
             
            注册表自动启动程序项的位置


老版本共监视14处
            
          一、Load注册键
            介绍该注册键的资料不多，实际上它也可以够自动启动程序。位置：
            
            HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows            load 数据项
            
=========================================            
         二、Userinit注册键    位置：
           HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon      
                 Userinit 数据项 。这里也可以够使系统启动时自动原始化程序。通常该注册键下面有一个userinit.exe，但这个键允许指定用逗号分隔的多个程序，例如“userinit.exe,OSA.exe”（不含引号）。
           
                 
Winlogon\shell 

在以下键值位置：

HKEY_LOCAL_MACHINE\SHOFTWARE\Microsoft\WindowsNT\Current Version\Winlogon；

里面的shell建值在Explorer.exe的后面加上我们程序的路径 这样我们的程序就可以随系统启动了。
                 

Winlogon\Notify

此处位置也需要特别的留意。 
这里常常是dll库文件启动的地方，
那些hook注入就是注入到winlogon,我的对应下面有2个（igfxcui，klogon），一些系统工具是直接删除的， 因为这些都是早于系统启动的，dll文件系统还可以为他隐藏，所以你很难用一些icesword等程序结束的，只能自己手动修改。

======================================


                 

         三、Explorer\Run注册键          Vista无
            具体位置是：

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run  

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run 
        
            
            
        四、RunServicesOnce注册键     Vista无
            RunServicesOnce注册键用来启动服务程序，启动时间在用户登录之前，而且先于其他通过注册键启动的程序。RunServicesOnce注册键的位置是：

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServicesOnce


       五、RunServices注册键      Vista无
            RunServices注册键指定的程序紧接RunServicesOnce指定的程序之后运行，但两者都在用户登录之前。RunServices的位置是：

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServices

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices

              
     六、RunOnce              Setup注册键

      Setup指定了用户登录之后运行的程序，它的位置是：

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce  Setup数据项

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce     Setup数据项


    七、RunOnce注册键

安装程序通常用RunOnce键自动运行程序，它的位置：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce

HKEY_LOCAL_MACHINE下面的RunOnce键会在用户登录之后立即运行程序，运行时机在其他Run键指定的程序之前。HKEY_CURRENT_USER下面的RunOnce键在操作系统处理其他Run键以及“启动”文件夹的内容之后运行。


如果是xp ，你还须要检查一下   Vista无

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnceEx

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnceEx。


  八、Run注册键     

Run是自动运行程序最常用的注册键，位置在：

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run   少        
            
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run  多  最常用

HKEY_CURRENT_USER下面的Run键紧接HKEY_LOCAL_MACHINE下面的Run键运行，但两者都在处理“启动”文件夹之前。


============================================================
============================================================
凌云未知病毒木马实时监控器 3.1 新增监视13处



[ok]
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad

{
重复，已不用
[no]
HKEY_CURRENT_USER\Software\Microsoft\WindowsNT\CurrentVersion\Windows\run
}


[no]
HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\System\Scripts

HKEY_CURRENT_USER\Software\Policies\Microsoft\Windows\System\Scripts

Logoff(Logon)键值
注意以下分支的Logoff(Logon)键值可能加载文件
（也就是对应的组策略里面的系统启动注销时加载的程序，你可以用gpedit.msc修改）

------------------------------------
{
注：跟系统冲突，乱报，已不用
[ok]
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services

再者就是Windows中加载的服务了，它的级别较高，用于最先加载。
看到了吗，你所有的系统服务加载程序都在这里了！
}
----------------------------------
{
注：跟系统冲突，乱报，已不用
[ok]
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager

BootExecute──属于启动执行的一个项目 ，可以通过它来实现启动Natvice程序，Native程序在驱动程序和系统核心加载后将被加载，此时会话管理器(smss.exe)进行windowsNT用户模式并开始按顺序启动native程序，它位于注册表下面，有一个名为BootExecute的多字符串值键，它的默认值是"autocheck autochk *"，用于系统启动时的某些自动检查。这个启动项目里的程序是在系统图形界面完成前就被执行的，所以具有很高的优先级。
}
-----------------------------
[ok]
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options

项名为A.exe（A这里是通配符，下面B一样，就是对应你的应用程序名字，比如360safe.exe），然后在下面新建一个字符串，字符串名为Debugger，字符串值就是程序B.exe的全路径。这个是针对系统可以设置每个程序指定的纠错程序来实现的。让我感到意外的是A.exe不用指明路径！

（或许默认不指名系统会直接找到对应程序名的路径，不过很多病毒都自己写上去了，也就是镜像劫持，　也就是为什么很多人说双击杀毒软件什么的都打不开，病毒很多就在这里做文章）
-------------------------------

{
注：跟系统冲突，乱报，已不用
[ok]
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Group Policy
}

{
[no]
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Group Policy Objects\本地User\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run
}

策略组加载程序──打开Gpedit.msc，展开“用户配置——管理模板——系统——登录”，就可以看到“在用户登录时运行这些程序”的项目，你可以在里面添加
-------------------------------

[ok]
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders

开始菜单启动组

-------------------------------

[ok]
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Command Processor

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Command Processor

利用CMD.EXE的autorun
下面建一个字串AUTORUN，值为要运行的.bat或.cmd文件的路径，木马可以加载在AUTORUN键值下。这样在运行CMD命令的时候一起加载运行。

注意： 

1、如果需要运行.dll文件，则需要特殊的命令行： 

例如：
Rundll32.exe C:\WINDOWS\FILE.DLL,Rundll32 

2、解除这里相应的自启动项只需删除该键值即可，但注意不要删除系统键值。

3、如果只想不启动而保留键值，只需在该键值加入rem即可： 

“rem C:\Windows\vitas.exe” 


-----------------------------

[ok]

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\system

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System

键值名称：Shell，下面的数据为启动文件名

------------------------------

[ok]
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows

AppInit_DLLs键值
有一个键值APPINIT_DLLS，一些DLL木马可以在这个位置上直接加载，这种方式加载的木马无法在任务管理器中看到。如求职信病毒就是让系统执行DllMain来达到启动木马的目的，因为它是kernel调入的，对这个DLL的稳定性有很大要求，稍有错误就会导致系统崩溃，所以很少看到这种木马

-----------------------------
{
已不用，win7乱报
[ok]
HKEY_LOCAL_MACHINE\Software\classes\exefile\shell\open\command


EXE文件关联
键值也可能用来加载木马，比如把键值修改为“X:\windows\system\vitas.exe "%1"%”。 这里的意思是：更改文件的打开方式，这样就可以使程序跟随您打开的那种文件类型一起启动。举例来说，打开注册表，展开注册表到HKEY_CLASSES_ROOT\exefile\shell\open\command，这里是exe文件的打开方式，默认键值为：“%1”%*。如果把默认键值改为vitas.exe“%1”%*，您每次运行exe文件，这个vitas.exe文件就会被执行。
}
---------------------------------
{
已不用，win7乱报

[ok]
HKEY_CLASSES_ROOT\exefile\shell\open\command

HKEY_CLASSES_ROOT\comfile\shell\open\command

HKEY_CLASSES_ROOT\cmdfile\shell\open\command

HKEY_CLASSES_ROOT\batfile\shell\open\command

HKEY_CLASSES_ROOT\htafile\shell\open\command

HKEY_CLASSES_ROOT\piffile\shell\open\command

HKEY_LOCAL_MACHINE\Software\CLASSES\batfile\shell\open\command

HKEY_LOCAL_MACHINE\Software\CLASSES\comfile\shell\open\command

HKEY_LOCAL_MACHINE\Software\CLASSES\exefile\shell\open\command

HKEY_LOCAL_MACHINE\Software\CLASSES\htafile\shell\open\command

HKEY_LOCAL_MACHINE\Software\CLASSES\piffile\shell\open\command

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\cmdfile\shell\open\command

}

JSEFile\Shell\Edit\Command %SystemRoot%\System32\Notepad.exe %1
JSEFile\Shell\Open\Command %SystemRoot%\System32\WScript.exe "%1" %*
JSEFile\Shell\Open2\Command %SystemRoot%\System32\CScript.exe "%1" %*
JSFile\Shell\Edit\Command %SystemRoot%\System32\Notepad.exe %1
JSFile\Shell\Open\Command %SystemRoot%\System32\WScript.exe "%1" %*
JSFile\Shell\Open2\Command %SystemRoot%\System32\CScript.exe "%1" %*
VBEFile\Shell\Edit\Command %SystemRoot%\System32\Notepad.exe %1
VBEFile\Shell\Open\Command %SystemRoot%\System32\WScript.exe "%1" %*
VBEFile\Shell\Open2\Command %SystemRoot%\System32\CScript.exe "%1" %*
VBSFile\Shell\Edit\Command %SystemRoot%\System32\Notepad.exe %1
VBSFile\Shell\Open\Command %SystemRoot%\System32\WScript.exe "%1" %*
VBSFile\Shell\Open2\Command %SystemRoot%\System32\CScript.exe "%1" %*
scrfile\Shell\config\Command %1
scrfile\Shell\install\Command rundll32.exe desk.cpl,InstallScreenSaver %l
scrfile\Shell\Open\Command "%1" /S
txtfile\Shell\print\Command %SystemRoot%\system32\NOTEPAD.EXE /p %1
txtfile\Shell\printto\Command %SystemRoot%\system32\notepad.exe /pt "%1" "2" "3" "4"
txtfile\Shell\open\Command %SystemRoot%\system32\NOTEPAD.EXE %1
inifile\Shell\Open\Command %SystemRoot%\System32\NOTEPAD.EXE %1
inifile\Shell\print\Command %SystemRoot%\System32\NOTEPAD.EXE /p %1
chm.file\Shell\open\Command "C:\WINNT\hh.exe" %1

关联表
--------------------------------------

[ok]
HKEY_USERS\.DEFAULT

也可以加载


这两个键值的内容在你不是用cmd.exe /D（这里/d参数是不加载任何程序启动cmd）格式来启动cmd程序的话，会在启动cmd.exe之前先去执行这两个键值指定的程序


-----------------------------------

[no]
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\VxD

木马加载为系统驱动
该地址是系统启动VxD驱动文件放置的地址，就像PrettyPark这个蠕虫一样，可以建立一个主键之后把VxD文件添加到注册表这里。
------------------------------------

[ok]
HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\aedebug

进程的崩溃调试
这里也就 是debug调试程序了，当系统程序，或者别的程序损害的时候，系统会调用调试程序

AUTO 1=立即运行调试器，0=首先询问用户。


默认情况下缺省配置是AUTO=1 DEBUGGER=DRWTSN32.EXE

安装了编译程序平台后AUTO=0 DEBUGGER=MSDEV.EXE


同样，我们可以把所有具备调试功能的选项取消，比如蓝屏时出现的memory.dmp，可在“系统属性”对话框中选择“高级”选项卡，单击“启动和故障恢复”栏中的“设置”按钮，并在弹出的“启动和故障恢复”对话框中选择“写入调试信息”为“无”


如果先修改注册表以准崩溃时加载可疑程序，然后让程序崩溃就可以运行了....

--------------------------------------------------------

==========================================================
===========================================================



三、古老的启动——自动批处理文件



      从DOS时代过来的朋友肯定知道autoexec.bat（位于系统盘根目录）这个自动批处理文件，它会在电脑启动时自动运行，早期许多病毒就看中了它，使用deltree、format等危险命令来破坏硬盘数据。如“C盘杀手”就是用一句“deltree 
      /y c:\*.*”命令，让电脑一启动就自动删除C盘所有文件，害人无数。

      小提示：

      ★在Windows 
      98中，Autoexec.bat还有一个哥们——Winstart.bat文件，winstart.bat位于Windows文件夹，也会在启动时自动执行。

      ★在Windows Me/2000/XP中，上述两个批处理文件默认都不会被执行。


 四、常用的启动——系统配置文件



      在Windows的配置文件（包括Win.ini、System.ini和wininit.ini文件）也会加载一些自动运行的程序。



      1.Win.ini文件

      使用“记事本”打开Win.ini文件，在[windows]段下的“Run=”和“LOAD=”语句后面就可以直接加可执行程序，只要程序名称及路径写在“＝”后面即可。

      小提示：

      “load=”后面的程序在自启动后最小化运行，而“run=”后程序则会正常运行。



      2.System.ini文件

      使用“记事本”打开System.ini文件，找到[boot]段下“shell=”语句，该语句默认为“shell=Explorer.exe”，启动的时候运行Windows外壳程序explorer.exe。病毒可不客气，如“妖之吻”病毒干脆把它改成“shell=c:\yzw.exe”，如果你强行删除“妖之吻”病毒程序yzw.exe，Windows就会提示报错，让你重装Windows，吓人不？也有客气一点的病毒，如将该句变成 
      “shell=Explorer.exe 其他程序名”，看到这样的情况，后面的其他程序名一定是病毒程序如所示。



      3.wininit.ini

      wininit.ini文件是很容易被许多电脑用户忽视的系统配置文件，因为该文件在Windows启动时自动执后会被自动删除，这就是说该文件中的命令只会自动执行一次。该配置文件主要由软件的安装程序生成，对那些在Windows图形界面启动后就不能进行删除、更新和重命名的文件进行操作。若其被病毒写上危险命令，那么后果与“C盘杀手”无异。

      小提示：

      ★如果不知道它们存放的位置，按F3键打开“搜索”对话框进行搜索；

      ★单击“开始→运行”，输入sysedit回车，打开“系统配置编辑程序”，如图2所示，在这里也可以方便的对上述文件进行查看与修改。



      五、智能的启动——开/关机/登录/注销脚本

      在Windows 
      2000/XP中，单击“开始→运行”，输入gpedit.msc回车可以打开“组策略编辑器”，在左侧窗格展开“本地计算机策略→用户配置→管理模板→ 
      系统→登录”，然后在右窗格中双击“在用户登录时运行这些程序”，单击“显示”按钮，在“登录时运行的项目”下就显示了自启动的程序。



      六、定时的启动——任务计划

      在默认情况下，“任务计划”程序随Windows一起启动并在后台运行。如果把某个程序添加到计划任务文件夹，并将计划任务设置为“系统启动时”或“登录时”，这样也可以实现程序自启动。通过“计划任务”加载的程序一般会在任务栏系统托盘区里有它们的图标。大家也可以双击“控制面板”中的“计划任务”图标查看其中的项目。

      小提示：“任务计划”也是一个特殊的系统文件夹，单击“开始→程序→附件→系统工具→任务计划”即可打开该文件夹，从而方便进行查看和管理。

 任务计划:(可以自行添加自启动项)
      c:\windows\tasks\文件夹中后缀为.job为计划任务. 
      一个JOB代表一个计划任务.病毒一般使用隐藏.JOB文件来达到秘密运行病毒或破坏系统文件的目的.

第二部分：病毒的映象劫持技术

      映像劫持的定义

      所谓的映像劫持（IFEO）就是Image File Execution Options，位于注册表的[HKEY_LOCAL 
      MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution 
      Options]由于这个项主要是用来调试程序用的，对一般用户意义不大。默认是只有管理员和local system有权读写修改。

      通俗一点来说，就是比如我想运行QQ.exe(记事本），结果运行的却是运行了notepad.exe(记事本），也就是说在这种情况下，QQ程序被notepad给劫持了，即你想运行的程序被另外一个程序代替了。

      映像劫持病毒

      虽然映像劫持是系统自带的功能，对我们一般用户来说根本没什么用的必要，但是就有一些病毒通过映像劫持来做文章，表面上看起来是运行了一个程序，实际上病毒已经在后台运行了。

      但是与一般的木马，病毒不同的是，就有一些病毒偏偏不通过这些来加载自己，不随着系统的启动运行，而是等到你运行某个特定的程序的时候运行，这也抓住了一些用户的心理，一般的用户，只要发觉自己的机子中了病毒，首先要察看的就是系统的加载项，很少有人会想到映像劫持，这也是这种病毒高明的地方。

      映像劫持病毒主要通过修改注册表中的[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows 
      NT\CurrentVersion\Image File Execution options] 项来劫持正常的程序，比如有一个病毒 
      vires.exe 要劫持 qq 程序，它会在上面注册表的位置新建一个qq.exe项，再这个项下面新建一个字符串的键值　debugger 
      内容是：C:\WINDOWS\SYSTEM32\ABC.EXE(这里是病毒藏身的路径)即可。当然如果你把该字符串值改为任意的其他值的话，系统就会提示找不到该文件。

      映像胁持的基本原理 

      WINDOWS 
      NT系统在试图执行一个从命令行调用的可执行文件运行请求时，先会检查运行程序是不是可执行文件，如果是的话，再检查格式的，然后就会检查是否存在。如果不存在的话，它会提示系统找不到文件或者是“指定的路径不正确”等等。把这些键删除后，程序就可以运行！

      映像劫持的应用 

      ★禁止某些程序的运行 

      先看一段代码：

      Windows Registry Editor Version 5.00 

      [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image 
      File Execution Options\qq.exe] 

      "Debugger"="notepad.exe"

      使用记事本，把上面这段代码复制到记事本中，并另存为 ABC.reg，双击导入注册表，打开你的QQ看一下效果！ 

      这段代码的作用是双击运行QQ的时候，系统都打开记事本，原因就是QQ被重定向了。如果要让QQ继续运行的话，把notepad.exe改为QQ.exe的绝对路径就可以了。

      ★偷梁换柱恶作剧 

      每次我们按下CTRL+ALT+DEL键时，都会弹出任务管理器，想不想在我们按下这些键的时候让它弹出命令提示符窗口，下面就教你怎么玩：



      Windows Registry Editor Version 5.00 

      [HKEY_LOCAL MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image 
      File Execution Options\taskmgr.exe] 

      "Debugger"="C:\WINDOWS\pchealth\helpctr\binaries\msconfig.exe"

      将上面的代码在记事本中另存为 task_cmd.reg，双击导入注册表。按下那三个键看是什么效果，不用我说了吧，是不是很惊讶啊！精彩的还在后头呢！

      ★让病毒迷失自我 

      同上面的道理一样，如果我们把病毒程序给重定向了，是不是病毒就不能运行了，答案是肯定的！下面就自己试着玩吧！ 

      Windows Registry Editor Version 5.00 

      [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image 
      File Execution Options\sppoolsv.exe] 

      "Debugger"="123.exe" 

      [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image 
      File Execution Options\logo_1.exe] 

      "Debugger"="123.exe"

      上面的代码是以金猪报喜病毒和威金病毒为例，这样即使这些病毒在系统启动项里面，即使随系统运行了，但是由于映像劫持的重定向作用，还是会被系统提示无法找到病毒文件（这里是logo_1.exe和sppoolsv.exe）。是不是很过瘾啊，想不到病毒也有今天！



      当然你也可以把病毒程序重定向到你要启动的程序中去，如果你想让QQ开机自启动，你可以把上面的123.exe改为你QQ的安装路径即可，但是前提是这些病毒必须是随系统的启动而启动的。



      关于映像劫持的预防，主要通过以下几个方法来实现：



      ★权限限制法 

      如果用户无权访问该注册表项了，它也就无法修改这些东西了。打开注册表编辑器，进入[HKEY_LOCAL_MACHINE\SOFTWARE 
      \Microsoft\WindowsNT\CurrentVersion\Image File Execution Options] 
      ，选中该项，右键——>权限——>高级，将administrator 和 system 用户的权限调低即可（这里只要把写入操作给取消就行了）。 

      ★快刀斩乱麻法 

      打开注册表编辑器，进入把[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows 
      NT\CurrentVersion\Image File Execution Options]项，直接删掉 Image File Execution 
      Options 项即可解决问题。

      第三部分：捆绑和嵌入（感染）正常程序启动

      这种启动方式也是一种普遍的病毒启动方式，也是最让一般用户感到头疼的病毒感染方式，它通过感染和嵌入正常程序中达到使病毒启动的目的。

      一、查看文件最后修改日期和字节大小

      通过列出当前运行的程序目录，我们可以通过显示文件的“详细信息”来查看文件的最后修改日期和当前文件大小，一般来说，病毒感染的文件的修改日期都很近，而且被感染文件比正常程序文件体积要大一些。要注意的是，病毒嵌入后文件体积大小增加可能不明显，必须在该文件的属性中才可以看到最精确的文件体积，通过对比正常程序文件的正确体积和最后修改时间，才能判断该文件是否被感染。

      一旦确定被感染文件，我们可以通过文件替换方式来修复被感染的程序。

      小提示：

      如果病毒感染了你的操作系统文件，无法在windows中直接置换该文件，可以考虑使用光盘虚拟操作系统或将硬盘挂载到其他计算机上的方法，来完成文件替换工作。

      鉴于有部分初学者在修改了QQ重定向注册表键值后，出现QQ打开不了的问题，我在这里给出解决方法：在注册表中删除 
      [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image 
      File Execution Options\qq.exe]项即可。 ?


===============================
c.控制面板启动： 
这是利用控制面板程序可以被类似DLL执行，从而达到启动目的。 
在控制面板中，.cpl文件是控制面板的原文件。默认的这些文件都会被放置在/％WINDOWS％/SYSTEM/目录下的，如desk.cpl是桌面属性、inetcpl.cpl是Internet选项之类。但这些.cpl文件全都是PE格式文件，也就是说如果用户把一个可执行的类似DLL的.cpl文件放入%Windows%System中，则在控制面板中可看到其图标，并可执行！ 

 
由于.cpl文件的特殊性，需要使用rundll32.exe来启动该文件。rundll32.exe是Windows用来调用动态连接库函数时所使用的文件，在运行中输入： 
rundll32 shell32.dll,Control_RunDLL /%path%/desk.cpl,,X 
其中shell32.dll为被调用的DLL文件，意思为调用shell32.dll中的Control_RunDLL来打开desk.cpl文件；/%path%/为.cpl文件的路径，默认为C:WindowsSystem；最后的X为desk.cpl文件的页数：从0开始，0为第一页（如“显示属性”的“背景”），1为第二页（如“桌面属性”的“屏幕保护程序”），依此类推。 

但如果照上面的方法做，则该文件会在控制面板中被显示。有两种方法可以不让其显示： 
（1）.不要把自己的.cpl文件放在C:WINDOWSSYSTEM中。因为默认的情况下Windows会加载的所有.cpl文件。如果想让其显示则打开C:WINDOWS下的Control.ini文件，在[MMCPL]中写入类似： 

file.cpl=D:pathfile.cpl 
的命令，从而达到显示的目的。 
（2）.当你看到Control.ini文件的时候一定可以看到在[MMCPL]上面的[don‘t 
load]。是的，如果把你的文件以file.cpl=no的格式写入到这里面，那么文件就不被加载了。反之恢复。 
 
-----------------------
（5）.自动启动相关： 
a.代启动： 
这种启动方式其实只是一个方法的问题。即可以用启动一个正常文件来启动另一个文件，SubSeven就用过启动Windos.exe从而启动SubSeven的Sever文件的方法。 

b.Start启动： 
在“运行“中或“MS-DOS”方式中输入start回车，则会显示 
Runs a Windows program or an MS-DOS program. 
 
START [options] program [arg...] 
START [options] document.ext 
 
/m[inimized] Run the new program minimized (in the background). 
/max[imized] Run the new program maximized (in the foreground). 
/r[estored]Run the new program restored (in the foreground). [default] 
/w[ait]Does not return until the other program exits. 
如果要启动的程序配合这个命令，则可以更加隐蔽，如： 
start/m file.exe 
但似乎有些有启动画面的软件（如金山词霸）对这条命令并没有反映。 

============================================
(二).屏幕保护启动方式： 
Windows的屏幕保护程序是一个.scr文件。这是一个PE格式的可执行文件。如果把屏幕保护程序.scr更名为.exe的文件，则该程序仍然可以正常启动。类似的.exe文件更名为.scr文件也是一样可以被运行！ 

.scr文件默认存在于C:Windows目录中，他的名字就是在“显示”属性中的“屏幕保护程序”中的名称。在C:Windows目录下的所有*.scr文件都会被Windows的“屏幕保护程序”显示，而文件路径本身保存在System.ini中的SCRNSAVE.EXE=的这条中。有意思的是在SCRNSAVE.EXE=这条中，其规定的路径也包含了目录名称。即如果我想安装一个.scr文件时，譬如安装路径为D:SCR1.scr，而D:SCR这个目录中还有2.scr，则在这个目录中的所有.scr（1.scr，2.scr）文件都会被显示在“屏幕保护程序”设置中。如果屏幕保护程序设为“（无）”，则SCRNSAVE.EXE=这条不存在。但如果SCRNSAVE.EXE=这条所指的文件或目录是错误的，则在“屏幕保护程序设置”中仍然会显示“（无）”。 

{
注：跟系统冲突，乱报，已不用 
屏幕保护程序的启动时间保存在注册表中的这个位置上： 
HKEY_USERS\.DEFAULT\Control Panel\Desktop          ScreenSaveTimeOut 
时间单位为秒，不过虽然是秒，可启动时间却为分，即从60秒开始记录，如果记录时间小于60秒，则自动定为1分钟。 
屏幕保护是否设置密码的键值为： 
HKEY_USERS\.DEFAULT\Control Panel\Desktop        ScreenSaveUsePassword 
有密码则值为1没有密码则值为0。 
由此可见，如果有人把自己所作的.exe程序更名为.scr的程序，并使程序能够在SYSTEM.INI中添加“SCANSAVE.EXE=/%Path%”f/ile.scr”（/%Path%/file.scr为所需要设置的文件的路径和文件名，如C:Program 
filestrojan.scr），修改注册表中的HKEY_USERS.DEFAULTControl 
PaneldesktopScreenSaveTimeOut，定时间为60，则系统只要闲置一分钟该文件就会被启动！ 
另外一个简单的破坏方式就是可以随机产生屏幕保护密码并写入相应文件的相应位置，定时间为1分钟，则系统只要闲置一分钟则会被被锁！（由于涉及问题并非自启动问题，所以不加以讨论。） 

注意：由于SCANSAVE.EXE=这里还会定义.scr文件的路径，所以最好不要把要启动的文件放置在.scr文件较多的一些目录，否则容易引起怀疑。（Windows目录除外） 


reg add "HKEY_CURRENT_USER\Control Panel\Desktop" ScreenSaveActive 值是20  默认20分钟



HKEY_CURRENT_USER\Control Panel\Desktop 
"SCRNSAVE.EXE" 运行的服务名称

}

---------------------
hosts
一． Hosts文件的位置 
很多用户都知道在Window系统中有个Hosts文件（没有后缀名），在Windows 98系统下该文件在Windows文件夹。 
在Windows 2000/XP系统中位于\%Systemroot%\System32\Drivers\Etc 文件夹中，其中，%Systemroot%指系统安装路径。例如，Windows XP 安装在C:\WINDOWS,那么Hosts文件就在C:\Widows\System32\Drvers\Etc中。 
你也可以用windows自带的查找功能搜索找到hosts文件。 
该文件其实是一个纯文本的文件，用普通的文本编辑软件如记事本等都能打开和编辑。
------------------------
账户
HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\Names
 
-----------------------
两个系统启动文件夹的注册表位置

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders
Startup键值

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders
Startup键值   

--------------
禁用自动运行注册表位置
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer

---------------------
防备autorun病毒
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2


---------------------
沙盘注册表关键值   sandboxmode

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Jet\4.0\Engines
















