什么时候需要 Autoruns
Windows 登录后，一些程序会自己打开；有些软件没有窗口，却在后台运行更新器、同步服务或托盘组件。任务管理器里的“启动应用”适合日常开关，但排查范围更广时，可以使用微软 Sysinternals 的 Autoruns。
它把多种自动加载入口集中展示出来：登录启动、资源管理器扩展、计划任务、服务、驱动等。它更像一张“从哪里启动”的地图，而不是当前进程列表，也不是衡量开机耗时的性能分析器。
本文采用一个保守而实用的顺序：先观察并保存记录，再核对条目，一次只改变一个明确的目标，最后验证。 不追求把列表清空。
文中两张截图来自公开的旧版界面，均在图下注明来源，用于辨认标签页和字段；不是本文作者机器的检查结果。新版的图标、菜单位置及条目内容可能不同。
下载和首次打开
从 微软官方 Autoruns 页面 下载压缩包，解压到固定目录。常见的 x64 Windows 使用 Autoruns64.exe ；命令行程序 Autorunsc64.exe 与图形界面不是同一个入口。选择与你系统架构匹配的程序。
先打开图形界面，等待枚举完成。需要查看或修改机器级条目、遇到权限不足时，再以管理员身份运行。第一次使用时阅读软件许可提示。
不要在扫描尚未完成时根据暂时空白的列表下结论；也不要为了拍截图或整理列表而随手取消勾选。
先读懂界面：位置、名称、发布者、路径
Figure 1: Autoruns 旧版界面：上方按入口分类，中间是条目列表，下方显示所选项的详情。截图来源：Core Technologies，原始链接见下文。
图片出处：Core Technologies：Which Programs Start Automatically?。截图中的勾选状态只是演示环境的状态，不是推荐照搬的配置。
阅读一个条目时，建议按下面的顺序核对：
| 字段或区域 | 应该确认什么 |
|---|---|
| 分组位置 | 这个条目来自哪一处注册表、启动目录或其他入口？ |
| Autorun Entry | 名称能否对应到你安装的软件？不要只凭名称判断。 |
| Description | 描述是否与软件用途一致？描述本身不是可信证明。 |
| Publisher | 发布者是谁？若启用签名验证，验证结果是什么？ |
| Image Path | 实际加载哪个文件，目录是否符合预期？ |
| 底部详情 | 完整路径、命令参数和文件信息有什么补充？ |
例如，一个名称叫“Update”的条目几乎没有判断价值。把它的路径、发布者和完整命令放在一起，才可能确认它属于显卡工具、办公软件，还是其他程序。
还要注意：条目存在，不等于它此刻正在运行；可执行文件名相同，也不等于启动参数相同。
按问题选标签，不必从 Everything 一路翻到底
| 现象 | 优先查看 |
|---|---|
| 登录后自动弹出软件或出现托盘图标 | Logon |
| 过一段时间又自动启动，或周期性出现任务 | Scheduled Tasks |
| 无窗口的后台功能、同步或更新组件 | Services |
| 右键菜单、资源管理器相关扩展异常 | Explorer |
| 明确与硬件驱动有关的问题 | Drivers，谨慎处理 |
这是一条排查路线，不是严格的一对一对应关系。同一个软件可以同时安装登录项、任务和服务。关闭其中一个入口后，其他入口仍可能启动它。
有明确目标时，先使用界面的搜索或 Quick Filter（若当前版本提供）输入软件名、厂商名或路径片段。目标越具体，越不容易把无关组件一起改掉。
用过滤选项缩小范围，再核对签名
在 Options 中查看隐藏 Windows/Microsoft 条目的选项。微软文档提到的 Hide Signed Microsoft Entries 可以帮助聚焦第三方条目；具体文字以当前版本为准。
隐藏只改变显示，不会禁用这些条目。 排查系统自身组件时，应把相关过滤关闭，避免把“看不到”误认为“不存在”。
在扫描选项中开启代码签名验证，可以增加判断依据。验证成功说明签名检查通过，不代表程序必然安全；没有签名或验证失败，也不自动等于恶意程序。
综合看路径和软件来源。例如，工具确实是你安装的、文件位于预期目录、发布者与下载来源一致，这些信息可以互相印证。遇到陌生条目，先查清用途，再考虑操作。
真正动手：先禁用，不急着删除
下面是一个建议练习场景，不是实际测速报告：某个你明确认识的普通应用，每次登录都会弹出，而你希望需要时再手动启动它。
- 先在该应用自己的设置里寻找“开机启动”开关。应用原生设置通常更容易维护。
- 在 Autoruns 中找到对应条目，核对发布者、路径和命令参数。
- 用
File → Save保存当前扫描记录，另记下准备修改的条目名称、入口位置和原来的勾选状态。 - 取消该条目的勾选，先不使用
Delete。 - 按它的触发条件验证：登录项可通过注销再登录或重启验证；计划任务应按其实际触发条件观察。
- 检查应用能否手动打开，以及通知、同步或其他需要的功能是否受影响。
- 如果出现副作用，回到原条目重新勾选，并再次按对应触发条件验证。
取消勾选是禁用启动入口，不等于立即终止已经运行的程序。不要因为窗口没有立刻消失，就认定操作无效。
保存的扫描记录便于查看和比较，不是可以一键恢复所有系统配置的完整备份。删除条目后的恢复方式取决于原入口，因此入门阶段优先使用可撤销的禁用。
Services：能看见，不代表适合关掉
Figure 2: Services 标签页的旧版截图。它展示服务条目及其路径，不是“可以关闭的服务清单”。截图来源：BleepingComputer。
图片出处：BleepingComputer：Autoruns 下载与截图页。
服务可能承担网络连接、设备支持、备份、同步或组织管理功能。一个服务即使来自第三方，也可能是当前工作环境所必需的。
因此，日常精简应从用途明确的普通应用登录项开始。对安全软件、磁盘与存储驱动、身份验证、网络接入和公司管理组件，不要根据“看起来没用”批量取消勾选。需要调整时，先查对应产品的配置说明和依赖。
遇到陌生条目，先跳转到来源
选中条目后，使用菜单中的 Jump to Entry 定位它的配置来源；使用定位文件的相关命令查看实际文件。可以先从条目的上下文菜单寻找，不必记住所有快捷键。
核对顺序可以固定下来：
- 这个文件是否实际存在？路径与命令参数分别是什么？
- 它属于哪一个已安装的软件？能否在软件设置或卸载记录中对应上？
- 文件属性中的公司、版本、签名能否与来源相互印证？
- 软件被禁用或卸载后，是否有其他服务、更新器或任务重新创建了该入口？
看到 File not found 时，先核实路径和命令解析，不要马上判定为病毒。卸载残留可能产生这种现象，某些复杂命令的识别也可能造成误导。最终应以具体文件、配置和行为为依据。
列表颜色适合帮助你注意异常，不适合单独决定是否删除。
VirusTotal：分清查询哈希和上传文件
Autoruns 可以结合 VirusTotal 检查。需要区分两件事：查询文件哈希对应的已有报告，以及把未知文件上传给第三方分析。
普通排查可以先完成路径、来源和签名核对。若启用 VirusTotal，阅读相关条款并确认是否开启了文件提交选项；涉及公司内部程序或含敏感信息的文件，不要无意中上传。
“没有检出”不是安全保证，单个引擎报警也不是最终结论。它应当作为额外线索，而不是替代上下文判断。
用 Autorunsc 导出便于检索的清单
如果希望在编辑器、表格或脚本里查看启动项，可以使用同一压缩包里的命令行程序。下面以 PowerShell、x64 程序和已完成首次许可确认的环境为例：
# 在 Autoruns 解压目录中执行；本命令枚举并导出，不禁用条目。
.\Autorunsc64.exe -a '*' -c |
Set-Content -Path .\autoruns-before.csv -Encoding UTF8
-a '*' 选择所有支持的自动启动类别； -c 输出 CSV。需要签名验证时，可以按官方文档增加 -s 。
导出文件适合做本机检查记录：修改前保存一份，验证后再保存一份，按条目名称、位置和路径比较。报告可能包含用户名、安装路径和启动参数，公开分享前先检查内容。
一套可以重复使用的检查流程
描述症状
→ 选择对应分类并搜索目标
→ 保存扫描记录
→ 核对文件路径、发布者、签名和用途
→ 一次禁用一个明确的条目
→ 按实际触发条件验证
→ 保留修改，或重新勾选恢复
Autoruns 最有价值的地方，是把分散的启动入口放到一起。好的结果不是“少了几十项”，而是你能解释某个程序为什么启动、修改影响了什么，以及出了问题如何恢复。
参考与图片来源
- Microsoft Learn：Autoruns 官方下载、功能和命令行参数。
- Core Technologies：Autoruns 主界面截图原文。
- BleepingComputer：Services 界面截图来源。
图片版权归相应权利人所有，本文仅引用界面截图讲解操作。正文为独立整理的使用指南；截图不代表当前软件版本，也不表示对图中条目给出禁用建议。