实例比对解决浏览器劫持问题

dyrcj

　浏览器被劫持，是当前比较严重的一个安全问题。比如在浏览网页时，系统突然弹出一个窗口，提示“Microsoft Internet Explore遇到问题需要关闭……”，若点击“发送错误报告”按钮则会导致当前的IE窗口关闭，如点不发送则关闭了所有的IE窗口，或者只能打开网站的首页，点击其中的任何链接时都无法打开，即使用右键中“在新的窗口中打开”也不行。

　　这里我们来看看安全专家对此事做的三个诊断报告。看了这三个典型报告，相信对您营救被绑架的人质“IE”是大有裨益的！

　　报告一：Hosts文件被劫持者恶意修改

　　主要症状：网络正常，多数网站能够正常访问，但有一两个网站不能顺利访问。

　　患病原因分析：浏览不明网站，感染病毒。

　　Hosts表文件是一个没有扩展名的文件，但是它属于文本文件格式。您可以使用记事本程序对其进行编辑。Hosts表文件中存放的是一些常用的网站主机的域名和其对应的IP地址。当我们在使用浏览器浏览一个网站时，在地址栏中输入网站的域名并回车后，系统必须通过某种渠道将这个域名转换为其对应的惟一的IP地址，这项工作通常是由DNS(域名解析服务器)服务器来完成。而在系统将域名交给DNS服务器处理之前总是先检查本地的Hosts表文件，看其中是否已经有相应的域名与IP地址的对应关系，如果有就会直接采用，因而会节约大量时间。正因为这个原因，假如Hosts表文件中的某个域名与IP地址产生了错误的对应，当您在浏览器中输入这个域名试图打开其对应的网页时，就会出现打不开的情况；而那些映射正确，或是没有在Hosts表中有相应记录的网站则可以正常地打开。这就是上面我们提到的为什么有些网址不能打开，而在其它电脑中可以顺利打开的原因。很多恶意程序经常会玩这样的恶作剧。因此确诊为Hosts文件被劫持者恶意修改。

dyrcj

治疗措施：当然是清空HOSTS文件里的内容。

　　1．因为Hosts表文件在Windows 9x系统中存放在C:\Windows目录，而Windows NT/2000系统，则保存在C:\Winnt\ System32\Drivers\Etc目录，Windows XP系统保存在C:\Windows\ System32\Drivers\Etc，如果找不到的话，可以通过系统的搜索工具进行搜索。找到后，直接用记事本将其打开，然后将除了“#”开头的其它行内容全部删除，最后单击“文件→保存”将其保存即可。当然，您也可以选择性地删除那些被屏蔽了的、而您又想访问的网站，这样其它被屏蔽的网站则不会受影响。

　　2．如果感觉上述手工方法太笨拙，您也可以通过专门的工具来达到目的。上网助手2005（下载地址：http://dl.3721.net/download/assist4.exe）就可以让您轻松地修复Hosts表文件了。

　　下载并安装了上网助手后，在IE地址栏中找到“上网助手”图标，单击右侧的黑三角形，选择“修复IE→IE修复专家”，在打开的窗口中选择“编辑Hosts表”选项卡，如图1所示。

　　如果您不想一条一条地更改，直接单击“清空HOST表”按钮，最后单击“立即保存”按钮即可。否则您可以在列表中勾选那些被屏蔽掉而不能访问的网站域名，再单击“删除→立即保存”按钮。

　　小提示：我们可以利用这个特性来屏蔽恶意网站。方法很简单，只要在Hosts表文件中的尾行中追加类似于：IP地址 域名（IP地址与域名之间用空格分隔开）一行，最后保存并退出Hosts表文件即可。您也可以使用上网助手的Hosts表文件编辑功能来操作，在图1所示的窗口中单击“添加”按钮，然后在下面的“IP地址”和“域名”栏中分别输入相应的数据，最后单击“立即保存”即可。

dyrcj

　　报告二：系统注册表项目被篡改

　　主要症状：无论上哪个网站，在IE标题栏上都会多出一个固定的网址，出现固定的一个站点。

　　患病原因分析：浏览过含有恶意代码的网页，或者在聊天时使用IM软件而中毒，比如使用QQ聊天工具时，遭受QQ尾巴，从而导致注册表被恶意篡改。

　　治疗措施：这时我们要记下这个固定站网址，在“运行”中键入“regedit”进入注册表。

　　然后执行查找命令，找到注册表中包含该网址的键值并删除，如图2所示。

　　

　　小提示：在修改前应先对注册表进行备份，以免误操作导致系统无法运行。

　　然后重启计算机就可以了。

　　预防方法：

　　1．因为修改注册表设置都使用JavaScript脚本语言，所以只需禁用它即可。但这种脚本语言应用广泛，所以建议在IE的设置中将脚本设为“提示”。

　　2．建议使用一些单窗口多页面的浏览器（如NetCaptor等），能更方便地切换脚本设置，NetCaptor工具栏中的“安全”按钮能很方便地设置脚本、ActiveX和Cookie的启用情况。

　　3．使用Windows 2000的朋友，只需在“控制面板”→“管理工具”→“服务”中禁用“Remote Registry Service”服务，就不用担心注册表被修改了。

　　4．使用Norton AntiVirus杀毒软件，这个版本新增“Script Blocking”功能，将通过IE修改注册表的代码定义为“Trojan.Offensive”，并予以拦截。

　　报告三：IE加载项被恶意修改

　　主要症状：计算机访问站点时速度突然变慢或IE被强制关闭的现象。

　　患病原因：Web浏览器加载项为我们提供了许多丰富的功能，使用户能更愉快或高效地浏览。附加工具栏、动画鼠标指针和股市代号均为浏览器加载项的实例。有些加载项与Windows一起安装，而更多的加载项是通过网页进行加载的，而且有的加载项总是不管您愿不愿意，在浏览网页时就自动安装上了。由于微软原本对于这些IE加载项的控制能力比较薄弱，如果我们碰到恶意网站，IE是没有一点抵御能力的。

　　治疗措施：知己知彼方能百战不殆，Microsoft也意识到了这个严重的错误，在SP2里将这个漏洞修复了，现在我们只需要简单的设置SP2的管理加载项功能就能轻松治疗IE加载项被恶意修改的弊病了。

　　打开IE，在菜单栏上选择“工具”→“管理加载项”，选择“查看”选项卡，可以看到主要功能都集中在一个界面中，通过下拉菜单我们可以让列表分别显示现在已经启动的加载项，或者是当前加载的加载项，如图3所示。这里的分类比较清晰，而且都能标出加载项所调用的具体文件名，要禁用的话只要在下面点击即可。

　　

dyrcj

我们安装过的加载项都可以找得出来，而且当我们禁止后，加载项就不会再出现了，试验中它对于常见的加载项都能自动读取，连一些隐藏的比如CNNIC的中文上网都可以在这里启用或禁用，而且它具有对不同的加载项分类列出的功能，让我们管理庞大的加载项时不致于晕头转向。更新ActiveX功能让我们随意升级控件到最新版本。设置完毕后，为了测试，访问一个肯定会弹出询问是否安装加载项的网站，检测一下效果，结果IE立刻阻挡了一个加载项的弹出，并在信息栏醒目地标示出来。

　　专家提示：IE加载项其实就是我们经常上网会遇到的ActiveX控件、软件安装后出现的IE工具条、一些使用帮助功能等，比如新浪的iGame插件、3721上网助手，ICQ Toolbar，还有其它各个开发商所制作的控件。

　　上述是恶意劫持IE的常用手段，只要我们把握住这三关，基本上可以放心的上网冲浪，可是任何事物都是相对的，没有绝对的“铜墙铁壁”，我们必须提高自身的安全意识，不要轻易浏览些不明网站，因为很多网站都搀杂恶意程序、病毒、木马在里面。同时要定期更新杀毒软件和防火墙，并安装系统补丁。