大概两个月前，我发现每次开机登录Windows后，屏幕上总会有一个黑色的CMD窗口一闪而过。弹窗速度极快，几乎看不清窗口内内容，但每次开机都会稳定复现。
作为一名对系统“洁癖”比较严重的用户，这种不明来历的弹窗让我非常不舒服：
是病毒？是木马？ 是某个流氓软件的后台进程？ 还是系统被入侵了？
带着这些疑问，我开始了断断续续的多轮排查。
一、第一轮排查：检查开机启动文件夹
我的第一反应是检查最常见的开机启动位置——shell:startup文件夹。
按下 Win + R，输入 shell:startup，回车打开。文件夹是空的。
接着检查 shell:common startup（所有用户的启动项），依然是空的。
第一轮排查，无果。
二、第二轮排查：任务计划程序初筛
打开任务计划程序，逐条浏览所有已创建的定时任务，初步筛选后没有发现任何可疑的第三方开机触发任务。第二轮排查，再次落空。
三、第三轮排查：全盘检索批处理脚本
既然CMD窗口出现了，会不会是某个批处理脚本（.bat或.cmd）在开机时被执行了？
我打开 Everything，搜索了所有可能在开机时被调用的脚本文件，包括：
*.bat
*.cmd
包含“startup”、“boot”、“init”等关键字的文件
搜索结果是：确实找到了一些脚本，但逐一检查后，没有发现任何可疑的启动脚本。
第三轮排查，仍然没有收获。
四、第四轮排查：二次复盘任务计划，初次误判火绒
因为开机自启主要是通过开机自启文件夹及任务计划来执行，开机自启和脚本已确认没有问题，那么大概率还是在任务计划，再次扫描排除掉微软的相关服务，软件任务计划很少，尝试禁用火绒的Huorong PopBlock任务，重启测试后，好家伙居然消失了。
为了确认问题确实来自这个任务，我做了简单的测试：
禁用任务
在任务计划程序中右键 → 禁用 → 重启电脑 → CMD弹窗消失 启用任务
再次启用 → 重启电脑 → CMD弹窗恢复
当时便误以为问题根源就在火绒身上，有种众里寻他千百度的灯下黑之感。可在多次开关机反复复测后结果却出现反转：即便禁用该任务，开机 CMD 黑框依旧会一闪而过，说明本次闪窗问题并非由火绒计划任务导致，之前只是开机进程时序巧合造成的误判。
五、终极排查：Process Monitor 抓日志定位真实源头
常规排查手段全部踩坑之后，我选择使用系统进程抓包工具 Process Monitor 捕获开机全过程进程日志，精准定位 CMD 进程的父程序，操作步骤如下：
1.以管理员身份打开Process Monitor，点击菜单栏 Options → Enable Boot Logging，在弹出的对话框中点击“OK”，然后重启电脑。
2.系统登录后，再次以管理员身份打开Process Monitor，它会自动加载开机日志。点击 File → Save，将日志保存为 .pml 文件。
3.打开保存的日志文件，找到本次开机出现的 CMD 进程（PID：7984）；
4.通过「Tool - 进程树」查看该 CMD 进程的父进程，最终查到父进程 PID 为 11744，归属软件为 WorkLink。
初步验证
1.打开 WorkLink 软件设置，取消勾选开机自启选项，多次重启电脑测试，CMD 闪窗现象彻底消失； 2.直接手动双击运行 worklink.exe，会立刻弹出 CMD 黑色窗口，完全复现故障现象；3.即便重新启用火绒 Huorong PopBlock计划任务，只要关闭 WorkLink 开机自启，就不会再出现开机 CMD 闪窗。
六、溯源：为什么常规启动项里完全找不到 WorkLink 的自启记录？
为了搞清楚该软件的隐蔽自启方式，我依次做了多层排查验证： 1.再次核对两大开机启动文件夹：shell:startup、shell:common startup，无任何相关快捷方式； 2.重新遍历全部任务计划条目，没有检索到 WorkLink 相关的定时触发任务； 3.依次查看三处最常用的注册表自启路径：
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunHKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunHKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run
