| 用户级 | %APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup |
|---|---|
| 全局级 | C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp |
| 常见形态 | .lnk（读 Target）、.bat/.vbs/.ps1 |
| 辅助入口 | 任务管理器-启动，msconfig 启动项 |
列出启动项并展开快捷方式目标
列出启动项并展开快捷方式目标
Get-ChildItem "$env:APPDATA\Microsoft\Windows\Start Menu\Programs\Startup" -Force
Get-ChildItem 'C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp' -Force
$sh = New-Object -ComObject WScript.Shell
Get-ChildItem "$env:APPDATA\Microsoft\Windows\Start Menu\Programs\Startup\*.lnk" | ForEach-Object { $sh.CreateShortcut($_.FullName).TargetPath }快捷方式必须展开 TargetPath：恶意样本常伪装成 OneDrive、输入法之类熟悉的名字。