注册表项HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\Current Version\Winlogon\Userinit
该值项类型为字符串值，定义了用户注册进入时执行的初始化程序。在用户注册时，注册管理程序（Winlogon）启动该初始化程序，默认值是Userinit.exe。该程序首先运行注册脚本，建立网络连接，然后启动用户界面程序（Explorer.exe）。用户可以替换该初始化程序为自己的初始化程序（当然，病毒也可以做到）。一般地，用户自己的初始化程序可以在处理完自己需要进行的工作后，再调用Userinit.exe程序即可。
我们需要检查的是，Userinit值项的值是否是Userinit.exe。同时检查\Winnt\System32下的Userinit.exe文件的大小和时间是否是正常的。
