剖析惡意網頁修改注冊表的十二種現象

剖析惡意網頁修改注冊表的十二種現象

近來，屢屢發生網友在瀏覽網頁時，造成注冊表被修改，使得IE默認連接首頁、標
題欄及IE右鍵菜單被改為瀏覽網頁時的地址（多為廣告信息），更有甚者使瀏覽者的電
腦在啟動時出現一個提示窗口顯示自己的廣告，而且有愈演愈烈之勢，遇到這種情況我
們該怎樣辦呢？


一、注冊表被修改的原因及解決辦法

　　其實，該惡意網頁是含有有害代碼的ActiveX網頁文件，這些廣告信息的出現是因
為瀏覽者的注冊表被惡意更改的結果。

　　1、IE默認連接首頁被修改

　　IE瀏覽器上方的標題欄被改成“歡迎訪問……網站”的樣式，這是最常見的篡改手
段，受害者眾多。

　　受到更改的注冊表項目為：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main\Start Page

HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\Start Page

　　通過修改“Start Page”的鍵值，來達到修改瀏覽者IE默認連接首頁的目的，如瀏
覽“萬花谷”就會將你的IE默認連接首頁修改為
http://on888.home.chinaren.com ”，即便是出于給自己的主頁做廣告的目的，也顯
得太霸道了一些，這也是這類網頁惹人厭惡的原因。

　　解決辦法：

　　?在Windows啟動后，點擊“開始”→“運行”菜單項，在“打開”欄中鍵入
regedit，然后按“确定”鍵；

　　?展開注冊表到

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main

　　下，在右半部分窗口中找到串值“Start Page”雙擊 ，將Start Page的鍵值改為
“about:blank”即可；

　　?同理，展開注冊表到

HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main

　　在右半部分窗口中找到串值“Start Page”，然后按?中所述方法處理。

　　?退出注冊表編輯器，重新啟動計算机，一切OK了！

　　特殊例子：當IE的起始頁變成了某些網址后，就算你通過選項設置修改好了，重啟
以后又會變成他們的網址啦，十分的難纏。其實他們是在你机器里加了一個自運行程
序，它會在系統啟動時將你的IE起始頁設成他們的網站。

　　解決辦法：運行注冊表編輯器regedit.exe，然后依次展開

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Current Version\Run

　　主鍵，然后將其下的registry.exe子鍵刪除，然后刪除自運行程序c:\Program
Files\registry.exe，最后從IE選項中重新設置起始頁就好了。


2、篡改IE的默認頁

　　有些IE被改了起始頁后，即使設置了“使用默認頁”仍然無效，這是因為IE起始頁
的默認頁也被篡改啦。具體說來就是以下注冊表項被修改：

HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\
Main\Default_Page_URL

　　“Default_Page_URL”這個子鍵的鍵值即起始頁的默認頁。

　　解決辦法：

　　運行注冊表編輯器，然后展開上述子鍵，將“Default_Page_UR”子鍵的鍵值中的
那些篡改網站的網址改掉就好了，或者設置為IE的默認值。

　　3、修改IE瀏覽器缺省主頁，並且鎖定設置項，禁止用戶更改回來。

　　主要是修改了注冊表中IE設置的下面這些鍵值(DWORD值為1時為不可選)：

[HKEY_CURRENT_USER\Software\Policies\Microsoft\Internet Explorer\Control
Panel]
"Settings"=dword:1

[HKEY_CURRENT_USER\Software\Policies\Microsoft\Internet Explorer\Control
Panel]
"Links"=dword:1

[HKEY_CURRENT_USER\Software\Policies\Microsoft\Internet Explorer\Control
Panel]
"SecAddSites"=dword:1

　　解決辦法：

　　將上面這些DWORD值改為“0”即可恢復功能。\r

　　4、IE的默認首頁灰色按扭不可選

　　這是由于注冊表HKEY_USERS\.DEFAULT\Software\Policies\Microsoft\Internet
Explorer\Control Panel

　　下的DWORD值“homepage”的鍵值被修改的緣故。原來的鍵值為“0”，被修改為
“1”（即為灰色不可選狀態）。

　　解決辦法：

　　將“homepage”的鍵值改為“0”即可。

5、IE標題欄被修改

　　在系統默認狀態下，是由應用程序本身來提供標題欄的信息，但也允許用戶自行在\r
上述注冊表項目中填加信息，而一些惡意的網站正是利用了這一點來得逞的：它們將串
值Window Title下的鍵值改為其網站名或更多的廣告信息，從而達到改變瀏覽者IE標題
欄的目的。

　　具體說來受到更改的注冊表項目為：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main\Window Title

HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\Window Title

　　解決辦法：

　　?在Windows啟動后，點擊“開始”→“運行”菜單項，在“打開”欄中鍵入
regedit，然后按“确定”鍵；

　　?展開注冊表到

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main

　　下，在右半部分窗口中找到串值“Window Title” ，將該串值刪除即可，或將
Window Title的鍵值改為“IE瀏覽器”等你喜歡的名字；

　　?同理，展開注冊表到

HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main

　　然后按?中所述方法處理。

　　?退出注冊表編輯器，重新啟動計算机，運行IE，你會發現困擾你的問題解決了！

　　6、IE右鍵菜單被修改

　　受到修改的注冊表項目為：

HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\MenuExt

　　下被新建了網頁的廣告信息，並由此在IE右鍵菜單中出現！

　　解決辦法：

　　打開注冊標編輯器，找到

HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\MenuExt

　　刪除相關的廣告條文即可，注意不要把下載軟件FlashGet和Netants也刪除掉啊，
這兩個可是“正常”的呀，除非你不想在IE的右鍵菜單中見到它們。

7、IE默認搜索引擎被修改

　　在IE瀏覽器的工具欄中有一個搜索引擎的工具按鈕，可以實現網絡搜索，被篡改后
只要點擊那個搜索工具按鈕就會鏈接到那個篡改網站。出現這種現象的原因是以下注冊
表被修改：

HKEY_LOCAL_MACHINE\Software\Microsoft\Internet
Explorer\Search\CustomizeSearch

HKEY_LOCAL_MACHINE\Software\Microsoft\Internet
Explorer\Search\SearchAssistant

　　解決辦法：

　　運行注冊表編輯器，依次展開上述子鍵，將“CustomizeSearch”和
“SearchAssistant”的鍵值改為某個搜索引擎的網址即可。

　　8、系統啟動時彈出對話框

　　受到更改的注冊表項目為：

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Winlogon

　　在其下被建立了字符串“LegalNoticeCaption”和“LegalNoticeText”，其中
“LegalNoticeCaption”是提示框的標題，“LegalNoticeText”是提示框的文本內
容。由于它們的存在，就使得我們每次登陸到Windwos桌面前都出現一個提示窗口，顯
示那些網頁的廣告信息！你瞧，多討厭啊！

　　解決辦法：

　　打開注冊表編輯器，找到

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Winlogon

　　這一個主鍵，然后在右邊窗口中找到“LegalNoticeCaption”和
“LegalNoticeText”這兩個字符串，刪除這兩個字符串就可以解決在登陸時出現提示
框的現象了。

　　9、瀏覽網頁注冊表被禁用

　　這是由于注冊表

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System

　　下的DWORD值“DisableRegistryTools”被修改為“1”的緣故，將其鍵值恢復為
“0”即可恢復注冊表的使用。

　　解決辦法

　　用記事本程序建立以REG為后綴名的文件，將下面這些內容復制在其中就可以了：

REGEDIT4

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System
]
“DisableRegistryTools”=dword:00000000

　10、瀏覽網頁開始菜單被修改

　　這是最“狠”的一種，讓瀏覽者有生不如死的感覺。瀏覽后不僅有類似上面所說的
那些症狀，還會有以下更悲慘的遭遇：

　　1)禁止“關閉系統”
　　2)禁止“運行”
　　3)禁止“注銷”
　　4)隱藏C盤——你的C盤找不到了！
　　5)禁止使用注冊表編輯器regedit
　　6)禁止使用DOS程序
　　7)使系統無法進入“實模式”
　　8)禁止運行任何程序

　　具體的原因和解決辦法請看天极網e企業之安全之路欄目的這篇文章：《瀏覽網頁
注冊表被修改之迷及解決辦法》。

　　以上是比較常見的修改瀏覽者注冊表的現象，今天在瀏覽網頁時，無意中來到某個
個人網站，又遇到了以前沒有碰到過的問題：

　　11、IE中鼠標右鍵失效

　　瀏覽網頁后在IE中鼠標右鍵失效，點擊右鍵沒有任何反應！

　　12、查看““源文件”菜單被禁用

　　在IE窗口中點擊“查看”→“源文件”，發現“源文件”菜單已經被禁用。



　　我在瀏覽網頁時並沒有注意到上面這兩個問題，因為當時正好朋友叫我有事，于是
我就退出電腦了，晚上吃完飯開啟電腦連線上網，就發現IE中鼠標右鍵失效，“查看”
菜單中的“源文件”被禁用。不能查看源文件也就罷了，但是無法使用鼠標右鍵真是太
不方便了。得想個辦法！

　　找出最新版的超級兔子魔法設置試試吧，呀！不能解決！看來是個新問題，不過自
己好歹也是“老革命”了，這點問題應該難不住我。于是到注冊表中一番搜尋，經過一
番查找終于弄明白了問題的所在。

原來，惡意網頁修改了我的注冊表，具體的位置為：

　　在注冊表

HKEY_CURRENT_USER\Software\Policies\Microsoft\Internet Explorer

　　下建立子鍵“Restrictions”，然后在“Restrictions”下面建立兩個DWORD值：
“NoViewSource”和“NoBrowserContextMenu”，並為這兩個DWORD值賦值為“1”。

　　在注冊表

HKEY_USERS\.DEFAULT\Software\Policies\Microsoft\Internet
Explorer\Restrictions

　　下，將兩個DWORD值：“NoViewSource”和“NoBrowserContextMenu”的鍵值都改
為了“1”。

　　通過上面這些鍵值的修改就達到了在IE中使鼠標右鍵失效，使“查看”菜單中的
“源文件”被禁用的目的。要向你說明的是第2點中提到的注冊表其實相當于第1點中提
到的注冊表的分支，修改第1點中所說的注冊表鍵值，第2點中注冊表鍵值隨之改變。

　　解決辦法：

　　明白了道理，問題解決起來就容易多了，具體解決辦法為：將以下內容另存為后綴
名為reg的注冊表文件，比方說unlock.reg，雙擊unlock.reg導入注冊表，不用重啟電
腦，重新運行IE就會發現IE的功能恢復正常了。\r

REGEDIT4

[HKEY_CURRENT_USER\Software\Policies\Microsoft\Internet
Explorer\Restrictions]
“NoViewSource”=dword:00000000
"NoBrowserContextMenu"=dword:00000000

[HKEY_USERS\.DEFAULT\Software\Policies\Microsoft\Internet
Explorer\Restrictions]
“NoViewSource”=dword:00000000
“NoBrowserContextMenu”=dword:00000000

　　要特別注意的是，在你編制的注冊表文件unlock.reg中，“REGEDIT4”一定要大
寫，並且它的后面一定要空一行，還有，“REGEDIT4”中的“4”和“T”之間一定不能
有空格，否則將前功盡棄！許\多朋友寫注冊表文件之所以不成功，就是因為沒有注意到\r
上面所說的內容，這回該注意點嘍。請注意如果你是Win2000或WinXP用戶，請將
“REGEDIT4”改為Windows Registry Editor Version 5.00。

二、預防辦法

　　1、要避免中招，關鍵是不要輕易去一些自己並不了解的站點，特別是那些看上去
美麗誘人的網址更不要貿然前往，否則吃虧的往往是你。

　　2、由于該類網頁是含有有害代碼的ActiveX網頁文件，因此在IE設置中將ActiveX
插件和控件、Java腳本等全部禁止就可以避免中招。

　　具體方法是：在IE窗口中點擊“工具→Internet選項，在彈出的對話框中選擇“安
全”標簽，再點擊“自定義級別”按鈕，就會彈出“安全設置”對話框，把其中所有
ActiveX插件和控件以及Java相關全部選擇“禁用”即可。不過，這樣做在以后的網頁
瀏覽過程中可能會造成一些正常使用ActiveX的網站無法瀏覽。唉，有利就有弊，你還
是自己看著辦吧。

　　3、對于Windows98用戶，請打開C:\WINDOWS\JAVA\Packages\CVLV1NBB.ZIP，把其
中的“ActiveXComponent.class”刪掉；對于WindowsMe用戶，請打開
C:\WINDOWS\JAVA\Packages\5NZVFPF1.ZIP，把其中的“ActiveXComponent.class”刪
掉。請放心，刪除這個組件不會影響到你正常瀏覽網頁的。

　　4、對于所有用戶，都建議安裝Norton AntiVirus 2002 v8.0殺毒軟件，此軟件已
經把通過IE修改注冊表的代碼定義為Trojan.Offensive ，增加了Script Blocking功\r
能，它將對此類惡作劇進行監控，並予以攔截。

　　另外，下載超級兔子魔法設置軟件后安裝，如果出現問題，可以用它來恢復。不
過，“兔子”對于我們在上面所說的惡意網頁使得IE中鼠標右鍵失效，“查看”菜單中
的“源文件”被禁用這兩種現象無法恢復。

　　5、既然這類網頁是通過修改注冊表來破坏我們的系統，那麼我們可以事先把注冊
表加鎖：禁止修改注冊表，這樣就可以達到預防的目的。不過，自己要使用注冊表編輯
器regedit.exe該怎麼辦呢？因此我們還要在此前事先准備一把“鑰匙”，以便打開這
把“鎖”！

　　加鎖方法如下：

　　(1)運行注冊表編輯器regedit.exe；

　　(2)展開注冊表到


HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System

　　下，新建一個名為DisableRegistryTools的DWORD值，並將其值改為“1”，即可禁
止使用注冊表編輯器regedit.exe。

　　解鎖方法如下：

　　用記事本編輯一個任意名字的.reg文件，比如unlock.reg，內容如下：

REGEDIT4

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System
]
“DisableRegistryTools”=dword:00000000

　　存盤，你就有了一把解鎖的鑰匙了！如果要使用注冊表編輯器，則雙擊unlock.reg
即可。請注意如果你是Win2000或WinXP用戶，請將“REGEDIT4”寫為Windows Registry
Editor Version 5.00。



　　6、對Win2000用戶，還可以通過在Win2000下把服務里面的遠程注冊表操作服務
“Remote Registry Service”禁用，來對付該類網頁。具體方法是：點擊“管理工具
→服務→Remote Registry Service(允許遠程注冊表操作)”，將這一項禁用即可。

　　7、如果覺得手動修改注冊表太危險，可以下載如下reg文件，雙擊之可恢復被修改
的注冊表。

　　8、雖然經過一番辛苦的勞動修改回了標題和默認連接首頁，但如果以后又不小心
進入該站就又得麻煩一次。其實，你可以在IE中做一些設置以便永遠不進該站點：

　　打開IE，點擊“工具”→“Internet選項”→“內容”→“分級審查”，點“啟
用”按鈕，會調出“分級審查”對話框，然后點擊“許可站點”標簽，輸入不想去的網\r
站網址，如輸入：
http://on888.home.chinaren.com，按“從不”按鈕，再點擊“确定”即大功告成！\r

　　9、升級你的IE為6.0版本，可以有效防范上面這些症狀。

　 10、下載微軟最新的Microsoft Windows Script 5.6，可以預防上面所說的現象，
更可預防目前流行的、可惡的混客絕情炸彈。

http://it.rising.com.cn/antivirus/rviruslore/specials/antiie.htm