Windows 用久了都懂那种感觉。
你只装了一个"看图工具"，结果右键菜单突然多了三行；开机变慢十秒；任务管理器背景里蹲着两个你从没听过的服务；打开一个 JPG 默认跳出来的还是"某某超清看图 Pro"；连"此电脑"里都被塞了一个假装是本地磁盘的网盘图标——你把主程序卸了，这些东西还在。
系统清理软件那么多，为啥这些残留没人管？
因为大部分"清理工具"都在做表层的活：清缓存、清临时文件、清 Cookie。而流氓软件最狡猾的手段，恰恰藏在系统的结构层——注册表深处的右键菜单项、计划任务、服务、Shell 扩展、浏览器 Native Messaging Host。这些地方主流清理工具要么不敢碰，要么根本没做识别名单。
今天要写的是刚被小众软件推上首页的开源新工具 RogueCleaner，中文名"流氓软件克星"。3MB 单文件 exe，专治国产软件卸载后阴魂不散。
为啥旧办法都不管用
先聊聊为啥这活这么难。
如果你自己动过手清残留，大概试过下面这几条路：
路子一：控制面板卸载 + 重启。最原始的办法。问题是流氓软件的卸载程序 90% 只删自己的主目录，注册表里的自启项、计划任务、服务、右键菜单条目——一个都不动。有些"高情商"卸载器还会顺手往浏览器扩展策略里塞一条永久留守条款。
路子二：CCleaner / 优化大师。老牌大清理。清缓存、清 Cookie、清临时文件确实很猛，但你打开它看看有没有一个页面叫"右键菜单管理"？没有。有没有"计划任务清理"？没有。它是卫生工，不是拆迁队。
路子三：ContextMenuManager。GitHub 上老牌的右键菜单管理神器。但它只管右键菜单这一件事。你还得再找一个管服务的，再找一个管计划任务的，再找一个管浏览器扩展的。四五个工具串起来才能干完一个卸载器该干的事。
路子四：Autoruns（Sysinternals）。微软官方的深度扫描器，能列出的项目比 RogueCleaner 多得多。问题是它是给运维和逆向人员看的：几千条原始条目、英文文件路径、无分类、无风险评级。普通用户打开界面就懵了：这一条到底是系统组件还是流氓软件？删了会不会开不了机？没有识别名单，就没有敢下手的勇气。
路子五：手动改注册表。你要知道右键菜单藏在 HKCR\Directory\shell 和 HKCR\*\shellex\ContextMenuHandlers 一堆分支下；开机启动至少要看四个位置；服务在 services.msc；计划任务在 taskschd.msc；文件关联又是另一套 GUID 迷宫。全部手工翻一遍？普通用户一小时都翻不完，还容易删错东西开不了机。
RogueCleaner 想解决的，就是这个"没人接得住的中间层"：比控制面板深、比 Autoruns 好用、比手动改注册表安全。
它到底扫哪些地方
作者 aakk007 把要挖的坑列得很清楚。核心是六大类，加两个补充。
1. 资源管理器右键菜单和 Shell 扩展
你右键点一个文件夹弹出的那个长菜单里，一半的条目是流氓软件塞进来的。RogueCleaner 会扫两个位置：一是经典的 Shell 扩展注册项，二是 Windows 11 新的右键菜单命令。
这里坑最深的其实是 Shell 扩展，因为它是 DLL 注入进资源管理器的——你没打开那个软件，但每次右键都在加载它的代码。资源管理器卡顿的锅十有八九在这。
2. “此电脑"里的伪装磁盘图标
打开"此电脑”，除了 C/D/E 盘，你有没有看到过某某网盘、某某同步盘、某某手机助手的图标躲在磁盘列表里？
这些是 namespace 注册项塞进去的伪磁盘，本质是一个可执行程序的快捷方式，但它们伪装成"我是你的一个盘"来骗点击。RogueCleaner 会把它们和资源管理器导航栏、网络位置里的类似伪装项一起挖出来。
3. 开机自启（注册表 + 启动文件夹）
自启的位置至少四个：
HKLM\Software\Microsoft\Windows\CurrentVersion\RunHKCU\Software\Microsoft\Windows\CurrentVersion\RunRunOnce系列Startup启动文件夹
普通任务管理器只显示前两个的一部分。RogueCleaner 全都扫。
4. Windows 后台服务
服务是流氓软件最喜欢的藏身处。因为服务运行不需要用户登录、不显示在任务栏、开机自启，还能给自己起名叫 SystemUpdateHost 这种一眼像系统组件的假名。
RogueCleaner 会把服务和它的可执行文件路径一起亮出来，结合内置识别名单标出哪些是"某某网盘保驾护航服务"这种 100% 该清的东西。
5. Windows 计划任务
计划任务是自启的升级版本：可以定时唤醒、可以在你上网时触发、可以在你关机前偷跑。很多流氓软件把"每日弹窗一次"和"每周检查更新一次"都做成计划任务，删了主程序都留着。
6. 浏览器扩展 & Native Messaging Host
这是被大部分清理工具忽略的一块。
浏览器扩展策略（Chrome/Edge 的 ExtensionInstallForcelist、ExtensionInstallSources）能让流氓软件强制在浏览器里安装扩展，你在扩展页面点"删除"都删不掉。
Native Messaging Host 更阴——它是浏览器和本地程序之间的桥。流氓软件通过它可以让扩展调用本地程序，实现"扩展本身看着人畜无害，实际背地里在跑一个 exe"的操作。
RogueCleaner 会把 Chrome、Edge、Firefox/Mozilla 的这两类配置全都扒出来。
7. 文件关联劫持
图片、视频、压缩包、Office 文档——这些高频文件的默认打开方式如果被劫持，你双击一次它跳一次广告页。
RogueCleaner 会检查扩展名注册项和"打开方式"历史记录里的残留，特别是那种"程序早卸了，但文件关联还指向那个不存在的 exe"的僵尸条目。
8. 隐藏、不可移除、没有卸载命令的卸载项
控制面板里那种灰色不可选、或者点了卸载没反应、或者根本不出现在控制面板但注册表里存在的卸载记录。
这类最狡猾。RogueCleaner 会单独把它们拎出来，让你决定手动删。
内置识别名单：国产软件全家桶
RogueCleaner 最实用的一点，是内置了大量国产软件的识别规则。这意味着扫出来的每一条条目旁边都有个"人话标签"，不是一串 GUID 和路径。
作者放出来的名单包括：
- 安全类：360 全家桶（安全卫士、浏览器、驱动大师、极速浏览器……）、猎豹 / 金山毒霸
- 办公类：WPS / 金山文档
- 搜索输入：搜狗（输入法 + 浏览器）
- 网盘 / 下载：百度全家桶、夸克全家桶、迅雷
- 通讯：钉、腾讯系（不点名了懂的都懂）
- 国产工具：2345 系列、Bandisoft（BandiView、Bandizip）
- 压缩看图：国产压缩工具、国产看图工具
- 浏览器 / 导航：国产浏览器、导航劫持
- 驱动 / 硬件：驱动人生 / 驱动精灵一类
- 中国特供组件：Flash 中国特供
- 移动设备：手机助手、设备助手
- 影音游戏：国产影音、游戏大厅
- OEM 预装：厂商管家、预装助手
这份名单的含金量在哪？
举个例子。同样是扫到一条"计划任务：AdobeARM"，Autoruns 会告诉你"这是一个计划任务，路径是 C:\Program Files\..."，然后你自己去查这是什么。RogueCleaner 会告诉你"这是 XX 软件的自动更新计划任务，属于识别名单，建议清理"。
从"我不知道能不能删"到"我知道这是啥、也知道该不该删"，用户体验差了一个次元。
清理前自动备份，清后能一键回滚
这是我个人最看重的一点。任何敢在注册表里下刀子的工具，都必须给出一个安全网。
RogueCleaner 的做法是：
清理前：每次操作都自动写一份备份到 流氓软件克星数据\ 目录（就在 exe 同级），按批次编号。备份内容包括被删的注册表项完整快照、被移动的文件路径、服务的启动状态、计划任务的启用状态。
清理后：立刻做一次复扫，验证操作是不是真的生效了。有的注册表项因为权限问题看似删掉了，实际是 UAC 拦截了写操作——复扫能发现这种"假删"。
恢复中心：一个独立页面，列出所有历史批次。想撤销哪一次操作，选中点回滚。回滚会把注册表项恢复、被移动的文件放回原位、服务和计划任务的启用状态还原。
对比一下 Autoruns：它有"禁用"这个软手段（勾选框反选一下），但没有批次概念，你今天禁用了 20 条，明天想回滚，得一条一条记住是哪 20 条。CCleaner 有注册表备份，但整份 .reg 文件导出，恢复的时候是全量还原，会覆盖掉你在备份之后做的任何合法修改。
RogueCleaner 这种"批次 + 精准回滚"的设计，才是给"敢动系统深处"的工具准备的标配。
v2 的架构变化
如果你在网上搜到旧版教程，可能会看到"需要 PowerShell 脚本、需要 rules 目录"这种描述——那是 v1 时代的 RogueCleaner。作者已经在 v2 版本彻底重构。
v1：Launcher + PowerShell 引擎 + 规则文件（YAML/JSON）+ WinRAR SFX 打包。文件多、依赖 PowerShell 执行策略、容易被杀软误报。
v2：C# WinForms 单文件 exe。不再依赖 .ps1、不再需要 rules 目录、不再有 sidecar 文件。整个扫描核心用 C# 多线程实现，规则内置进 exe。
用户视角的变化：
- 下载只需要一个
流氓软件克星.exe - exe 放哪就在哪运行，不装家，不释放到
Program Files - 首次运行只在 exe 同目录创建
流氓软件克星数据\，用来存备份和日志 - 更新走 GitHub Release，程序内自动检查 + 下载 + 替换 + 重启
这套设计是便携式软件的样板：单 exe、无残留、更新透明。开发者也吃了自己的狗粮——绝不做"清理工具本身塞进注册表"这种反讽事。
使用流程：三步
第一步：从 GitHub 仓库（aakk007/RogueCleaner）下载 流氓软件克星.exe。
第二步：双击运行，右键管理员启动（很多注册表项没管理员权限扫不到）。主界面直接点"开始扫描"。
第三步：扫描完成后勾选要清理的条目，点"清理勾选"。
扫出来的东西不一定全是流氓软件。作者在 README 里说得很实在——他说的"流氓软件"标准其实很朴素：
- 让用户知情
- 能方便地卸载
不满足这两条的，就是流氓。但工具扫出来的条目里，有些是你主动装的，比如网盘的右键"上传到某某盘"——如果你确实在用，那就别删。
所以扫描结果不能无脑全选，需要过一遍每一条的人话说明，判断"这是我的还是别人硬塞的"。
关于 Defender 报毒的争议
这是一个必须提的点。
小众软件在推荐时也说过：作者提供的官方 exe 被 Windows Defender 直接拦截，VirusTotal 上有 5 家杀软报毒；青小蛙自己下源码打包后重扫，杀软数量减少了但依然有报。
先说结论：这是国产开源工具几乎必然遇到的"信誉悖论"。
原因有三：
其一，行为模式敏感。RogueCleaner 干的事，从静态分析角度看和"恶意软件持久化清除工具"高度重合——扫注册表 Run 键、扫计划任务、扫 Shell 扩展、扫服务、修改这些位置——这些也是很多恶意软件想做的事。启发式杀软没法从代码语义判断"这是清理工具还是清理其他清理工具的清理工具"。
其二，签名成本高。EV Code Signing Certificate 一年好几千人民币，个人开发者出于爱好做的开源工具，很难第一天就掏这钱。没签名，杀软的信誉评分就上不去。
其三，样本量小。杀软的机器学习模型很看重"这个 exe 全球有多少台机器跑过"。首次发布的开源软件下载量小，就永远在低信誉档位。
用户该怎么办？
我的建议：
- 只从 GitHub 仓库 Release 页下载。不要通过百度搜"流氓软件克星下载"进去的任何第三方站——参考上周 FluentCleaner 假官网投毒事件，这类新工具是钓鱼重灾区。
- 下载后自己上 VirusTotal 扫一遍，看报毒的引擎是不是那种以启发式误报著称的（比如某几家中文名开头的）。
- 首次运行在虚拟机或者非工作机上试。特别是你还没决定信任它之前。
- 关注 issue 区。作者已经在处理签名和白名单问题，等社区反馈稳定了再上生产机。
如果你完全不能接受报毒风险，那老实用 Autoruns + ContextMenuManager 手工拼。RogueCleaner 目前处在"新、好用、但需要额外验证"的阶段。
谁该用，谁别装
该装：
- 装机狂魔（每年重装五次以上）
- 亲戚朋友的电脑维修工（帮别人修机的必备）
- 从 Win7/Win10 升上来但没重装、系统里堆了五年历史包袱的用户
- 装过任何一款国产"全家桶"型软件（360、WPS、迅雷、百度网盘、夸克网盘、搜狗输入法……）
- 每次右键都要等 3 秒才弹菜单的用户
别装：
- 系统就是清爽干净，只用微软全家桶的用户——你没啥好清的
- 完全不信任国产 GitHub 项目的用户——那就用 Autoruns
- 不敢自己判断"这条能不能删"的用户——工具再智能，最后拍板还是你，判断不了别下手
我的判断
RogueCleaner 补的是 Windows 生态里一个尴尬的空白：中国用户装了太多"顺手塞私货"的国产软件，但没有一款清理工具真的懂这些软件的塞私货套路。
老外做的清理工具（CCleaner、BleachBit）识别不了 360 塞的东西；国产厂商做的"电脑管家"清理不动自家竞品的东西；系统自带的卸载根本不清残留。这块盲区一直存在，直到有人愿意花时间把国产软件的"藏物地图"手工写进规则库。
它现在的问题——报毒、v1 到 v2 过渡期文档乱、UI 谈不上多好看——都是可以修复的。架构和思路是对的：单 exe、内置规则、批次备份、可回滚、便携无残留。这些东西一旦立住，剩下的就是时间问题。
我打算把它放进"帮朋友修电脑必备工具包"，和 OptimizerDuck 那种"改注册表能一键还原"的工具放一起。它俩共同的哲学是——敢动系统深处的工具，必须给用户一根退路的绳子。这条绳子有没有，是判断一款清理工具是不是负责任的第一标准。
顺便再啰嗦一句：用它之前，先给系统建个还原点。工具的回滚是把好锁，系统还原点是最后那道墙。锁被撬了，墙还在。