管理Windows启动项的必备工具:Autoruns下载使用教程

在某些情况下，启动程序和驱动程序可能会相互干扰，导致系统变得不稳定，甚至完全崩溃。autoruns 这款专业的 sysinternals 实用工具，可以让您轻松查看和管理 windows 系统的启动项。

在 windows 操作系统中，有多达 200 多个不同的自动启动扩展点，也称为 asep(autostart extensibility points)。这些 asep 包括各种注册表键、计划任务、服务、资源管理器扩展以及 edge 插件等。

通常来说，windows 启动项需要合法且有实用价值。然而，许多免费或试用版软件也会被电脑制造商预装在新电脑上。此外，恶意软件也常常利用 windows 自动启动功能，在用户不知情的情况下，偷偷启动运行。

为什么使用 autoruns

windows 老鸟都知道，windows 中的msconfig和「任务管理器」都可以管理 windows 启动项。但为什么还要推荐 autoruns 工具呢？接下来，我们将一一介绍它强大的便捷管理功能。

windows 最开始在「开始」菜单中提供了一个「启动文件夹」，供软件在开机时的登录过程中加载。后来，又为注册表添加了 run 键值，让应用程序能够注册开机和用户登录时的启动项。microsoft 从一开始就考虑到用户的便利性，才提供应用软件跟随系统启动的功能。然而，越来越多的 isv（软件开发商）滥用这个功能，导致在登录时加载了过多的应用程序，严重影响用户的使用体验。

有鉴于此，越来越多的用户开始想办法禁用不需要的应用程序随 windows 自动启动。然而，道高一尺，魔高一丈。很多记录不太良好的应用程序开发商打起了浏览器 helper objects、驱动程序和任务计划的主意。更有甚者，还通过 image hijacks 和 dll 注入的方式来强制加载自身。

通过 autoruns 的强大功能，我们可以快速找出不友好的 windows 启动项。但是，让普通用户手动检查系统的各个方面以清理启动项，几乎是不可能完成的任务。因此，下面有请主角 autoruns 出场。

autoruns 基本用法

autoruns 是一个基于标签/选项卡的工具，针对不同的 asep(autostart extensibility points)类型，例如「登录」、「任务计划」「office」「wmi 」及「服务」等，都有单独的标签选项卡可供使用。通过不同的选项卡，可以有目的性地快速筛选 windows 启动项条目。

每次打开 autoruns 时，默认会指向「everything」选项卡，该选项卡汇总了当前所有 windows 启动项条目的摘要。

autoruns 快速筛选

在启用用户帐户 控制(uac) 的 windows 中运行 autoruns 时，它会在标准用户帐户下启动。虽然也可以使用 autoruns 管理普通账户，但这样做会阻止您查看某些 asep 条目，并且无法禁用或删除某些条目。因此，建议以管理员身份启动 autoruns。

如果要通过名称查找特定启动项，可以使用「quick filter」快速筛选器。这是一个非常实用的全文查找和筛选功能，只需输入一些字符，就能将包含特定字段的条目显示出来。

建议在「everything」选项卡上使用「quick filter」，这样就可以搜索所有 asep 类型。

隐藏条目

默认情况下，autoruns 会自动隐藏掉 windows 自身的启动项，同时也可以通过选项将 microsoft 软件的启动项隐藏掉。通常情况下，我们认为 microsoft 软件和 windows 自身的启动项是必要且安全的。

在 autoruns 中隐藏 microsoft 和/或 windows 条目

• hide microsoft entries：隐藏 microsoft 软件启动项
• hide windows entries：隐藏 windows 启动项

颜色标识

sysinternals 工具非常人性化，其中一个功能是以各种颜色区分条目。当然，autoruns 工具也不例外。以下是颜色高亮的说明：

• 黄色 – 表示找不到文件的条目，其目标文件未在预期位置中找到。
• 粉色 – 表示可疑条目，没有发布者或描述，或具有无效的签名。
• 紫色 – 表示条目的位置或路径。
• 绿色 – 表示在上次 autoruns 扫描之后添加的条目。

autoruns 高亮颜色标识

快捷功能右键

autoruns 另一个有用的功能是右键上下文菜单，它允许执行多个操作，例如删除条目等：

autoruns 快捷功能右键

• jump to entry 打开配置自启动项的位置，可能是注册表项、资源管理器窗口或任务计划。
• jump to image 打开一个新的 windows 资源管理器窗口，并选中目标文件。
• process explorer 与 process explorer 协同工作。如果条目路径是一个可执行文件，并且该进程正在运行，则 autoruns 尝试获取 process explorer(procexp) 来显示该进程的属性。
• search online 使用默认浏览器和搜索引擎发起在线搜索。
• properties 使用 windows 资源管理器显示目标文件的属性。

使用 autoruns 进行安全识别

autoruns 内置了 windows 启动项安全识别功能，我们可以在「optione」— 「scan options」选择是否启用：

• verify code signatures：验证代码签名
• check virustotal.com：virustotal 分析

开启 autoruns 安全识别功能

验证代码签名

• 如果文件已使用有效的代码签名证书进行签名，并且该证书由 windows 信任的根证书颁发机构派生，则「publisher」列中会显示「verified」，后跟代码签名证书中的主题名称。

• 如果文件未进行签名或因任何其他原因验证失败，则「publisher」列中显示「not verified」，后跟文件版本资源中的公司名称（如果存在）。

验证代码签名

扫描可能需要一些时间，因为要验证每个签名证书是否已被颁发者吊销，并且需要 internet 连接。

签名检查失败的文件可能被视为可疑，条目会被标记为粉色。

virustotal 分析

• autoruns 可以扫描所有条目并使用 virustotal 进行分析。virustotal 是一个免费的网络服务，它使用 50 多个杀毒引擎来分析文件。
• 「virustotal」列包含超链接。如果任何引擎将文件标记为可疑，则链接会变成红色。
• 您还可以右键单击条目并从上下文菜单中选择「submit file to virustotal」，将可疑文件上传到 virustotal 进行进一步分析。

使用 virustotal 在线分析

使用 autoruns 管理 windows 启动项

autoruns 的核心功能之一就是管理 windows 启动项。您可以禁用或完全删除条目，删除条目会永久地将其移除，这是不可逆转的操作——没有回滚或撤销按钮。因此，在删除一个启动条目时，需要再次确认。

确认删除条目

仅在明确自己在做什么时再删除条目。删除或禁用操作系统所必需的条目时，可能会导致系统不稳定或崩溃。

禁用条目的操作方式略有不同，可以通过取消勾选复选框来禁用一个条目。

在 autoruns 中禁用启动项

autoruns 会记录一个标记，因此才能够识别已禁用的条目，并在需要时重新启用该条目。对于大多数注册表条目，autoruns 会创建一个autorunsdisabled值来存储原始值，当再次启用该条目时，就会将信息放回到原始的注册表值中。