關於userinit.exe
文件名: userinit.exe
發行者: Microsoft Corporation
數字簽名方: Microsoft Windows Verification PCA
啟動類型: 注冊表
路徑:%system%\userinit.exe
位置: HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\winlogon\userinit
描述：Userinit.exe是Windows操作系統一個關鍵進程。用於管理不同的啟動順序，例如在建立網絡鏈接和Windows殼的啟動。 Userinit.exe也有可能是黑客偽裝的木馬程序。正常Userinit.exe程序在系統啟動完成後就會自動消失。如果開機後很長時間都沒有消失 就有可能是木馬程序，當userinit.exe被病毒破壞或userinit.exe的注冊表鍵值被病毒修改，可能出現windows系統不能正常登錄 或輸入登錄用戶名、口令後系統立即注銷，再次嘗試登錄，又會再次注銷。
異常的userinit當userinit.exe被病毒替換，或注冊表的HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon鍵下userinit的正常值C:\WINDOWS\system32\UserInit.exe 被修改，系統就可能出現登錄異常。表現為：win登錄時，反復注銷，或者無法啟動到windows桌面，按ctrl+alt+del，調出任務管理器，通 過任務管理器啟動explorer.exe，反而可以啟動到桌面。
此時，使用金山清理專家就會檢出異常的userinit。這通常不是孤立的現象，很可能與木馬下載器、機器狗等有關，使用金山清理專家或金山毒霸會檢測到更多病毒或木馬。
解決方案：金山清理專家可以修復異常的userinit破壞的注冊表鍵，但不能修復被病毒破壞的userinit.exe文件。因為，金山清理專家不可以復制傳播未經知識產權所有人（對“異常的userinit”來說，指微軟公司）授權的程序。
這種情況下，我們有幾種方法來修復被破壞的userinit.exe。如果你發現此文，你一定不需要重裝系統，順便BS一下遇事就重裝的
修復異常的userinit，首先應該使用金山毒霸和金山清理專家把其它惡意軟件清除干淨，最後再修復userinit.exe。方法1,從其它正常的電腦把%system%\userinit.exe復制到U盤，再恢復到故障電腦。使用該方法的前提是windows可以啟動，只是不太容易登錄，比如你也可以通過任務管理器啟動explorer.exe，從而顯示桌面後再操作。
方法2,使用winpe光盤（比如常見的深山紅葉工具光盤、ERD急救光盤等）急救首先按delete鍵進入BIOS，確認當前的啟動方式是否為光盤啟動。按“+”“—”修改第一啟動為光驅，並且按F10鍵保存後退出並且重啟。如圖所示： 
001.png (13.61 KB)
2008-1-16 12:21
重啟後WinPE的啟動時間比較長，請耐心等待。如圖所示： 
002.png (3.3 KB)
2008-1-16 12:21
進入WinPE虛擬出的系統後找到裡面的注冊表編輯工具定位到注冊表項：【HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft \ Windows NT\CurrentVersion\Image File Execution Options】下找到userinit.exe項，將其刪除。（從截圖可以看到病毒將userinit.exe劫持到不存在的文件上面會導致XP系統反 復注銷） 
003.png (31.05 KB)
2008-1-16 12:21
此步操作可能沒有找到病毒劫持的 userinit.exe項目，接下來定位到注冊表項【HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon】下，找到裡面的Userinit鍵值，將其數據修改為系統默認的值『C:\WINDOWS\ system32\UserInit.exe,』如圖所示：
004.png (41.4 KB)
2008-1-16 12:21
接下來我們需要將WinPE盤裡面的 userinit.exe文件替換系統目錄下的文件，以便確保不是病毒修改替換過的文件。方法是浏覽光驅找到I386目 錄下system32目錄，右鍵單擊userinit.exe文件後選擇『復制到』，將默認路徑X:\windows\system32輸入對話框中(X 為系統盤符，通常為C盤) 如圖所示： 
005.png (51.34 KB)
2008-1-16 12:21
如果在系統目錄下存在userinit.exe文件的話，會有如下提示。建議點擊“是”以避免之前文件被病毒修改。如圖所示： 
006.png (42.47 KB)
2008-1-16 12:21
當注冊表修改和文件替換均完成後重啟計算機，反復注銷的現象即可解決。（注意取出WinPE光盤，以避免之後反復進入WinPE系統）方法3,使用windows安裝光盤，引導系統到故障恢復控制台，再從安裝盤中恢復userinit.exe有關windows故障恢復控制台的使用方法，參考這裡：www.45it.com/Article/pcedu/Window/windowszh/200512/2972.htm，本文節選了該文的部分關鍵內容。
windows安裝光盤引導至
按R，選擇啟動到故障恢復控制台
如果是雙系統，會顯示兩個windows的路徑，選一個正確的就可以了。需要輸入管理員口令，這個口令安裝這個系統的人應該是清楚的，如果不知道，嘗試下直接回車，估計不少人是空口令。
執行expand D:\i386\USERINIT.EX_ C:\windows\sytem32\USERINIT.EXE（這裡假設D為光驅盤符，你的系統安裝在c盤windows目錄。）
本文最後提供提供該文件，是winxp的userinit.exe(可直接到down.45it.com下載)，如果你找不到現成的正常文件替換，直接下載一個解壓到故障電腦的windows\system32目錄覆蓋受損文件。
