位置集中起来观察，但安全排查的关键仍是证据与上下文：先看清条目，再核验来源，最后才做可回退的处置。把“陌生”当成调查起点，而不是直接删除的理由，能减少误伤，也更符合可靠的安全运维习惯。
