用途：面向安全事件调查、威胁狩猎与检测规则构建，使用 Sysinternals Autoruns 系统化梳理 Windows 自启动扩展点（ASEP），定位恶意软件持久化痕迹。
主要能力：Autoruns 从 18 类以上 ASEP 提取数据，包括 Run/RunOnce 键、服务、计划任务、驱动、Winlogon 项、LSA 提供程序、打印监控、WMI 订阅和 AppInit DLL；可验证数字签名以过滤微软签名项；比较功能通过基线差异发现新增持久化；集成 VirusTotal 查询哈希信誉；使用 -z 标志进行离线磁盘镜像取证分析。
使用方式：需准备 Sysinternals Autoruns（GUI）与 Autorunsc（CLI）、目标系统管理员权限、Python 3.9+、VirusTotal API 密钥以及干净基线导出。示例命令为 autorunsc64.exe -a * -c -h -s -nobanner *，输出 CSV 后由脚本解析，对未签名、缺失元数据、位于临时或公共目录、以及包含 powershell、cmd /c、wscript、mshta、regsvr32 等 LOLBin 启动字符串的条目进行标记。
适用场景：安全事件响应中排查持久化、制定检测规则或狩猎查询、SOC 分析师按结构化流程开展该类型分析、验证相关攻击技术的监控覆盖。
限制与验证标准：需管理员权限；VirusTotal 信誉检查依赖 API 密钥；基线对比需要事先导出干净基线。完成后应确认所有 ASEP 类别已扫描编目、未签名条目已标记待查、可疑路径与 LOLBin 启动字符串已突出显示、基线比较能识别新增持久化机制。分类依据明确用途归为安全与审计。