很多監(jiān)控軟件要求軟件能夠在系統(tǒng)重新啟動(dòng)后不用用戶去點(diǎn)擊圖標(biāo)啟動(dòng)項(xiàng)目，而是直接能夠啟動(dòng)運(yùn)行，方法是寫注冊(cè)表Software\\Microsoft\\Windows\\CurrentVersion\\Run 。
參考程序可以見下：(查找程序目錄的執(zhí)行文件，存在則進(jìn)行添加注冊(cè)表操作)
//實(shí)用代碼一
int C***Dlg::CreateRun(void)
{
//添加以下代碼
HKEY RegKey;
CString sPath;
GetModuleFileName(NULL,sPath.GetBufferSetLength(MAX_PATH+1),MAX_PATH);
sPath.ReleaseBuffer();
int nPos;
nPos=sPath.ReverseFind('\\');
sPath=sPath.Left(nPos);
CString lpszFile=sPath+"\\getip.exe";//這里加上你要查找的執(zhí)行文件名稱
CFileFind fFind;
BOOL bSuccess;
bSuccess=fFind.FindFile(lpszFile);
fFind.Close();
if(bSuccess)
{
CString fullName;
fullName=lpszFile;
RegKey=NULL;
RegOpenKey(HKEY_LOCAL_MACHINE,"Software\\Microsoft\\Windows\\CurrentVersion\\Run",&RegKey);
RegSetValueEx(RegKey,"getip",0,REG_SZ,(const unsigned char*)(LPCTSTR)fullName,fullName.GetLength());//這里加上你需要在注冊(cè)表中注冊(cè)的內(nèi)容
this->UpdateData(FALSE);
}
else
{
//theApp.SetMainSkin();
::AfxMessageBox("沒找到執(zhí)行程序，自動(dòng)運(yùn)行失敗");
exit(0);
}
return 0;
}
//把上面的getip（共2處）替換成自己想啟動(dòng)程序的名字。
================================================
實(shí)用代碼二：
//寫入注冊(cè)表,開機(jī)自啟動(dòng)
HKEY hKey;
//找到系統(tǒng)的啟動(dòng)項(xiàng)
LPCTSTR lpRun = "Software\\Microsoft\\Windows\\CurrentVersion\\Run";
//打開啟動(dòng)項(xiàng)Key
long lRet = RegOpenKeyEx(HKEY_LOCAL_MACHINE, lpRun, 0, KEY_WRITE, &hKey);
if(lRet == ERROR_SUCCESS)
{
char pFileName[MAX_PATH] = {0};
//得到程序自身的全路徑
DWORD dwRet = GetModuleFileName(NULL, pFileName, MAX_PATH);
//添加一個(gè)子Key,并設(shè)置值 // 下面的"getip"是應(yīng)用程序名字（不加后綴.exe）
lRet = RegSetValueEx(hKey, "getip", 0, REG_SZ, (BYTE *)pFileName, dwRet);
//關(guān)閉注冊(cè)表
RegCloseKey(hKey);
if(lRet != ERROR_SUCCESS)
{
AfxMessageBox("系統(tǒng)參數(shù)錯(cuò)誤,不能隨系統(tǒng)啟動(dòng)");
}
}
一、當(dāng)前用戶專有的啟動(dòng)文件夾
這是許多應(yīng)用軟件自動(dòng)啟動(dòng)的常用位置，Windows自動(dòng)啟動(dòng)放入該文件夾的所有快捷方式。用戶啟動(dòng)文件夾一般在：\Documents and Settings\<用戶名字>\「開始」菜單\程序\啟動(dòng)，其中“<用戶名字>”是當(dāng)前登錄的用戶帳戶名稱。
二、對(duì)所有用戶有效的啟動(dòng)文件夾
這是尋找自動(dòng)啟動(dòng)程序的第二個(gè)重要位置，不管用戶用什么身份登錄系統(tǒng)，放入該文件夾的快捷方式總是自動(dòng)啟動(dòng)——這是它與用戶專有的啟動(dòng)文件夾的區(qū)別所在。該文件夾一般在：\Documents and Settings\All Users\「開始」菜單\程序\啟動(dòng)。
三、Load注冊(cè)鍵
介紹該注冊(cè)鍵的資料不多，實(shí)際上它也能夠自動(dòng)啟動(dòng)程序。位置：HKEY_CURRENT_USER\Software\Microsoft\WindowsNT\CurrentVersion\Windows\load。
四、Userinit注冊(cè)鍵
位置：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon\Userinit。這里也能夠使系統(tǒng)啟動(dòng)時(shí)自動(dòng)初始化程序。通常該注冊(cè)鍵下面有一個(gè)userinit.exe，如圖，但這個(gè)鍵允許指定用逗號(hào)分隔的多個(gè)程序，例如“userinit.exe,OSA.exe”（不含引號(hào)）。
五、Explorer\Run注冊(cè)鍵
和load、Userinit不同，Explorer\Run鍵在HKEY_CURRENT_USER和HKEY_LOCAL_MACHINE下都有，具體位置是：HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run，和HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run。
六、RunServicesOnce注冊(cè)鍵
RunServicesOnce注冊(cè)鍵用來啟動(dòng)服務(wù)程序，啟動(dòng)時(shí)間在用戶登錄之前，而且先于其他通過注冊(cè)鍵啟動(dòng)的程序。RunServicesOnce注冊(cè)鍵的位置是：HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce，和HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServicesOnce。
七、RunServices注冊(cè)鍵
RunServices注冊(cè)鍵指定的程序緊接RunServicesOnce指定的程序之后運(yùn)行，但兩者都在用戶登錄之前。RunServices的位置是：HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServices，和HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices。
八、RunOnce\Setup注冊(cè)鍵
RunOnce\Setup指定了用戶登錄之后運(yùn)行的程序，它的位置是：HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce\Setup，和HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\Setup。
九、RunOnce注冊(cè)鍵
安裝程序通常用RunOnce鍵自動(dòng)運(yùn)行程序，它的位置在HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce和HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce。HKEY_LOCAL_MACHINE下面的RunOnce鍵會(huì)在用戶登錄之后立即運(yùn)行程序，運(yùn)行時(shí)機(jī)在其他Run鍵指定的程序之前。HKEY_CURRENT_USER下面的RunOnce鍵在操作系統(tǒng)處理其他Run鍵以及“啟動(dòng)”文件夾的內(nèi)容之后運(yùn)行。如果是XP，你還需要檢查一下HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnceEx。
十、Run注冊(cè)鍵
Run是自動(dòng)運(yùn)行程序最常用的注冊(cè)鍵，位置在：HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run，和HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run。HKEY_CURRENT_USER下面的Run鍵緊接HKEY_LOCAL_MACHINE下面的Run鍵運(yùn)行，但兩者都在處理“啟動(dòng)”文件夾之前。
有時(shí)候人們往往會(huì)為了一個(gè)程序的啟動(dòng)而頭痛，因?yàn)橐恍┯脩敉恢滥切┪募侨绾螁?dòng)的。所以經(jīng)常會(huì)有些沒用的東西掛在系統(tǒng)上占用資源。有時(shí)候也會(huì)有人因?yàn)椴恢廊绾螁?dòng)某個(gè)文件而頭痛。更有些特洛依木馬的作者因?yàn)椴磺宄到y(tǒng)的自啟動(dòng)方式而使自己的木馬輕松被別人發(fā)現(xiàn)……
Windows的自啟動(dòng)方式其實(shí)有許多方式。除了一些常見的啟動(dòng)方式之外，還有一些非常隱蔽的可用來啟動(dòng)文件的方式。本文總結(jié)如下，雖然不是全部，但我想應(yīng)該會(huì)對(duì)大家有所幫助。文章全部以系統(tǒng)默認(rèn)的狀態(tài)為準(zhǔn)，以供研究。
其中（English）代表英文操作系統(tǒng)，（Chinese）代表中文操作系統(tǒng)。本文沒加說明指的全為中文Windows98操作系統(tǒng)。
警告： 文中提及的一些操作可能會(huì)涉及到系統(tǒng)的穩(wěn)定性。例如如果不正確地使用注冊(cè)表編輯器可以導(dǎo)致可能重新安裝系統(tǒng)這樣嚴(yán)重的問題。微軟也不能保證因不正常使用注冊(cè)表編輯器而造成的結(jié)果可以被解決。筆者不對(duì)使用后果負(fù)責(zé)，請(qǐng)根據(jù)自己的情況使用。
Windows的自啟動(dòng)方式：
一.自啟動(dòng)目錄：
1.第一自啟動(dòng)目錄：
默認(rèn)路徑位于：
C:windowsstart menuprogramsstartup（English）
C:windowsstart menuprograms啟動(dòng)（Chinese）
這是最基本、最常用的Windows啟動(dòng)方式，主要用于啟動(dòng)一些應(yīng)用軟件的自啟動(dòng)項(xiàng)目，如Office的快捷菜單。一般用戶希望啟動(dòng)時(shí)所要啟動(dòng)的文件也可以通過這里啟動(dòng)，只需把所需文件或其快捷方式放入文件夾中即可。
對(duì)應(yīng)的注冊(cè)表位置：
[HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionExplorerShell Folders]
Startup=\"%Directory%\"
[HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionExplorerUser Shell Folders]
Startup=\"%Directory%\"
其中“%Directory%”為啟動(dòng)文件夾位置。
英文默認(rèn)為： C:windowsstart menuprogramsstartup
中文默認(rèn)為： C:windowsstart menuprograms啟動(dòng)
在開始菜單的“啟動(dòng)”文件夾是可更改的，如果用戶更改了啟動(dòng)文件夾，則以上注冊(cè)表的鍵值均會(huì)改變?yōu)橄鄳?yīng)的名稱。
值得注意的是：開始菜單的“啟動(dòng)”文件夾中的內(nèi)容雖然在默認(rèn)的狀態(tài)下可以被用戶看得一清二楚。但通過改動(dòng)還是可以達(dá)到相當(dāng)隱蔽地啟動(dòng)的目的的：
首先，“啟動(dòng)”文件夾中的快捷方式或其他文件的屬性可以改變?yōu)?#8220;隱藏”。這樣可以達(dá)到系統(tǒng)不啟動(dòng)被隱藏的文件，等到需要啟動(dòng)的時(shí)候又可以通過更改回文件屬性而恢復(fù)啟動(dòng)的作用。
其次，其實(shí)“啟動(dòng)”文件夾只是一個(gè)普通的文件夾，但是由于系統(tǒng)監(jiān)視了這個(gè)文件夾，所以變得有些特殊，但文件夾有的功能該文件夾也是有的。譬如“啟動(dòng)”文件夾的名稱是可以更改的，并且“啟動(dòng)”文件夾也可以設(shè)置屬性。如果把屬性設(shè)置為“隱藏”，則在系統(tǒng)中的【開始】?【程序】菜單中是看不到“啟動(dòng)”文件夾的（即使在“文件夾選項(xiàng)”中已經(jīng)設(shè)定了“顯示所有文件”）。而系統(tǒng)還會(huì)啟動(dòng)這個(gè)被隱藏的文件夾中的非隱藏文件。
敏感的人們也許已經(jīng)發(fā)現(xiàn)問題。舉一個(gè)例子：
如果我想啟動(dòng)A木馬的server端服務(wù)器，我可以把原來的“啟動(dòng)”菜單的名稱更改為“StartUp”（這里是隨便改的，注冊(cè)表相應(yīng)的鍵值也會(huì)自動(dòng)更改。）之后再創(chuàng)建一個(gè)名為“啟動(dòng)”的文件夾，把“StartUp”菜單中的文件全部復(fù)制（這里用復(fù)制，可以騙過用戶的檢查）到“啟動(dòng)”菜單中，然后把A木馬的server程序放入“StartUp”文件夾中，最后把“StartUp”文件夾隱藏。大功告成！
從外表看來，用戶的【開始】?【啟動(dòng)】目錄還在，而且要啟動(dòng)的文件也在。但系統(tǒng)此時(shí)啟動(dòng)的文件不是名為“啟動(dòng)”的文件夾中的文件，而是名為“StartUp”的文件夾中的文件。如果木馬做的好的話，完全可以在每次啟動(dòng)的時(shí)候把“StartUp”中的文件復(fù)制到“啟動(dòng)”目錄中來達(dá)到實(shí)時(shí)更新啟動(dòng)目錄的目的。由于“StartUp”文件夾被隱藏，從【開始】?【程序】中是無法看到真正的啟動(dòng)菜單“StartUp”的，所以達(dá)到了隱蔽啟動(dòng)的目的！
這個(gè)啟動(dòng)方式雖然比較隱蔽，但通過msconfig依舊可以在“啟動(dòng)”頁中看出來。
2.第二自啟動(dòng)目錄：
是的，其實(shí)，Windows還有另外一個(gè)自啟動(dòng)目錄，而且很明顯但卻經(jīng)常被人們忽略的一個(gè)。
該路徑位于：
C:WINDOWSAll UsersStart MenuProgramsStartUp（English）
C:WINDOWSAll UsersStart MenuPrograms啟動(dòng)（Chinese）
這個(gè)目錄的使用方法和第一自啟動(dòng)目錄是完全一樣的。只要找到該目錄，將所需要啟動(dòng)的文件拖放進(jìn)去就可以達(dá)到啟動(dòng)的目的。
[HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionexplorerUser Shell Folders]
\"Common Startup\"=\"%Directory%\"
[HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionexplorerShell Folders]
\"Common Startup\"=\"%Directory%\"
值得注意的是：該目錄在開始菜單的“啟動(dòng)”目錄中是完全不能被看見的。而伴隨著每次啟動(dòng)，該目錄下的非隱藏文件也會(huì)隨之啟動(dòng)！ 另外，在Msconfig中可以看到在這個(gè)目錄下要啟動(dòng)的文件。
二.系統(tǒng)配置文件啟動(dòng)：
由于系統(tǒng)的配置文件對(duì)于大多數(shù)的用戶來說都是相當(dāng)陌生的；這就造成了這些啟動(dòng)方法相對(duì)來說都是相當(dāng)隱蔽的，所以這里提到的一些方法常常會(huì)被用于做一些破壞性的操作，請(qǐng)讀者注意。
1.WIN.INI啟動(dòng)：
啟動(dòng)位置（file.exe為要啟動(dòng)的文件名稱）：
[windows]
load=file.exe
run=file.exe
注意：load=與run=的區(qū)別在于：通過load=運(yùn)行文件，文件會(huì)在后臺(tái)運(yùn)行（最小化）；而通過run=來運(yùn)行，則文件是在默認(rèn)狀態(tài)下被運(yùn)行的。
2.SYSTEM.INI啟動(dòng)：
啟動(dòng)位置（file.exe為要啟動(dòng)的文件名稱）：
默認(rèn)為：
[boot]
Shell=Explorer.exe
可啟動(dòng)文件后為：
[boot]
Shell=Explorer.exe file.exe
說明：
筆者記得在諾頓先生（就是開發(fā)出Norton系列軟件的人）寫的一本書里面曾經(jīng)說過，1、2這兩個(gè)文件的有無對(duì)系統(tǒng)沒有什么影響，但由于時(shí)間的關(guān)系，筆者沒有來得及試驗(yàn)，有興趣者可以試一試。
不過有一點(diǎn)是可以肯定的，這樣的啟動(dòng)方式往往會(huì)被木馬或一些惡作劇程序（如，妖之吻）利用而導(dǎo)致系統(tǒng)的不正常。由于一般用戶很少會(huì)對(duì)這兩個(gè)文件關(guān)心，甚至有的人不知道這些文件是做什么用的，所以隱蔽性很好。但由于其使用的越來越頻繁，這種啟動(dòng)方式也被漸漸的察覺了。用戶可以使用msconfig這個(gè)命令實(shí)現(xiàn)檢查是否有什么程序被加載。具體的是在看是菜單中的“運(yùn)行”中輸入msconfig回車，之后按照文字說明即可。
注意：
1. 和WIN.INI文件不同的是，SYSTEM.INI的啟動(dòng)只能啟動(dòng)一個(gè)指定文件，不要把Shell=Explorer.exe file.exe換為Shell=file.exe，這樣會(huì)使Windows癱瘓！
2. 這種啟動(dòng)方式提前于注冊(cè)表啟動(dòng)，所以，如果想限制注冊(cè)表中的文件的啟動(dòng)，可是使用這種方法。
3.WININIT.INI啟動(dòng)：
Wininit.ini這個(gè)文件也許很多人不知道，一般的操作中用戶也很少能直接和這個(gè)文件接觸。但如果你編寫過卸載程序的話，也許你會(huì)知道這個(gè)文件。
WinInit即為Windows Setup Initialization Utility。翻譯成中文就是Windows安裝初始化工具。這么說也許不明白，如果看到如下提示信息：
Please wait while Setup updates your configuration files.
This may take a few minutes...
大家也許就都知道了！這個(gè)就是Wininit.ini在起作用！
由于在Windows下，許多的可執(zhí)行文件和驅(qū)動(dòng)文件是被執(zhí)行到內(nèi)存中受到系統(tǒng)保護(hù)的。所以在Windows的正常狀態(tài)下更改這些文件就成了問題，因此出現(xiàn)了Wininit.ini這個(gè)文件來幫助系統(tǒng)做這件事情。它會(huì)在系統(tǒng)裝載Windows之前讓系統(tǒng)執(zhí)行一些命令，包括復(fù)制，刪除，重命名等，以完成更新文件的目的。Wininit.ini文件存在于Windows目錄下，但在一般時(shí)候我們?cè)贑:Windows目錄下找不到這個(gè)文件，只能找到它的exe程序Wininit.exe。原因就是Wininit.ini在每次被系統(tǒng)執(zhí)行完它其中的命令時(shí)就會(huì)被系統(tǒng)自動(dòng)刪除，直到再次出現(xiàn)新的Wininit.ini文件……之后再被刪除。
文件格式：
[rename]
file1=file2
file1=file2的意思是把file2文件復(fù)制為文件名為file1的文件，相當(dāng)于覆蓋file1文件。
這樣啟動(dòng)時(shí)，Windows就實(shí)現(xiàn)了用file2更新file1的目的；如果file1不存在，實(shí)際結(jié)果是將file2復(fù)制并改名為file1；如果要?jiǎng)h除文件，則可使用如下命令：
[rename]
nul=file2
這也就是說把file2變?yōu)榭眨磩h除的意思。
以上文件名都必須包含完整路徑。
注意：
1.由于Wininit.ini文件處理的文件是在Windows啟動(dòng)以前處理的，所以不支持長文件名。
2.以上的文件復(fù)制、刪除、重命名等均是不提示用戶的情況下執(zhí)行的。有些病毒也會(huì)利用這個(gè)文件對(duì)系統(tǒng)進(jìn)行破壞，所以用戶如果發(fā)現(xiàn)系統(tǒng)無故出現(xiàn)：
Please wait while Setup updates your configuration files.
This may take a few minutes...
那么也許系統(tǒng)就有問題了。
3. 在Windows 95 Resource Kit中提到過Wininit.ini文件有三個(gè)可能的段，但只敘述了[rename]段的用法。
4.WINSTART.BAT啟動(dòng)：
這是一個(gè)系統(tǒng)自啟動(dòng)的批處理文件，主要作用是處理一些需要復(fù)制、刪除的任務(wù)。譬如有些軟件會(huì)在安裝或卸載完之后要求重新啟動(dòng)，就可以利用這個(gè)復(fù)制和刪除一些文件來達(dá)到完成任務(wù)的目的。如：
“@if exist C:WINDOWSTEMPPROC.BAT call C:WINDOWSTEMPPROC.BAT”
這里是執(zhí)行PROC.BAT文件的命令；
“call filename.exe > nul”
這里是去除任何在屏幕上的輸出。
值得注意的是WinStart.BAT文件在某種意義上有和AUTOEXEC.BAT一樣的作用。如果巧妙安排完全可以達(dá)到修改系統(tǒng)的目的！
5.AUTOEXEC.BAT啟動(dòng)： 這個(gè)就沒的說了，應(yīng)該是用戶再熟悉不過的系統(tǒng)文件之一了。每次重新啟動(dòng)系統(tǒng)時(shí)在DOS下啟動(dòng)。惡意的程序往往會(huì)利用這個(gè)文件做一些輔助的措施。
不過，在AUTOEXEC.BAT文件中會(huì)包含有惡意代碼。如format c: /y等；由于BAT惡意程序的存在，這個(gè)機(jī)會(huì)大大地增加了。譬如最近很流行的SirCam蠕蟲也利用了Autoexec.bat文件。
說明： 4、5這兩個(gè)文件都是批處理文件，其作用往往不能完全寫出來，因?yàn)榕幚淼挠锰幵贒OS時(shí)代的應(yīng)用太廣泛，它的功能相對(duì)來說也是比較強(qiáng)大。想利用這兩個(gè)文件，需要對(duì)DOS有一定的了解。