ie非法劫持修复工具

朋友发来一张截图，非法浏览器主页被改成“hao.123.com”，劫持后面跟了一串乱七八糟的修复参数。她问我：“我就装了个PDF转换器，工具怎么IE就变这样了？非法”这不是IE第一次被劫持，也不会是劫持最后一次。问题出在哪儿？修复那个PDF转换器安装包里，捆绑了一个叫“IE劫持模块”的工具东西。它不干别的非法，专门改注册表里IE的劫持启动项和搜索钩子。

很多人以为IE已经死了。修复微软2022年6月停止支持IE 11，工具2023年2月通过Windows更新彻底禁用。非法但你打开任务管理器，劫持时不时还能看到`iexplore.exe`在跑。修复为什么？因为国内大量政企系统、银行U盾、老版OA还在调用IE内核。这些系统不升级，IE就死不透。恶意软件盯上的正是这个缝隙——它们知道IE还在被调用，改IE配置比改Chrome、Edge容易得多。Chrome有扩展签名校验，Edge有SmartScreen，IE呢？注册表里几个键值就能让它乖乖听话。

我拆过一个典型的劫持样本。释放的驱动文件叫`iefix.sys`，名字起得挺正经，实际干的事是挂钩`NtOpenKey`，拦截对`HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main`的读取请求。你打开IE，它返回一个被篡改过的`Start Page`值。你手动改回来？重启后驱动又给你写回去。更损的是，它还会在`HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects`下面注册一个CLSID，每次IE启动就加载一个BHO插件。这个插件监听导航事件，你输入任何网址，它先跳转到自己的推广链接，再重定向到目标站点。用户看到的是“怎么打开网页这么慢”，实际是中间商赚了差价。

修复工具怎么做？市面上那些“IE修复大师”大多只清注册表，清完重启又复发。根子在于驱动没删。我写过一个批处理脚本，思路很直接：先`sc stop iefix`停止服务，再`sc delete iefix`删除服务项，然后进安全模式删掉`C:\Windows\System32\drivers\iefix.sys`。注册表那边，用`reg delete`把`Main`键下面所有非默认值清掉，特别是`Start Page`、`Search Page`、`Default_Page_URL`这三个。BHO的CLSID要顺着`Browser Helper Objects`一个个查，对照微软的已知合法CLSID列表，不在列表里的全删。最后一步，把IE的`ResetWebSettings`和`ResetHomePage`策略重新应用一遍。整个过程不需要第三方工具，系统自带的`reg.exe`和`sc.exe`就够了。

有个细节值得说。很多劫持模块会同时改`HKEY_LOCAL_MACHINE`和`HKEY_CURRENT_USER`两处。只清HKCU，HKLM还在，IE启动时优先读HKLM，照样被劫持。反过来也一样。必须两边都清，而且要先清HKLM再清HKCU，顺序反了，HKCU的残留值会覆盖HKLM的清空结果。这个坑我踩过两次才搞明白。

修复完不代表万事大吉。那个PDF转换器还在，下次运行照样给你装回来。所以修复工具最后应该加一步：用`icacls`把`iefix.sys`的父目录权限改成只读，或者直接在注册表里把`Image File Execution Options`下面对`iexplore.exe`加一个`Debugger`值指向`svchost.exe`。这招有点狠，但管用——IE启动时会被调试器拦截，劫持模块加载不了。代价是IE本身也用不了，适合那些彻底不用IE但需要防劫持的场景。

说到底，IE劫持不是技术问题，是生态问题。只要还有系统依赖IE，只要还有软件捆绑安装，这个坑就填不平。修复工具能做的，只是把已经掉进去的人拉出来，顺便在坑边竖个牌子。至于绕不绕得开，看用户自己。