开机启动项

　　【启动项目就是开机的时候系统会在前台或者后台运行的程序】

　　当Windows（操作系统）完成登录过程，进程表中出现了很多的进程！Windows在启动的时候，自动加载了很多程序。

　　许多程序的自启动，给我们带来了很多方便，这是不争的事实，但不是每个自启动的程序对我们都有用；更甚者，也许有病毒或木马在自启动行列！

　　其实Windows2000/XP中的自启动文件，除了从以前系统中遗留下来的Autoexec.bat文件中加载外，按照两个文件夹和9个核心注册表子键来自动加载程序的。

　　【启动项分解】

　　1）“启动“文件夹──最常见的自启动程序文件夹。

　　它位于系统分区的“documents and Settings－－>User－－>〔开始〕菜单－－>程序“目录下。这时的User指的是登录的用户名。

　　2）“All Users“中的自启动程序文件夹──另一个常见的自启动程序文件夹。

　　它位于系统分区的“documents and Settings－－>All User－－>〔开始〕菜单－－>程序“目录下。前面提到的“启动“文件夹运行的是登录用户的自启动程序，而“All Users“中启动的程序是在所有用户下都有效（不论你用什么用户登录）。

　　3）“Load“键值── 一个埋藏得较深的注册表键值。

　　位于〔HKEY_CURRENT_USERSoftwareMicrosoftWindows NTCurrentVersionWindowsload〕主键下。

　　4）“Userinit“键值──用户相关

　　它则位于〔HKEY_LOCAL_MACHINESoftwareMicrosoft Windows NTCurrentVersionWinlogonUserinit〕主键下，也是用于系统启动时加载程序的。一般情况下，其默认值为 “userinit.exe“，由于该子键的值中可使用逗号分隔开多个程序，因此，在键值的数值中可加入其它程序。

　　5）“ExplorerRun“键值──与“load“和“Userinit“两个键值不同的是，“ExplorerRun“同时位于〔HKEY_CURRENT_USER〕和〔HKEY_LOCAL_MACHINE〕两个根键中。

　　它在两个中的位置分别为（HKEY_CURRENT_USERSoftware MicrosoftWindowsCurrentVersionPoliciesExplorerRun〕和〔HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionPolicies ExplorerRun〕下。

　　6）“RunServicesOnce“子键──它在用户登录前及其它注册表自启动程序加载前面加载。

　　这个键同时位于〔HKEY_CURRENT_USERSoftwareMicrosoft WindowsCurrentVersionRunServicesOnce〕和〔HKEY_LOCAL_MACHINESoftware MicrosoftWindowsCurrentVersionRunServicesOnce〕下。

　　7）“RunServices“子键──它也是在用户登录前及其它注册表自启动程序加载前面加载。

　　这个键同时位于〔HKEY_CURRENT_USERSoftwareMicrosoft WindowsCurrentVersionRunServices〕和〔HKEY_LOCAL_MACHINESoftware MicrosoftWindowsCurrentVersionRunServices〕下。

　　8）“RunOnceSetup“子键──其默认值是在用户登录后加载的程序。

　　这个键同时位于〔HKEY_CURRENT_USERSoftwareMicrosoft WindowsCurrentVersionRunOnceSetup〕和〔HKEY_LOCAL_MACHINESoftware MicrosoftWindowsCurrentVersionRunOnceSetup〕下。

　　9）“RunOnce“子键──许多自启动程序要通过RunOnce子键来完成第一次加载。

　　这个键同时位于〔HKEY_CURRENT_USERSoftwareMicrosoft WindowsCurrentVersionRunOnce〕和〔HKEY_LOCAL_MACHINESoftwareMicrosoft WindowsCurrentVersionRunOnce〕下。位于〔HKEY_CURRENT_USER〕根键下的RunOnce子键在用户登录扣及其它注册表的Run键值加载程序前加载相关程序，而位于〔HKEY_LOCAL_MACHINE〕主键下的Runonce子键则是在操作系统处理完其它注册表Run子键及自启动文件夹内的程序后再加载的。在Windows XP中还多出一个〔HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersion RunOnceEX〕子键，其道理相同。

　　10）“Run“子键──目前最常见的自启动程序用于加载的地方。

　　这个键同时位于〔HKEY_CURRENT_USERSoftwareMicrosoft WindowsCurrentVersionRun〕和〔HKEY_LOCAL_MACHINESoftwareMicrosoft WindowsCurrentVersionRun〕下。

　　其中位于〔HKEY_CURRENT_USER〕根键下的Run键值紧接着〔HKEY_LOCAL_MACHINE〕主键下的Run键值启动，但两个键值都是在“启动“文件夹之前加载。

　　11）再者就是Windows中加载的服务了，它的级别较高，用于最先加载。

　　其位于〔HKEY_LOCAL_MACHINESystemCurrentControlSetServices〕下，看到了吗，你所有的系统服务加载程序都在这里了！

　　12）Windows Shell──系统接口

　　它位于〔HKEY_LOCAL_MACHINESoftwareMicrosoft Windows NTCurrentVersionWinlogon〕下面的Shell字符串类型键值中，基默认值为Explorer.exe，当然可能木马程序会在此加入自身并以木马参数的形式调用资源管理器，以达到欺骗用户的目的。

　　13）BootExecute──属于启动执行的一个项目

　　可以通过它来实现启动Natvice程序，Native程序在驱动程序和系统核心加载后将被加载，此时会话管理器(smss.exe)进行windowsNT用户模式并开始按顺序启动native程序

　　它位于注册表中〔HKEY_LOCAL_MACHINESystem ControlSet001Session Manager〕下面，有一个名为BootExecute的多字符串值键，它的默认值是“autocheck autochk *“，用于系统启动时的某些自动检查。这个启动项目里的程序是在系统图形界面完成前就被执行的，所以具有很高的优先级。

　　14）策略组加载程序──打开Gpedit.msc，展开“用户配置——管理模板——系统——登录“，就可以看到“在用户登录时运行这些程序“的项目，你可以在里面添加。

　　在注册表中[HKEY_CURRENT_USERSoftwareMicrosoft WindowsCurrentVersionGroup Policy Objects本地UserSoftwareMicrosoftWindowsCurrentVersionPolicies ExplorerRun]你也可以看到相对应的键值。

　　备注：

　　Home版的XP中没有提供gpedit工具，可到网上搜索并下载补丁。

　　快速进入启动项

　　快速进入启动项的方法是在运行中输入 msconfig ，即可看到窗口下的启动项运行项目。

　　[编辑本段]从系统的启动项可以看到什么

　　俗话说“万事开头难“， 俗话也说“良好的开头是成功的一半“，那么XP系统“开头“也就是“启动“能告诉我们什么那。

　　1、msconfig

　　在“开始“-“运行“对话框中输入“msconfig“就打开“系统配置实用程序“。

　　msconfig是Windows系统中的“系统配置实用程序“，它可以自动执行诊断xp系统的配置问题时所用的常规解决步骤。它管的方面可够宽，包括:一般（常规）、system.ini、win.ini、BOOT.INI、服务、启动。它是 xp系统底层最先启动的程序，可见它的重要性了。这里面可是自启动程序非常喜欢呆的地方。

　　这里我们只介绍一下“启动“

　　系统配置实用程序中的“启动“选项和我们在下面讲的“启动“文件夹并不是同一个东西，在系统配置实用程序中的这个启动项目是Windows系统启动项目的集合地，几乎所有的启动项目部能在这里找到----当然，经过特殊编程处理的程序可以通过另外的方法不在这里显示。

　　打开“启动“标签，“启动项目“中罗列的是开机启动程序的名称，“命令“下是具体的程序附加命令，最后的“位置“就是该程序在注册表中的相应位置了，你可以对可疑的程序进行详细的路径、命令检查，一旦发现错误，就可以用下方的“禁用“来禁止该程序开机时候的加载。

　　一般来讲所有我们可见的程序的列表，你完全可以通过它来管理你的启动程序，换句话，这里可以全部是空的。

　　2、注册表中相应的启动加载项目

　　注册表的启动项目是病毒和木马程序的最爱，非常多的病毒木马的顽固性就是通过注册表来实现的，特别是在安装了新的软件程序，一定不要被程序漂亮的外表迷惑，一定要看清楚它的实质是不是木马的伪装外壳或者是捆绑程序，必要的时候可以根据备份来恢复注册表。

　　我们也可以通过手动的方法来检查注册表中相应的位置，注意同安全、清洁的系统注册表相应键进行比较，如果发现不一致的地方，一定要弄清楚它是什么东西!不要相信写在外面的 “system“、

　　“windows“、“programfiles“等名称，尤其是如果你仔细观察的话，有些字符是不一样的，比如0和o的区别，1和l的区别等，如果经过详细的比较，可以确定它是不明程序的话，不要手软，马上删除。

　　主要的启动加载键值有

　　“ExplorerRun“键值──在HKEY_CURRENT_USER SoftwareMicrosoftWindowsCurrentVersionPoliciesExplorerRun〕和〔HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionPolicies ExplorerRun〕下。

　　“RunServicesOnce“子键──在〔HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersion RunServicesOnce〕和〔HKEY_LOCAL_MACHINESoftwareMicrosoftWindows CurrentVersionRunServicesOnce〕下。

　　&qu