BYR Achieve · 镜像论坛

诡异的主页被篡改——终于成功解决。原来是这样

2009/11/24镜像同步26 回复

今天看到有人在说主页被篡改：http://forum.byr.edu.cn/wForum/disparticle.php?boardName=Security&ID=26024&pos=7 然后感觉和我自己宿舍的那台电脑症状一样……前两天突然想用一次ie时才发现主页被改了（果然还是firefox好么-_,-）……研究了一下被改的原理，发现比较有新意的，现将全过程发出来：症状：双击桌面的IE图标（图标，非快捷方式。后文将解释这个图标是个什么东西）。发现自动开启了一个不知名的网页20rs.com 双击IE快捷方式，或者是到IE安装文件夹下启动IE，不会打开这个页面。一切正常。检查主页设置，没有异常。使用字符串“20rs.com”搜索注册表，找不到相关信息。使用360修复软件修复IE，无效。懒得试其他修复软件了…… 嗯，是个比较诡异的主页篡改吧。下药：自然先是百度和google。发现网上一大堆在问主页被改成20rs.com，但就是没有解决办法=。= 看到信安版论坛上Kaguya同学的回帖之后得到启发。【在 Kaguya 的大作中提到: 】 : 我觉得本质还是快捷方式…… : 只是作为“系统文件快捷方式”（不知道具体该怎么叫，比如桌面上默认的我的电脑，IE，回收站等），看这些文件的属性不会出现快捷方式属性而是直接显示文件属性。 : 所以我倒是觉得关键是怎么创建这种“系统文件快捷方式”…… : ................... 于是去搜索这种“系统文件快捷方式”是怎么创建的。这才搞明白了桌面那个IE图标的本质：它其实是一个名字为“Internet Explorer.{871C5380-42A0-1069-A2EA-08002B30309D}”的文件夹……在其他目录里新建这么一个文件夹，然后拖到桌面来……就变成IE了=。= 于是目光又回到注册表来了。这种“系统文件快捷方式”是没有问题的，问题应该在于对应的注册表项。文件夹后面的ID号给了提示：871C5380-42A0-1069-A2EA-08002B30309D 注册表搜索此字符串，于是到了IE相关的注册表项。经过和正常电脑的比较，发现里面shell子项下多了一个子项叫OpenHomePage1[em23]此项里有一个键值是"C:\Program Files\Internet Explorer\IEXPLORE.EXE" %32%30%2r%2s%2.%2c%2o%2m 于是真相大白了……后面那个编码正是20rs.com（难怪直接搜索这个字符串搜索不出来=。=）比较囧的是360IE修复工具也没找出来？估计这东西光看前面那项OpenHomePage（注意看哦，没有1哦），而对后面这个OpenHomePage1视而不见=。= 将OpenHomePage1及其子项全部删除之后，IE恢复正常。有图有真相：

订阅后，新回复会通过你的通知中心匿名送达。