Autoruns的使用说明（autoruns v11.70）
http://www.docin.com/p-312909686.html
msconfig只显示HKLM\software\microsfot\windows\currentversion\run和HKCU\software\microsfot\windows\currentversion\run下内容
autoruns显示注册表那些位置的启动项可以在Autoruns下看到，如winlogo下的shell等
最新版本11.7共有17个标签，早期版本15个标签Autoruns和系统msconfig的区别
Everything：显示所有启动项目
Logon：（普通启动程序）
Explorer：对应资源管理器在注册表上的子项和值
Internet Explorer：IE浏览器加载项，包括帮助对象BHO和网络URL地址搜索钩子，各类IE工具条，常用工具栏按钮对应的注册表项
Scheduled Tasks： 和开始——程序——附件——系统信息——任务计划中内容相同
Services：服务程序，对应HKLM\system\CurrentControlSet\Services下的开机自启动服务，依靠RootKit技术可隐蔽运行。
Drivers：驱动程序，对应HKLM\system\CurrentControlSet\Services下的开机自启动驱动程序
WinsockProviders：Winsock提供者，显示已注册的WINSOCK协议，包括WINSOCK服务商，仅很少工具能移除该项下内容，Autoruns能卸载此项下内容，但不能禁用。
Print Monitors：打印监视器，显示Print Spooler服务中被加载的DLL文件。
LSA Providers（LSA提供者），Local Security Authority—本地安全授权，系统重要服务，所有安全认证相关处理都要通过这个服务，它从Winlogon.exe中获取帐号和密码处理后同帐号数据库中密钥对比，对比结果匹配LSA就认为用户身份有效允许登录，不匹配则认为用户身份无效，不能登录。
Boot Execute：启动执行，在系统登陆前启动本地映像信息，如瑞星的系统登录前扫描启动项就在这个位置
Image Higacks：映像劫持，即IFEO，系统强制劫持而不能运行劫持的程序
Applnit：初始化动态链接库，开机时系统加载的必要初始化动态链接库文件，默认为空，卡巴杀毒会加载到这个位置
KnownDLLs：系统中已知的DLL文件
Winlogon：WindowsNT用户登录程序，WinLogon登陆项对应的自启动注册表子项及值
Network Providers：
Sidebar Gadgets：
Codecs：
file文件菜单：
find，可以通过文件名查找启动项，如通过procexp或其它工具发现不明的exe或dll，Sys文件等，可查找它的启动项来对比数字签名或在线搜索该项
open，打用用于查看以前保存的信息，不能过滤和编辑，刷新后现在现在系统的信息，
Save，只状当前态，用于以后比较新增不同项再找到病毒启动项
Analyze Offline System，载入其入离线系统的启动项，如在PE下。
Compare，用于打开一个已保存的启动项日志来来对比，把差异的当前启动项用绿色标识出来。
注：此功能不错，我可以先保存一个相同版本正常的日志文件，复制到有问题的机上和它的当前启动项一比较，绿色的就可以放心大胆的删除了，还得注意打补丁新增的系统文件。
Refresh，刷新
Entry项目菜单
Delete，删除当前选择的启动项
Copy，复制当前启动项的一些信息到剪贴板，如复制可疑项的路到写字板或记事本可快速找到，根据显示的路径可快速找到它删除。
Jump to Entry ，跳到当前的启动项在注册表的位置
Jump to Image，跳到当前启动项文件在硬盘位置
Search Online，在线搜索启动文件名称
Process Explorer ，用Process Explorer查看进程,需要先在procexp.exe设置把任务管理器替换为procexp.exe
Properties，查看当前启动项的指向文件的属性，同右击属性功能相同，包括常规，兼容性，数字签名，安全，详细信息，以前版本等，数字签名里可查看签名的详细信息，如HASH值，右击启动——属性——数字签名——在签名列表点签名项——详细——高级，可查看HASH值
Options选项菜单
Filter Options，过滤选项，
Include empty locations，包含空的启动位置，即使该启动位置在注册表没有启动项，也显示出的该注册表位置
Show only per-user locations
Verify code signatures，验证代码签名
Hide Microsoft entries 隐藏微软项
Hide Windows entries 隐藏windows项
Font，设置字体
User菜单，根据系统用户的不同该菜单内容也不相同，选择其它用户，可以查看本机其它用户的启动项，用户不同启动项也有不同。
Help菜单，帮助和查看版本。
1.所有Image Path显示为File not foud的项都可以删除。
2.勾选表文件在系统启动时自动运行，Description是文件描述栏，Publisher是数字签名和文件厂商栏，Image Path是文件在硬盘的位置，TimeStamp是文件在修改时间
3.删除启动项的几种方法与区别（在Autoruns 11.7下测试）
方法一：右击启动项点删除和点菜单栏的Entry（项目）——删除效果相同：注册表启动项被删除/硬盘的文件仍在/Autoruns里看不到
方法二：取消启动项前勾，注册表里启动项被删除，硬盘上文件仍在，Autoruns里还可看到只是没勾，勾选后注册表删除的项会被还原
4.点击任一启动项，可以下面的信息栏，查看启动项的文件名称，文件大小，文件描述，文件修改时间，文件厂商，及版本号
5.设置完后刷新列表可显示设置后的启动项。方法：File——Refresh
6.通过Autoruns查找驱动级和服务级隐藏的木马和流氓软件：
校验所有启动项数字签名，再隐藏微软已签名微软项，排除第三方已签名的程序，只查看剩下未通过签名的驱动和服务就可以基本判断那些服务和驱动程序可疑了。
7.数字签名和过滤不显示微软windows文件！
运行Autoruns——options——Filter Options，勾选Verify code signatures，并勾选Hide Windows entries，即校验代码数字签名和隐藏微软windows文件。
没通过数字签名的一般会淡红色显示。
8.快速跳到有问题的项注册表或文件位置
右击有问题的项，点Jump to Entry可跳到注册表位置，点Jump to Image可跳到文件位置！
用Auturuns揪出流氓软件的驱动保护
http://www.docin.com/p-499774356.html
表现：有的软件总是删不掉，或删除后不久又会再生。
原理：这些病毒和流氓软件使用了，
病毒常见的保护技术：进程保护，交叉感染，自启动，自我恢复，文件隐藏，进程注入，驱动保护（目前最有效的保护方法就是底层驱动级保护，在drivers目录下增加一个或多个sys文件，并在HKLM\SYSTEM\CurrentControlSet\Services下建与其相关的项把启动级别做的很，安全模式下也能运行。）（也有很少用rundll32运行个DLL文件作驱动的）。
这些驱动会拦截和过滤对注册表和文件在操作，当发现是对流氓或病毒软件自身相关程序和注册表操作时应会返回一个True值，如果自身文件被删除，就会通过备份或网络下载来恢复。一般这些需要在DOS下才能删除。
驱动程序一般位于C:\windows\system32\drivers目录下（该目录正常都有200个左右驱动），通过HKLM\SYSTEM\CurrentControlSet\Services\下新建项来启动（注：驱动和服务都在该项下创建值来启动），属于服务的，可在服务在MMC窗口中看到，属于驱动的需要专门工具才能看到。
查找可疑驱动方法：
1.保存文件列表，手工对比查看多出的驱动文件。（不好用，需要有经常保存的驱动文件列表）
2.查看文件生成日期，（生成日期能被修改，仅能做参考）
3.查看文件属性里公司信息（部分病毒会冒充MS的，也只能做参考）
4.通过文件夹监视工具（Filmon太复杂，其它无法监视出进程）
5.推荐：用Autoruns软件，对比数字签名来找到可疑项，并结合前面四种方法判断！
查看Winsock Providers（Winsock提供者），LSA Providers（LSA提供者），Drivers（驱动），Services（服务）下面文件，勾选Options——Filter Options下“验证代码签名”和“隐藏微软项”
找出有问题的驱动，用IceSword或PChunter把相关的注册表键值删除重启电脑，驱动就失效了，再用其它工具删除驱动和它保护的病毒或流氓文件。