2008年04月10日 15:50:21 作者：
ali8840ali8840
廣大網(wǎng)友最頭疼的事，恐怕就是在瀏覽網(wǎng)頁(yè)的同時(shí)，IE瀏覽器頻頻遭到惡意腳本的修改！有時(shí)候瀏覽器標題欄在上午還寫(xiě)著(zhù)“歡迎光臨A網(wǎng)站”，下午再上網(wǎng)就已經(jīng)被改成了“B網(wǎng)站歡迎您再次訪(fǎng)問(wèn)”，真是讓人苦笑不得。更有甚者，上了某個(gè)網(wǎng)站之后連Windows的注冊表都被鎖定，這可讓人有些惱火了！本文就是結合我的實(shí)際經(jīng)驗，以目前較常見(jiàn)的十多種攻擊方式為例，來(lái)教一些對注冊表不甚了解的朋友如何防范以及反修改。
一、常規防范
1. 卸載或升級WSH
WSH是Windows Scripting Host Object Reference的簡(jiǎn)稱(chēng)，Windows系統把它設為默認的安裝項。許多普通用戶(hù)對WSH認識不多，當然也不會(huì )想到將它卸載。我們從微軟的中文官方網(wǎng)站上可以了解到：“WSH給32位Windows 平臺提供了使用簡(jiǎn)便、功能強大和變化靈活的腳本。”，它支持的的ActiveX腳本體系結構，可讓用戶(hù)能使用強大的諸如Visual Basic Script和Java Script之類(lèi)的腳本語(yǔ)言，同時(shí)也支持MS-DOS命令腳本。并且能使腳本直接在Windows桌面或命令控制臺上執行。由此可知，利用WSH結合腳本程序可以寫(xiě)出極劇殺傷力的病毒來(lái)。因此建議經(jīng)常上網(wǎng)的普通計算機用戶(hù)可以考慮卸載WSH。卸載方法：進(jìn)入“控制面板”，選擇“添加/刪除程序”，切換到“windows安裝程序”，選擇“附件”，再選擇“詳細資料”中的Windows Scripting Host，最后點(diǎn)擊“確定”即可卸載。此外，您還有一個(gè)更好的選擇，升級到WSH。IE瀏覽器可以被惡意腳本改，原因就是IE6.0以及以前版本中的WSH允許攻擊者利用javascript中的Getobject函數以及htmlfilr Activex對象讀取瀏覽者的注冊表。微軟最新的Microsoft Windows Script已經(jīng)修正這個(gè)問(wèn)題。安裝最新WSH 后可以完全消除瀏覽器中潛在的不安全因素，使您從瀏覽器屢遭惡意修改的惡夢(mèng)中解脫出來(lái)！
2. 屏蔽已知的含有惡意腳本的網(wǎng)頁(yè)
如果你使用諸如NetCaptor、MyIE等外掛瀏覽器，就可以把含有惡意腳本的網(wǎng)頁(yè)（當然，前提是您已經(jīng)確認）屏蔽掉，以免今后再次受害。以NetCaptor瀏覽器為例，在想要屏蔽的網(wǎng)頁(yè)標簽上單擊鼠標右鍵，在彈出的菜單中選擇“Add To” →“Add to PopupCaptor”，然后在彈出的確定框點(diǎn)擊“OK”即可。如果您常用的是IE瀏覽器，選擇菜單欄里的“工具”→“Internet選項”→“內容”→“分級審查”，點(diǎn)擊“啟用”按鈕，在彈出的“分級審查”對話(huà)框中切換到“許可站點(diǎn)”標簽，輸入您想屏蔽的網(wǎng)站網(wǎng)址，隨后點(diǎn)擊“從不”按鈕，再點(diǎn)“確定”即可。
3.設定IE瀏覽器的安全級別
由于IE遭到修改往往是因為瀏覽了含有惡意腳本的網(wǎng)頁(yè)，因此在IE設置相應的安全級別即可避免IE再次遭到惡意修改。設置方法：在IE的菜單欄中選擇“工具”→“Internet選項”，在彈出的對話(huà)框中切換到“安全”標簽，選擇“Internet”后點(diǎn)擊“自定義級別”按鈕，在“安全設置”對話(huà)框中，把“ActiveX插件和控件”、“腳本”中的相關(guān)選項全部選擇“禁用”或“提示”即可。如果選擇了“禁用”，一些正常使用ActiveX和腳本的網(wǎng)站可能無(wú)法完全顯示，建議大家不要因噎廢食，還是選擇“提示”吧。
4. 使用更新版本的操作系統
使用WindowsXP的朋友，一定要隨著(zhù)微軟的根新節奏來(lái)升級自己的操作系統，補丁一定要打牢。還可以通過(guò)禁用“遠程注冊表服務(wù)”來(lái)阻擋部分惡意腳本。具體方法是：在“控制面板”→“管理工具”→“服務(wù)”中右鍵單擊“Remote Registry Service”，在彈出菜單中選擇“屬性”，打開(kāi)屬性對話(huà)框，在“General”內將“Startup type”設為“Disabled”。這樣也可以攔截部分的惡意腳本程序。
5. 使用防火墻及殺毒軟件
這可能是遇到這類(lèi)問(wèn)題后大家首先想到的。但根據我的一點(diǎn)實(shí)際經(jīng)驗，這并不是很管用。防火墻我從來(lái)不用，殺毒軟件只用諾頓，每次遇到含此類(lèi)惡意腳本的網(wǎng)頁(yè)，諾頓盡管會(huì )彈出一個(gè)個(gè)的警告框，可IE還是被照改不誤。也許是現在的殺毒軟件對這類(lèi)腳本惡作劇還不太感冒吧。如果您正在使用的殺毒軟件或防火墻可以有效遏制這類(lèi)腳本，不妨寫(xiě)信告訴我，和其他朋友一同分享吧吧：）
二、工具修改
1. 老牌系統修改工具M(jìn)egic Set
Megic Set“超級兔子魔法設置”系列軟件可以說(shuō)是國內最棒的共享軟件之一，和經(jīng)典的Tweak系列軟件都有得一比?，F在最新版本的超級兔子又新增了一個(gè)小工具“超級兔子注冊表保護器”，它的作用就是保護您的注冊表不被惡意修改，以及被修改后的及時(shí)恢復。保護器得使用方法很簡(jiǎn)單：先在左邊的復選框內選中您想反修改的項目，然后點(diǎn)“清除”按鈕，它便會(huì )彈出一個(gè)確認框，提示非安裝Windows時(shí)自帶的和IE有關(guān)的注冊表項將被清除并恢復到初始狀態(tài)，點(diǎn)擊確定即可。當然，如果您想保留某些自定義的項目，可以通過(guò)“超級兔子魔法設置”修改，具體的使用方法很簡(jiǎn)單，相信您一看就會(huì )明白。另外，您也可以點(diǎn)擊“保護”按鈕，這時(shí)保護器就會(huì )最小化在系統托盤(pán)，時(shí)刻保護您的注冊表不被修改。最后，您還可選中“開(kāi)機自動(dòng)運行………”前的選擇框，保護器就會(huì )在您每次開(kāi)機時(shí)運行，這樣可以做到防范于未然，您就可以高枕無(wú)憂(yōu)的上網(wǎng)了。
2. 金山毒霸的反修改工具Duba_RegSolve
這是金山毒霸針對目前網(wǎng)上橫行的惡意網(wǎng)頁(yè)而開(kāi)發(fā)的反修改小軟件。您可以用它來(lái)恢復注冊表的默認設置。打開(kāi)它的界面，您可以看到它的反修改選項較全面，而且軟件操作也很直觀(guān)，相信不用我多做介紹您也很容易上手。
除此之外，在網(wǎng)上還有不少小軟件可以對注冊表的某些項目進(jìn)行修改。只是其中魚(yú)龍混雜，也不及上文提到的兩個(gè)軟件全面和安全。所以在此也無(wú)需多做介紹。
三、手動(dòng)清除
1. 注冊表被禁用
對注冊表的編輯是解決本文所涉及問(wèn)題的關(guān)鍵所在，而許多朋友在打開(kāi)注冊表修編輯器時(shí)，卻發(fā)現居然連注冊表都被“管理員禁用”了！其實(shí)這也是含有惡意代碼的網(wǎng)頁(yè)文件搗的鬼。如果您的注冊表也被禁用了，可以按下面的方法來(lái)解鎖：
1.)新建一個(gè)文本文件，輸入以下內容（注意保持文本格式）：
REGEDIT4
[HKEY_CURRENT_USER＼Software＼Microsoft＼Windows＼CurrentVersion＼Policies＼System]
“DisableRegistryTools”=dword:00000000
點(diǎn)擊“文件”菜單，選擇“保存”命令，以“recover.reg”為文件名保存在任意位置。
2.)雙擊該“recover.reg”文件，系統彈出“是否確認要將 recover.reg 中的信息添加進(jìn)注冊表”的確認框，點(diǎn)“是”，隨后，系統提示“recover.reg 里的信息已被成功地輸入注冊表”，再點(diǎn)擊“確定”即可將注冊表解鎖并進(jìn)行隨后的修改。
2. 開(kāi)始菜單的“運行”消失
在“運行”欄中輸入regedit是我們常用的打開(kāi)注冊表編輯器的方式。然而有些含惡意代碼的網(wǎng)頁(yè)甚至連這里都不放過(guò)，難道它們認為憑這就可以阻止我們對注冊表的反修改嗎？沒(méi)問(wèn)題，用兩個(gè)簡(jiǎn)單的方法就可以把“運行”恢復。
其一，進(jìn)入C:＼WINNT，找到“regedit.exe”，雙擊它就可以打開(kāi)注冊表編輯器，接著(zhù)請定位到：HKEY_CURRENT_USER＼Software＼Microsoft＼Windows＼CurrentVersion＼Policies＼Explorer
找到“NoRun”值項，右鍵單擊之，選擇“修改”（或者直接刪除更好），把它的值改為 0，重新啟動(dòng)電腦即可；
其二，新建一個(gè)文本文件，輸入以下內容（注意保持文本格式）：REGEDIT4
[HKEY_CURRENT_USER＼Software＼Microsoft＼Windows＼CurrentVersion＼Policies＼Explorer]
“NoRun”=dword:00000000
將該文件保存為run.reg文件，雙擊該文件，重啟電腦后，再打開(kāi)“開(kāi)始”菜單看看，“運行”選項是不是已經(jīng)恢復了呢？
3. IE瀏覽器的標題欄被修改
這是目前最常見(jiàn)的修改IE瀏覽器的方式。它的反修改也很容易，首先打開(kāi)“開(kāi)始”菜單，選運行命令輸入“regedit”，點(diǎn)擊“確定”即打開(kāi)了注冊表編輯器。然后請定位到：HKEY_LOCAL_MACHINE＼Software＼Microsoft＼Internet Explorer＼Main 、HKEY_CURRENT_USER＼Software＼Microsoft＼Internet Explorer＼Main 及HKEY_USERS＼.DEFAULT＼Control Panel
三處子項，您會(huì )發(fā)現在它們下面都有一個(gè)叫“Window Title”的值項（也可能只有一處有，關(guān)鍵是要修改HKCU的值項），用鼠標右鍵單擊該值項，在彈出菜單選擇“修改”，將它修改為默認的“Microsoft Internet Explorer”或者任意您希望看到的語(yǔ)句，最后關(guān)閉注冊表編輯器并打開(kāi)一個(gè)新的IE瀏覽器窗口，就能看到您設定的效果。
4. OutLook的標題欄被修改
這個(gè)情況比較少見(jiàn)，至少我沒(méi)有遇到過(guò)，只是有網(wǎng)友寫(xiě)信來(lái)詢(xún)問(wèn)，我才知道有些人居然無(wú)聊到這種地步。不過(guò)沒(méi)關(guān)系，它的反修改同樣很簡(jiǎn)單，打開(kāi)注冊表編輯器，定位到：HKEY_CURRENT_USER＼Software＼Microsoft＼Outlook Express子項下，找到值項“Window Title”，和反修改IE瀏覽器的方法一樣來(lái)修改“Window Title”值。最后關(guān)閉注冊表編輯器并重起OutLook即可看到效果。
5. IE瀏覽器的首頁(yè)被修改
這可能是目前網(wǎng)友反映最多的一個(gè)問(wèn)題。一開(kāi)始的時(shí)候解決這個(gè)問(wèn)題很簡(jiǎn)單，在IE的菜單中選擇：“工具”--“Internet選項”--“常規”，在“主頁(yè)”一欄中進(jìn)行修改即可。但隨著(zhù)事態(tài)的發(fā)展，形勢日趨嚴峻：一些網(wǎng)站的站長(cháng)將多個(gè)腳本程序聯(lián)合使用，導致的后果往往就是首頁(yè)被修改的同時(shí)，IE的“主頁(yè)”選項也被禁用（按鈕呈灰色不可用狀態(tài)）！不過(guò)，沒(méi)問(wèn)題，現在我們就來(lái)解決這個(gè)問(wèn)題。
請您打開(kāi)注冊表編輯器。定位到：HKEY_LOCAL_USER＼Software＼Policies＼Microsoft＼Internet Explorer＼Control Panel及HKEY_CURRENT_USER＼Software＼Policies＼Microsoft＼Internet Explorer＼Control Panel兩處子項，你會(huì )發(fā)現一個(gè)名為HomePage的DWORD值項，值為:1，不必猶豫，直接刪掉它，或者把值改為0。然后關(guān)閉注冊表編輯器，新開(kāi)一個(gè)IE瀏覽器，再依次點(diǎn)擊“工具”--“Internet選項”--“常規”，你就會(huì )發(fā)現原來(lái)呈灰色的修改IE主頁(yè)的按鈕已經(jīng)恢復到了可編輯狀態(tài)。此時(shí)您就可以按自己的喜好隨意設定瀏覽器的主頁(yè)了。
6. IE瀏覽器的默認頁(yè)及空白頁(yè)被修改
打開(kāi)注冊表編輯器，定位到：HKEY_LOCAL_MACHINE＼Software＼Microsoft＼Internet Explorer＼Main子項，修改Default_Page_URL的值即可。
定位到：HKEY_CURRENT_USER＼Software＼Microsoft＼Internet Explorer＼Main子項，修改Local Page的值即可。
7. 每次開(kāi)機后彈出一個(gè)網(wǎng)頁(yè)
如果您每次開(kāi)機后都會(huì )彈出一個(gè)IE瀏覽器，那就請您記住地址欄里的網(wǎng)址，然后打開(kāi)注冊表編輯器，定位到：HKEY_CURRENT_USER＼Software＼Microsoft＼Windows＼CurrentVersion＼Run
HKEY_CURRENT_USER＼Software＼Microsoft＼Windows＼CurrentVersion＼Runonce
看看在該子項下是否有一個(gè)以這個(gè)網(wǎng)址為值的值項，如果有，刪除它。下次開(kāi)機時(shí)就不會(huì )再有瀏覽器彈出了。不過(guò)道高一尺，魔高一丈，有時(shí)候這樣也未必能解決問(wèn)題。遇到這種情況，您可以在注冊表編輯器的菜單里選擇“編輯”--“查找”，在“查找”對話(huà)框內輸入開(kāi)機時(shí)自動(dòng)打開(kāi)的網(wǎng)址，然后點(diǎn)擊“查找下一個(gè)”，將查找到的值項刪除。
8. IE瀏覽器的鼠標右鍵被禁用
其癥狀即為打開(kāi)任意一個(gè)網(wǎng)頁(yè)，單擊鼠標右鍵都無(wú)法彈出菜單選項。這給許多經(jīng)常上網(wǎng)的朋友造成了很多不便。和上面一樣，打開(kāi)注冊表編輯器，定位到：HKEY_CURRENT_USER＼Software＼Policies＼Microsoft＼Internet Explorer＼Restrictions,在該子項下有一個(gè)dword值為1的"NoBrowserContextMenu"值項，刪掉它即可。
9. 右鍵菜單內被添加網(wǎng)站鏈接
很多朋友會(huì )在無(wú)意間突然發(fā)現，自己的右鍵菜單里不知道什么時(shí)候多出了一個(gè)“歡迎光臨XX網(wǎng)站 的選項，點(diǎn)擊之后便會(huì )打開(kāi)瀏覽器進(jìn)入這個(gè)網(wǎng)站。其實(shí)這往往是通過(guò)腳本程序在注冊表里做了手腳。有些網(wǎng)站就采用這種技術(shù)，在訪(fǎng)問(wèn)者的右鍵菜單加上了他們網(wǎng)站的快捷方式。解決的方法也很簡(jiǎn)單，定位到：HKEY_CURRENT_USER＼Software＼Microsoft＼Internet Explorer＼MenuExt,仔細查看其下的子項，刪除你不要的即可。當然您也可以照此格式添加自己的快捷方式，比如常去的網(wǎng)站等等。不過(guò)要是您對注冊表不太熟悉的話(huà)，建議您先做好備份再修改。
10. 桌面上的圖標全部消失
如果當您打開(kāi)電腦，發(fā)現自己的桌面上居然空空如也，一個(gè)圖標都不見(jiàn)了，您會(huì )作何感想？不用說(shuō)，這十有八九又是上網(wǎng)惹得禍。如果您想恢復，請把注冊表定位到：HKEY_CURRENT_USER＼Software＼Microsoft＼Windows＼CurrentVersion＼Policies＼Explorer，找到“NoDesktop”值項，右鍵單擊之，選擇“修改”（或者干脆刪除也可以），把它的值改為0，重新啟動(dòng)電腦即可?？纯?，是不是又恢復到您熟悉的桌面了^_^？
11. IE工具欄（菜單）被添加網(wǎng)站鏈接
大家都知道，我們常用的軟件在安裝后，會(huì )向IE的工具欄（菜單）中添加它們的快捷方式?，F在有些網(wǎng)站也通過(guò)惡意腳本修改注冊表來(lái)達到同樣的效果。下面就讓我們來(lái)解決這個(gè)問(wèn)題，請把注冊表定位到：HKEY_LOCAL_MACHINE＼Software＼Microsoft＼Internet Explorer＼Extensions，您會(huì )看到在該主鍵下有一些形同“{XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX}”的子鍵，仔細查看一下您就會(huì )明白，這些子鍵就是解決問(wèn)題的關(guān)鍵所在，現在您只需將包含惡意網(wǎng)站鏈接的那個(gè)子鍵刪除即可。另外，如果在HKEY_CURRENT_USER＼Software＼Microsoft＼Internet Explorer＼Extensions＼CmdMapping下有和您刪除的形同{X......X}一樣鍵值的值項，也請將它刪除。完成后關(guān)閉注冊表編輯器，重新打開(kāi)一個(gè)IE窗口，看看工具欄（菜單）是不是已經(jīng)恢復了？其實(shí)利用這個(gè)特性我們還可以DIY一個(gè)屬于自己的個(gè)性工具欄。
四、需要說(shuō)明的是注冊表是Windows系統的核心部分，對它的修改一旦出現錯誤就很容易造成系統崩潰。因此，如果您在此之前沒(méi)有這方面的經(jīng)驗，建議您采用文中提到的兩個(gè)工具進(jìn)行反修改；如果您希望借此機會(huì )了解和熟悉Windows注冊表，那么建議您在修改前做好全面備份，以備今后恢復之用?，F在的惡意腳本日趨復雜，往往是幾段腳本程序混合使用，這可能需要您在反修改時(shí)靈活運用文中所提到的技巧。
最后，奉勸仍在使用此類(lèi)腳本的網(wǎng)站，這種做法不可能為你帶來(lái)穩定的訪(fǎng)問(wèn)量，反而降低了你網(wǎng)站的品味。請為網(wǎng)絡(luò )留出一片凈土吧！
