2008年04月10日 15:50:21 作者：
ali8840ali8840
廣大網(wǎng)友最頭疼的事，恐怕就是在瀏覽網(wǎng)頁的同時，IE瀏覽器頻頻遭到惡意腳本的修改！有時候瀏覽器標題欄在上午還寫著“歡迎光臨A網(wǎng)站”，下午再上網(wǎng)就已經(jīng)被改成了“B網(wǎng)站歡迎您再次訪問”，真是讓人苦笑不得。更有甚者，上了某個網(wǎng)站之后連Windows的注冊表都被鎖定，這可讓人有些惱火了！本文就是結(jié)合我的實際經(jīng)驗，以目前較常見的十多種攻擊方式為例，來教一些對注冊表不甚了解的朋友如何防范以及反修改。
一、常規(guī)防范
1. 卸載或升級WSH
WSH是Windows Scripting Host Object Reference的簡稱，Windows系統(tǒng)把它設(shè)為默認的安裝項。許多普通用戶對WSH認識不多，當然也不會想到將它卸載。我們從微軟的中文官方網(wǎng)站上可以了解到：“WSH給32位Windows 平臺提供了使用簡便、功能強大和變化靈活的腳本。”，它支持的的ActiveX腳本體系結(jié)構(gòu)，可讓用戶能使用強大的諸如Visual Basic Script和Java Script之類的腳本語言，同時也支持MS-DOS命令腳本。并且能使腳本直接在Windows桌面或命令控制臺上執(zhí)行。由此可知，利用WSH結(jié)合腳本程序可以寫出極劇殺傷力的病毒來。因此建議經(jīng)常上網(wǎng)的普通計算機用戶可以考慮卸載WSH。卸載方法：進入“控制面板”，選擇“添加/刪除程序”，切換到“windows安裝程序”，選擇“附件”，再選擇“詳細資料”中的Windows Scripting Host，最后點擊“確定”即可卸載。此外，您還有一個更好的選擇，升級到WSH。IE瀏覽器可以被惡意腳本改，原因就是IE6.0以及以前版本中的WSH允許攻擊者利用javascript中的Getobject函數(shù)以及htmlfilr Activex對象讀取瀏覽者的注冊表。微軟最新的Microsoft Windows Script已經(jīng)修正這個問題。安裝最新WSH 后可以完全消除瀏覽器中潛在的不安全因素，使您從瀏覽器屢遭惡意修改的惡夢中解脫出來！
2. 屏蔽已知的含有惡意腳本的網(wǎng)頁
如果你使用諸如NetCaptor、MyIE等外掛瀏覽器，就可以把含有惡意腳本的網(wǎng)頁（當然，前提是您已經(jīng)確認）屏蔽掉，以免今后再次受害。以NetCaptor瀏覽器為例，在想要屏蔽的網(wǎng)頁標簽上單擊鼠標右鍵，在彈出的菜單中選擇“Add To” →“Add to PopupCaptor”，然后在彈出的確定框點擊“OK”即可。如果您常用的是IE瀏覽器，選擇菜單欄里的“工具”→“Internet選項”→“內(nèi)容”→“分級審查”，點擊“啟用”按鈕，在彈出的“分級審查”對話框中切換到“許可站點”標簽，輸入您想屏蔽的網(wǎng)站網(wǎng)址，隨后點擊“從不”按鈕，再點“確定”即可。
3.設(shè)定IE瀏覽器的安全級別
由于IE遭到修改往往是因為瀏覽了含有惡意腳本的網(wǎng)頁，因此在IE設(shè)置相應(yīng)的安全級別即可避免IE再次遭到惡意修改。設(shè)置方法：在IE的菜單欄中選擇“工具”→“Internet選項”，在彈出的對話框中切換到“安全”標簽，選擇“Internet”后點擊“自定義級別”按鈕，在“安全設(shè)置”對話框中，把“ActiveX插件和控件”、“腳本”中的相關(guān)選項全部選擇“禁用”或“提示”即可。如果選擇了“禁用”，一些正常使用ActiveX和腳本的網(wǎng)站可能無法完全顯示，建議大家不要因噎廢食，還是選擇“提示”吧。
4. 使用更新版本的操作系統(tǒng)
使用WindowsXP的朋友，一定要隨著微軟的根新節(jié)奏來升級自己的操作系統(tǒng)，補丁一定要打牢。還可以通過禁用“遠程注冊表服務(wù)”來阻擋部分惡意腳本。具體方法是：在“控制面板”→“管理工具”→“服務(wù)”中右鍵單擊“Remote Registry Service”，在彈出菜單中選擇“屬性”，打開屬性對話框，在“General”內(nèi)將“Startup type”設(shè)為“Disabled”。這樣也可以攔截部分的惡意腳本程序。
5. 使用防火墻及殺毒軟件
這可能是遇到這類問題后大家首先想到的。但根據(jù)我的一點實際經(jīng)驗，這并不是很管用。防火墻我從來不用，殺毒軟件只用諾頓，每次遇到含此類惡意腳本的網(wǎng)頁，諾頓盡管會彈出一個個的警告框，可IE還是被照改不誤。也許是現(xiàn)在的殺毒軟件對這類腳本惡作劇還不太感冒吧。如果您正在使用的殺毒軟件或防火墻可以有效遏制這類腳本，不妨寫信告訴我，和其他朋友一同分享吧吧：）
二、工具修改
1. 老牌系統(tǒng)修改工具Megic Set
Megic Set“超級兔子魔法設(shè)置”系列軟件可以說是國內(nèi)最棒的共享軟件之一，和經(jīng)典的Tweak系列軟件都有得一比?，F(xiàn)在最新版本的超級兔子又新增了一個小工具“超級兔子注冊表保護器”，它的作用就是保護您的注冊表不被惡意修改，以及被修改后的及時恢復(fù)。保護器得使用方法很簡單：先在左邊的復(fù)選框內(nèi)選中您想反修改的項目，然后點“清除”按鈕，它便會彈出一個確認框，提示非安裝Windows時自帶的和IE有關(guān)的注冊表項將被清除并恢復(fù)到初始狀態(tài)，點擊確定即可。當然，如果您想保留某些自定義的項目，可以通過“超級兔子魔法設(shè)置”修改，具體的使用方法很簡單，相信您一看就會明白。另外，您也可以點擊“保護”按鈕，這時保護器就會最小化在系統(tǒng)托盤，時刻保護您的注冊表不被修改。最后，您還可選中“開機自動運行………”前的選擇框，保護器就會在您每次開機時運行，這樣可以做到防范于未然，您就可以高枕無憂的上網(wǎng)了。
2. 金山毒霸的反修改工具Duba_RegSolve
這是金山毒霸針對目前網(wǎng)上橫行的惡意網(wǎng)頁而開發(fā)的反修改小軟件。您可以用它來恢復(fù)注冊表的默認設(shè)置。打開它的界面，您可以看到它的反修改選項較全面，而且軟件操作也很直觀，相信不用我多做介紹您也很容易上手。
除此之外，在網(wǎng)上還有不少小軟件可以對注冊表的某些項目進行修改。只是其中魚龍混雜，也不及上文提到的兩個軟件全面和安全。所以在此也無需多做介紹。
三、手動清除
1. 注冊表被禁用
對注冊表的編輯是解決本文所涉及問題的關(guān)鍵所在，而許多朋友在打開注冊表修編輯器時，卻發(fā)現(xiàn)居然連注冊表都被“管理員禁用”了！其實這也是含有惡意代碼的網(wǎng)頁文件搗的鬼。如果您的注冊表也被禁用了，可以按下面的方法來解鎖：
1.)新建一個文本文件，輸入以下內(nèi)容（注意保持文本格式）：
REGEDIT4
[HKEY_CURRENT_USER＼Software＼Microsoft＼Windows＼CurrentVersion＼Policies＼System]
“DisableRegistryTools”=dword:00000000
點擊“文件”菜單，選擇“保存”命令，以“recover.reg”為文件名保存在任意位置。
2.)雙擊該“recover.reg”文件，系統(tǒng)彈出“是否確認要將 recover.reg 中的信息添加進注冊表”的確認框，點“是”，隨后，系統(tǒng)提示“recover.reg 里的信息已被成功地輸入注冊表”，再點擊“確定”即可將注冊表解鎖并進行隨后的修改。
2. 開始菜單的“運行”消失
在“運行”欄中輸入regedit是我們常用的打開注冊表編輯器的方式。然而有些含惡意代碼的網(wǎng)頁甚至連這里都不放過，難道它們認為憑這就可以阻止我們對注冊表的反修改嗎？沒問題，用兩個簡單的方法就可以把“運行”恢復(fù)。
其一，進入C:＼WINNT，找到“regedit.exe”，雙擊它就可以打開注冊表編輯器，接著請定位到：HKEY_CURRENT_USER＼Software＼Microsoft＼Windows＼CurrentVersion＼Policies＼Explorer
找到“NoRun”值項，右鍵單擊之，選擇“修改”（或者直接刪除更好），把它的值改為 0，重新啟動電腦即可；
其二，新建一個文本文件，輸入以下內(nèi)容（注意保持文本格式）：REGEDIT4
[HKEY_CURRENT_USER＼Software＼Microsoft＼Windows＼CurrentVersion＼Policies＼Explorer]
“NoRun”=dword:00000000
將該文件保存為run.reg文件，雙擊該文件，重啟電腦后，再打開“開始”菜單看看，“運行”選項是不是已經(jīng)恢復(fù)了呢？
3. IE瀏覽器的標題欄被修改
這是目前最常見的修改IE瀏覽器的方式。它的反修改也很容易，首先打開“開始”菜單，選運行命令輸入“regedit”，點擊“確定”即打開了注冊表編輯器。然后請定位到：HKEY_LOCAL_MACHINE＼Software＼Microsoft＼Internet Explorer＼Main 、HKEY_CURRENT_USER＼Software＼Microsoft＼Internet Explorer＼Main 及HKEY_USERS＼.DEFAULT＼Control Panel
三處子項，您會發(fā)現(xiàn)在它們下面都有一個叫“Window Title”的值項（也可能只有一處有，關(guān)鍵是要修改HKCU的值項），用鼠標右鍵單擊該值項，在彈出菜單選擇“修改”，將它修改為默認的“Microsoft Internet Explorer”或者任意您希望看到的語句，最后關(guān)閉注冊表編輯器并打開一個新的IE瀏覽器窗口，就能看到您設(shè)定的效果。
4. OutLook的標題欄被修改
這個情況比較少見，至少我沒有遇到過，只是有網(wǎng)友寫信來詢問，我才知道有些人居然無聊到這種地步。不過沒關(guān)系，它的反修改同樣很簡單，打開注冊表編輯器，定位到：HKEY_CURRENT_USER＼Software＼Microsoft＼Outlook Express子項下，找到值項“Window Title”，和反修改IE瀏覽器的方法一樣來修改“Window Title”值。最后關(guān)閉注冊表編輯器并重起OutLook即可看到效果。
5. IE瀏覽器的首頁被修改
這可能是目前網(wǎng)友反映最多的一個問題。一開始的時候解決這個問題很簡單，在IE的菜單中選擇：“工具”--“Internet選項”--“常規(guī)”，在“主頁”一欄中進行修改即可。但隨著事態(tài)的發(fā)展，形勢日趨嚴峻：一些網(wǎng)站的站長將多個腳本程序聯(lián)合使用，導致的后果往往就是首頁被修改的同時，IE的“主頁”選項也被禁用（按鈕呈灰色不可用狀態(tài)）！不過，沒問題，現(xiàn)在我們就來解決這個問題。
請您打開注冊表編輯器。定位到：HKEY_LOCAL_USER＼Software＼Policies＼Microsoft＼Internet Explorer＼Control Panel及HKEY_CURRENT_USER＼Software＼Policies＼Microsoft＼Internet Explorer＼Control Panel兩處子項，你會發(fā)現(xiàn)一個名為HomePage的DWORD值項，值為:1，不必猶豫，直接刪掉它，或者把值改為0。然后關(guān)閉注冊表編輯器，新開一個IE瀏覽器，再依次點擊“工具”--“Internet選項”--“常規(guī)”，你就會發(fā)現(xiàn)原來呈灰色的修改IE主頁的按鈕已經(jīng)恢復(fù)到了可編輯狀態(tài)。此時您就可以按自己的喜好隨意設(shè)定瀏覽器的主頁了。
6. IE瀏覽器的默認頁及空白頁被修改
打開注冊表編輯器，定位到：HKEY_LOCAL_MACHINE＼Software＼Microsoft＼Internet Explorer＼Main子項，修改Default_Page_URL的值即可。
定位到：HKEY_CURRENT_USER＼Software＼Microsoft＼Internet Explorer＼Main子項，修改Local Page的值即可。
7. 每次開機后彈出一個網(wǎng)頁
如果您每次開機后都會彈出一個IE瀏覽器，那就請您記住地址欄里的網(wǎng)址，然后打開注冊表編輯器，定位到：HKEY_CURRENT_USER＼Software＼Microsoft＼Windows＼CurrentVersion＼Run
HKEY_CURRENT_USER＼Software＼Microsoft＼Windows＼CurrentVersion＼Runonce
看看在該子項下是否有一個以這個網(wǎng)址為值的值項，如果有，刪除它。下次開機時就不會再有瀏覽器彈出了。不過道高一尺，魔高一丈，有時候這樣也未必能解決問題。遇到這種情況，您可以在注冊表編輯器的菜單里選擇“編輯”--“查找”，在“查找”對話框內(nèi)輸入開機時自動打開的網(wǎng)址，然后點擊“查找下一個”，將查找到的值項刪除。
8. IE瀏覽器的鼠標右鍵被禁用
其癥狀即為打開任意一個網(wǎng)頁，單擊鼠標右鍵都無法彈出菜單選項。這給許多經(jīng)常上網(wǎng)的朋友造成了很多不便。和上面一樣，打開注冊表編輯器，定位到：HKEY_CURRENT_USER＼Software＼Policies＼Microsoft＼Internet Explorer＼Restrictions,在該子項下有一個dword值為1的"NoBrowserContextMenu"值項，刪掉它即可。
9. 右鍵菜單內(nèi)被添加網(wǎng)站鏈接
很多朋友會在無意間突然發(fā)現(xiàn)，自己的右鍵菜單里不知道什么時候多出了一個“歡迎光臨XX網(wǎng)站 的選項，點擊之后便會打開瀏覽器進入這個網(wǎng)站。其實這往往是通過腳本程序在注冊表里做了手腳。有些網(wǎng)站就采用這種技術(shù)，在訪問者的右鍵菜單加上了他們網(wǎng)站的快捷方式。解決的方法也很簡單，定位到：HKEY_CURRENT_USER＼Software＼Microsoft＼Internet Explorer＼MenuExt,仔細查看其下的子項，刪除你不要的即可。當然您也可以照此格式添加自己的快捷方式，比如常去的網(wǎng)站等等。不過要是您對注冊表不太熟悉的話，建議您先做好備份再修改。
10. 桌面上的圖標全部消失
如果當您打開電腦，發(fā)現(xiàn)自己的桌面上居然空空如也，一個圖標都不見了，您會作何感想？不用說，這十有八九又是上網(wǎng)惹得禍。如果您想恢復(fù)，請把注冊表定位到：HKEY_CURRENT_USER＼Software＼Microsoft＼Windows＼CurrentVersion＼Policies＼Explorer，找到“NoDesktop”值項，右鍵單擊之，選擇“修改”（或者干脆刪除也可以），把它的值改為0，重新啟動電腦即可。看看，是不是又恢復(fù)到您熟悉的桌面了^_^？
11. IE工具欄（菜單）被添加網(wǎng)站鏈接
大家都知道，我們常用的軟件在安裝后，會向IE的工具欄（菜單）中添加它們的快捷方式?，F(xiàn)在有些網(wǎng)站也通過惡意腳本修改注冊表來達到同樣的效果。下面就讓我們來解決這個問題，請把注冊表定位到：HKEY_LOCAL_MACHINE＼Software＼Microsoft＼Internet Explorer＼Extensions，您會看到在該主鍵下有一些形同“{XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX}”的子鍵，仔細查看一下您就會明白，這些子鍵就是解決問題的關(guān)鍵所在，現(xiàn)在您只需將包含惡意網(wǎng)站鏈接的那個子鍵刪除即可。另外，如果在HKEY_CURRENT_USER＼Software＼Microsoft＼Internet Explorer＼Extensions＼CmdMapping下有和您刪除的形同{X......X}一樣鍵值的值項，也請將它刪除。完成后關(guān)閉注冊表編輯器，重新打開一個IE窗口，看看工具欄（菜單）是不是已經(jīng)恢復(fù)了？其實利用這個特性我們還可以DIY一個屬于自己的個性工具欄。
四、需要說明的是注冊表是Windows系統(tǒng)的核心部分，對它的修改一旦出現(xiàn)錯誤就很容易造成系統(tǒng)崩潰。因此，如果您在此之前沒有這方面的經(jīng)驗，建議您采用文中提到的兩個工具進行反修改；如果您希望借此機會了解和熟悉Windows注冊表，那么建議您在修改前做好全面?zhèn)浞?，以備今后恢?fù)之用。現(xiàn)在的惡意腳本日趨復(fù)雜，往往是幾段腳本程序混合使用，這可能需要您在反修改時靈活運用文中所提到的技巧。
最后，奉勸仍在使用此類腳本的網(wǎng)站，這種做法不可能為你帶來穩(wěn)定的訪問量，反而降低了你網(wǎng)站的品味。請為網(wǎng)絡(luò)留出一片凈土吧！
