全面掌握Autoruns：Windows自动启动项深度监控指南

qife122

发布于 2025-11-13 16:58:10

1.3K0

Autoruns是Sysinternals套件中的强大工具，提供最全面的Windows自动启动项监控功能。它可以显示系统启动、登录及运行内置应用程序时配置的程序和驱动程序，包括注册表键、服务、浏览器扩展等，并支持隐藏微软签名条目、多用户查看及VirusTotal恶意软件扫描。

使用方法

只需运行 Autoruns，它就会显示当前配置的自动启动应用程序，以及可用于自动启动配置的完整注册表和文件系统位置列表。Autoruns 显示的自动启动位置包括登录条目、Explorer 加载项、Internet Explorer 加载项（包括浏览器帮助对象 (BHO)）、Appinit DLLs、映像劫持、启动执行映像、Winlogon 通知 DLLs、Windows 服务和 Winsock 分层服务提供程序、媒体编解码器等。切换选项卡以查看不同类别的自动启动项。

如下所示：

Autorunsc 使用方法

Autorunsc 是 Autoruns 的命令行版本。其使用语法如下：

用法：autorunsc [-a <*|bdeghiklmoprsw>] [-c|-ct] [-h] [-m] [-s] [-u] [-vt] [[-z ] | [user]]]

参数	描述
-a	自动启动条目选择：
*	所有。
b	启动执行。
d	Appinit DLLs。
e	Explorer 加载项。
g	边栏小工具（Vista 及更高版本）。
h	映像劫持。
i	Internet Explorer 加载项。
k	已知 DLLs。
l	登录启动项（此为默认值）。
m	WMI 条目。
n	Winsock 协议和网络提供程序。
o	编解码器。
p	打印机监控 DLLs。
r	LSA 安全提供程序。
s	自动启动服务和未禁用的驱动程序。
t	计划任务。
w	Winlogon 条目。
-c	以 CSV 格式打印输出。
-ct	以制表符分隔值打印输出。
-h	显示文件哈希。
-m	隐藏微软条目（如果与 -v 一起使用，则隐藏已签名的条目）。
-s	验证数字签名。
-t	以标准化 UTC 显示时间戳（YYYYMMDD-hhmmss）。
-u	如果启用了 VirusTotal 检查，显示 VirusTotal 未知或检测非零的文件，否则仅显示未签名的文件。
-x	以 XML 格式打印输出。
-v[rs]	基于文件哈希查询 VirusTotal 以检测恶意软件。添加 'r' 以打开检测非零文件的报告。如果指定了 's' 选项，则报告为先前未扫描的文件将被上传到 VirusTotal。注意扫描结果可能在五分钟或更长时间内不可用。
-vt	在使用 VirusTotal 功能之前，您必须接受 VirusTotal 服务条款。如果您尚未接受条款并省略此选项，将会交互式提示您。
-z	指定要扫描的离线 Windows 系统。
user	指定要显示自动启动项的用户账户名称。指定 '*' 以扫描所有用户配置文件。