AutoRuns是最强的Windows系统启动项管理软件，不管启动项在哪里都可进行管理，包含了驱动、服务、引导、动态链接库、网络服务、用户登录等等，即便是镜像劫持等都可以管理，所以不论是管理启动项，还是要找到一些恶意软件的隐秘自启行为都可以使用AutoRuns中文版，比任何工具都要强大。

AutoRuns软件功能

knowndlls。
系统中已知的dll文件。
资源管理器。
对应资源管理器登记表上的子项和值项。
winlogon。
winlogon登录项目对应的自动登录表项目和价值项目。
规划任务。
和开始-程序-附件-系统信息-任务计划内容完全一致，一般为空。
打印监控器。
显示在printspooler服务中加载的dll文件。一些恶意软件可能利用该服务项目启动。
驱动。
也就是说，对应hklm\system\curentcontrolset\services的启动自动驱动程序的项目。同样，另一个病毒经常来的乐园。
图片劫持。
这个标签下的内容对应的应用程序，接通电源后被系统强制劫持而无法运行(也就是我们经常说的ifeo，即系统所具有的应用程序图像劫持功能)
英国网络浏览器。
对应的是ie所有浏览器的对象(bho)、网络url地址检索钩、各种ie工具棒、ie常用工具栏按钮对应的注册表项目和注册表值。
启动执行。
系统登录前启动的当地图像文件(即windows图像文件的名称)和自动启动项目的情况。从形象上看，瑞星系统登录前扫描的自动启动项目。
服务。
也就是说，与hklm\system\curentcontrolset\services自动启动服务项目。具有启动自动启动功能，通过rootkit技术可以隐藏运行，是病毒(流氓软件)最喜欢的地方。
appinit。
初始动态链接库是启动时系统加载的必要的初始动态链接库文件。除了卡巴斯基等少数软件需要通过添加dll文件来实现从启动到接管系统底层的目的外，一般来说这个项目是空的。
winsock提供商。
显示已注册的winsock协议，包括winsock经营者。由于目前只有很少的工具可以去除项目下的内容，恶意软件经常伪装成winsock服务提供商来实现自我安装。autoruns可以卸载该项目下的内容，但不能禁用。
lsa提供商。
lsa全称localsecurityauthority-本地安全授权，windows系统中相当重要的服务，所有安全认证相关处理都必须通过该服务。从winlogon.exe中获取用户的帐户和密码，然后通过密钥机制处理，与存储在帐户数据库中的密钥进行比较，比较结果一致，lsa认为用户的身份有效，用户可以登录计算机如果对比结果不匹配，lsa认为用户身份无效。此时，用户无法登录电脑。

autoruns怎么用

autoruns程序主界面如下图所示

工欲善其事，必先利其器。由于软件首次使用时，默认字体是8号字，比较小，对于近视眼的同志来讲简直是折磨。按照下图步骤，在弹出的对话框中把字体调到10号字以上吧（可惜的是菜单和标签的中文字体大小不能更改，凑活用吧）

调整字体后，我们放眼睛望去，可以见到15个标签，列表下的内容全部是用类似注册表编辑器的方式显示的。 

用Autoruns禁止开机自动的进程

点击“Logon”

了解“Autoruns”右键菜单。如图所示：

禁止程序自动启动操作方法1

去掉程序前面的“√”然后“保存”退出。

禁止程序自动启动操作方法2

选择“services”选项卡。

选择需要禁止启动的服务项，去掉前面的“√”保存。退出

禁止程序自动启动操作方法3

选择需要禁止的程序，右键，点击“jump to image”

删除该程序！

注：

方法3主要适用与某些软件内含有的流氓程序，本身并不对我们使用的软件产生影响。但属于那软件的情况下使用。使用Autoruns在修改后均需要保存才能生效。请大家确认禁止的程序为自己不需要的且不为系统关键进程。防止系统崩溃。

AutoRuns是一款Sysinternals公司出品，可查看、删除注册表及Win.ini文件等处的自启动项目。如果怀疑有木马或病毒或者系统启动太慢，用AutoRuns工具看看自启动项吧。

使用技巧：

那些红色的、黄色的、没有出版商的都比较可疑，可以重点排查。