草鞋

單位局域網(wǎng)中有一臺客戶機(jī)安裝使用的仍然是Windows系統(tǒng)，可能由于用戶手頭沒有正版的安全工具可以利用，該系統(tǒng)一直沒有安裝防火墻和殺毒軟件。在上網(wǎng)沖浪的過程中，XP系統(tǒng)意外感染了網(wǎng)絡(luò)病毒，造成了IE瀏覽器無法正常工作，具體現(xiàn)象為：每次用鼠標(biāo)雙擊系統(tǒng)桌面中的瀏覽器圖標(biāo)，開啟IE瀏覽器的運(yùn)行狀態(tài)時(shí)，瀏覽窗口打開后就會(huì)自動(dòng)關(guān)閉，用戶根本不能正常瀏覽網(wǎng)頁內(nèi)容。不過，讓用戶感覺到十分蹊蹺的是，在系統(tǒng)資源管理器窗口地址欄中，輸入上網(wǎng)地址卻能正常顯示網(wǎng)頁內(nèi)容，為什么IE瀏覽器窗口會(huì)自動(dòng)關(guān)閉呢？

考慮到系統(tǒng)資源管理器能正常打開網(wǎng)頁內(nèi)容，而該管理器窗口仍然使用的是IE瀏覽器的內(nèi)核，這就說明IE瀏覽器內(nèi)核沒有受到損壞，很可能是網(wǎng)絡(luò)病毒或惡意程序非法修改了IE瀏覽器的某些設(shè)置。仔細(xì)觀察IE瀏覽器打開并自動(dòng)關(guān)閉這一過程，發(fā)現(xiàn)窗口好像顯示過內(nèi)容，為了弄明白這些內(nèi)容是否與自動(dòng)關(guān)閉故障有關(guān)，筆者嘗試再次開啟IE瀏覽器的運(yùn)行狀態(tài)，并在瀏覽窗口顯示出內(nèi)容，同時(shí)還沒有被自動(dòng)關(guān)閉的一剎那，使用鍵盤上的“Print Screen”功能鍵，對瀏覽窗口內(nèi)容執(zhí)行抓屏操作，再將抓屏內(nèi)容拷貝到畫圖程序中。認(rèn)真查看圖片內(nèi)容時(shí)，筆者看到瀏覽窗口標(biāo)題欄中出現(xiàn)了“http：//www.0749.com”網(wǎng)站地址的身影，很顯然，IE瀏覽器窗口的首頁地址遭遇到了劫持現(xiàn)象，IE瀏覽器窗口自動(dòng)關(guān)閉的問題多半與網(wǎng)站劫持有關(guān)。

排查步驟

1. 恢復(fù)首頁地址

既然IE瀏覽器的首頁地址已經(jīng)被強(qiáng)制設(shè)置為“http：//www.0749.com”，采用手工方法，恢復(fù)瀏覽窗口的首頁地址，說不定就能解決IE瀏覽器自動(dòng)關(guān)閉的故障現(xiàn)象。說干就干，筆者立即用鼠標(biāo)右鍵單擊系統(tǒng)桌面上的IE瀏覽器圖標(biāo)，從彈出的快捷菜單中點(diǎn)擊“屬性”命令，打開Internet屬性對話框，選擇“常規(guī)”選項(xiàng)卡，進(jìn)入如圖1所示的選項(xiàng)設(shè)置頁面，在“主頁”位置處，點(diǎn)擊“使用空白頁”按鈕，確認(rèn)后結(jié)束首頁地址恢復(fù)操作。不過，當(dāng)筆者再次打開IE瀏覽器窗口時(shí)，看到該窗口還是一閃而過，這說明首頁地址被調(diào)整，不是IE瀏覽器窗口自動(dòng)關(guān)閉的原因。重新進(jìn)入Internet屬性對話框時(shí)，筆者看到“主頁”位置處的內(nèi)容又變成了“http：//www.0749.com”，顯然這種辦法不能解決問題。

2. 尋找可疑程序

筆者擔(dān)心本地客戶端系統(tǒng)可能遭遇到可疑自啟動(dòng)惡意程序的攻擊，該攻擊造成了IE瀏覽器窗口自動(dòng)關(guān)閉現(xiàn)象。為了判斷自己的分析是否正確，筆者依次點(diǎn)擊系統(tǒng)桌面上的“開始”|“運(yùn)行”選項(xiàng)，彈出系統(tǒng)運(yùn)行對話框，輸入字符串命令“msconfig”并回車，展開系統(tǒng)配置實(shí)用程序?qū)υ捒?。選擇“啟動(dòng)”標(biāo)簽，進(jìn)入如圖2所示的標(biāo)簽設(shè)置頁面，仔細(xì)檢查這里的啟動(dòng)項(xiàng)目列表，筆者沒有發(fā)現(xiàn)任何可疑份子。

后來，筆者不放心，又在系統(tǒng)運(yùn)行對話框中執(zhí)行“regedit”命令，打開系統(tǒng)注冊表編輯界面，仔細(xì)檢查了“HKEY_LOCAL_MACHINE＼SOFTWARE＼Microsoft＼Windows NT＼CurrentVersion＼Winlogon”、“HKEY_LOCAL_MACHINE＼SOFTWARE＼Microsoft＼Windows＼CurrentVersion＼RunOnce”、“HKEY_CURRENT_USER＼Software＼Microsoft＼Windows＼CurrentVersion＼Runonce”、“HKEY_CURRENT_USER＼Software＼Microsoft＼Windows＼CurrentVersion＼Run”、“HKEY_LOCAL_MACHINE＼SOFTWARE＼Microsoft＼Windows＼CurrentVersion＼Run” 等分支下的啟動(dòng)項(xiàng)目，也沒有找到可疑的自啟動(dòng)程序，這就表明本地計(jì)算機(jī)中沒有可疑自啟動(dòng)程序在攻擊IE瀏覽器。

3. 檢查沖突因素

大家知道，如果Windows系統(tǒng)中同時(shí)存在多個(gè)不同類型的上網(wǎng)瀏覽器時(shí)，它們相互之間很容易會(huì)發(fā)生沖突現(xiàn)象，這也容易導(dǎo)致IE瀏覽器在開啟運(yùn)行的時(shí)候，出現(xiàn)自動(dòng)關(guān)閉的問題。想到這一點(diǎn)，筆者仔細(xì)檢查了本地計(jì)算機(jī)中的所有程序，發(fā)現(xiàn)系統(tǒng)中除了安裝有IE瀏覽器程序外，還存在360瀏覽器程序，難道它們之間真的存在沖突現(xiàn)象？嘗試著卸載360瀏覽器程序后，又重新啟動(dòng)了一下計(jì)算機(jī)系統(tǒng)，之后再打開IE瀏覽器程序窗口時(shí)，發(fā)現(xiàn)自動(dòng)關(guān)閉的現(xiàn)象依然沒有消失，看來這種方法也不奏效。

4. 排除設(shè)置障礙

聯(lián)想到IE瀏覽器窗口在剛打開的一剎那，訪問過“http：//www.0749.com”站點(diǎn)，會(huì)不會(huì)是該站點(diǎn)的腳本內(nèi)容造成了IE瀏覽器窗口被自動(dòng)關(guān)閉呢，或者是IE瀏覽器不支持某些腳本程序呢？為了排除這種可能，筆者決定臨時(shí)停用IE瀏覽器的腳本調(diào)試功能。用鼠標(biāo)右鍵單擊系統(tǒng)桌面上的IE瀏覽器圖標(biāo)，從彈出的快捷菜單中點(diǎn)擊“屬性”命令，打開Internet屬性對話框，選擇“高級”選項(xiàng)卡，進(jìn)入如圖3所示的選項(xiàng)設(shè)置頁面，在“設(shè)置”列表中找到“禁用腳本調(diào)試（Internet Explorer）”選項(xiàng)，取消該選項(xiàng)的選中狀態(tài)，確認(rèn)后繼續(xù)進(jìn)行上網(wǎng)測試操作，不過IE瀏覽器窗口還是在轉(zhuǎn)眼之間就被關(guān)閉了。

之后，筆者順便檢查了IE瀏覽器的其他設(shè)置參數(shù)，看到在“安全”選項(xiàng)設(shè)置頁面中，該瀏覽器處于較高的安全級別，為了防止高安全級別影響網(wǎng)頁的正常顯示，筆者特地在該選項(xiàng)設(shè)置頁面中，用鼠標(biāo)拖動(dòng)安全滑塊降低IE瀏覽器的默認(rèn)安全級別，可是測試后發(fā)現(xiàn)該設(shè)置依然沒有取得任何效果。后來，筆者又意外看到IE瀏覽器程序的版本比較低，決定將其升級到最新版本，以提高該程序的兼容能力，遺憾的是，版本升級操作也不能解決任何問題。

既然對IE瀏覽器的各種可能設(shè)置調(diào)整過后，都沒能達(dá)到預(yù)期的效果，筆者決定利用該程序自帶的“重置”功能，索性將其各種設(shè)置恢復(fù)到默認(rèn)狀態(tài)。在重置IE瀏覽器的各項(xiàng)設(shè)置參數(shù)時(shí)，首先進(jìn)入到Internet高級屬性對話框，在“重置Internet Explorer設(shè)置”位置處，按下“重置”按鈕，再重新啟動(dòng)IE瀏覽器窗口時(shí)，還是不能解決問題，這說明上述故障現(xiàn)象與IE瀏覽器自身設(shè)置沒有任何關(guān)系。

5. 修復(fù)系統(tǒng)文件

倘若Windows系統(tǒng)的某些核心文件意外受到損壞的話，那么IE瀏覽器的工作狀態(tài)也有可能不正常。要是Windows系統(tǒng)只有少數(shù)幾個(gè)系統(tǒng)文件受損時(shí)，那可以考慮使用Windows系統(tǒng)自帶的SFC掃描修復(fù)命令，來嘗試對那些與IE瀏覽器相互關(guān)聯(lián)同時(shí)已經(jīng)受到損壞的系統(tǒng)文件進(jìn)行修復(fù)，一旦修復(fù)成功后，說不定IE瀏覽器的啟動(dòng)又會(huì)恢復(fù)正常狀態(tài)了。在修復(fù)受損系統(tǒng)文件時(shí)，筆者依次單擊系統(tǒng)桌面上的“開始”|“運(yùn)行”選項(xiàng)，在彈出的系統(tǒng)運(yùn)行文本框中，輸入“sfc /scannow”字符串命令（如圖4所示），單擊“確定”按鈕后，Windows系統(tǒng)就會(huì)自動(dòng)開始搜索掃描系統(tǒng)的每個(gè)角落位置，如果探測到系統(tǒng)文件的版本不正確或者系統(tǒng)文件已經(jīng)受到損壞時(shí)，它將會(huì)自動(dòng)彈出提示對話框，要求用戶插入Windows系統(tǒng)安裝光盤，來提取正常的系統(tǒng)文件，來實(shí)現(xiàn)修復(fù)系統(tǒng)受損文件目的。系統(tǒng)文件修復(fù)很順利，不過在重新啟動(dòng)Windows系統(tǒng)后，IE瀏覽器仍然工作不正常。

在修復(fù)好系統(tǒng)文件后，筆者又懷疑某些DLL文件被意外刪除，引起了IE瀏覽器窗口模塊不能正常工作。為此，筆者將Windows系統(tǒng)安裝盤放入物理光驅(qū)，打開系統(tǒng)運(yùn)行對話框，在其中執(zhí)行“rundll32.exe setupapi，InstallHinfSection DefaultInstall 132 %windir%＼Inf＼ie.inf”命令，對IE瀏覽器程序進(jìn)行重新安裝操作，之后又依次執(zhí)行“regsvr32 actxprxy.dll”、“regsvr32 shdocvw.dll ”等字符串命令，嘗試對IE瀏覽器的主要DLL文件執(zhí)行重新注冊操作，不過這些努力還是沒有換來任何回報(bào)。沒有辦法，筆者又按照同樣的操作，將與IE瀏覽器程序有關(guān)的其他DLL文件依次注冊了一遍，例如，對shell32.dll、browseui.dll、oleaut32.dll、urlmon.dll、mshtml.dll等動(dòng)態(tài)鏈接庫文件，都進(jìn)行了重新注冊操作，不過還是一點(diǎn)效果都沒有。

6. 清除網(wǎng)絡(luò)病毒

既然上面的各項(xiàng)排查都沒有能夠解決問題，筆者只好將問題的責(zé)任推卸給網(wǎng)絡(luò)病毒了。大家知道，很多十分奇怪的故障現(xiàn)象，往往多是由于網(wǎng)絡(luò)病毒或惡意程序造成的，現(xiàn)在筆者唯一能做的事情，就是更新殺毒軟件到最新版本，并利用它掃描查殺整個(gè)計(jì)算機(jī)硬盤。

首先在局域網(wǎng)中找一臺能夠正常訪問網(wǎng)頁的客戶機(jī)，在該計(jì)算機(jī)中下載獲得360殺毒軟件和360安全衛(wèi)士這兩款安全工具，將其他發(fā)布成共享狀態(tài)，通過共享訪問操作將它們拷貝到故障客戶機(jī)硬盤中。之后，按照默認(rèn)設(shè)置，將它們分別安裝到WinXP系統(tǒng)中，并分別對它們執(zhí)行升級操作，確保它們處于最新版本狀態(tài)。接下來，開啟360殺毒軟件的運(yùn)行狀態(tài)，開始對故障客戶機(jī)進(jìn)行全面的病毒查殺操作，經(jīng)常漫長的病毒查殺等待后，殺毒工具并沒有找到任何網(wǎng)絡(luò)病毒和惡意軟件的“身影”。

下面，筆者又啟動(dòng)運(yùn)行了360安全衛(wèi)士，點(diǎn)擊主程序界面中的“立即體驗(yàn)”按鈕（如圖5所示），對Windows XP系統(tǒng)的安全狀況進(jìn)行徹底地體檢。沒有多長時(shí)間，360安全衛(wèi)士返回了體檢結(jié)果，“電腦體驗(yàn)得分：42”，這說明故障客戶機(jī)的安全狀態(tài)不容樂觀。切換到360安全衛(wèi)士程序的“系統(tǒng)修復(fù)”選項(xiàng)設(shè)置頁面中，筆者看到一個(gè)IE瀏覽器可能被修改的提示項(xiàng)目，很明顯，360安全衛(wèi)士程序終于找到了潛藏的病毒程序，很可能是該病毒在暗中搗亂，影響IE瀏覽器的啟動(dòng)運(yùn)行。根據(jù)提示，筆者點(diǎn)擊了對應(yīng)選項(xiàng)設(shè)置頁面中的“立即修復(fù)”按鈕，開始對潛藏病毒的破壞執(zhí)行修復(fù)操作，修復(fù)操作結(jié)束后，將故障客戶機(jī)重新啟動(dòng)了一下。

7. 修復(fù)相關(guān)鍵值

由于病毒對系統(tǒng)注冊表的一些修改破壞操作，無法利用360安全衛(wèi)士程序自動(dòng)修復(fù)成功，不得已，筆者決定采用手工方法，嘗試將系統(tǒng)相關(guān)鍵值恢復(fù)正常。

首先依次點(diǎn)擊系統(tǒng)桌面上的“開始”|“運(yùn)行”選項(xiàng)，彈出系統(tǒng)運(yùn)行對話框，輸入字符串命令“regedit”并回車，切換到系統(tǒng)注冊表編輯界面。逐一選擇“編輯”|“查找”命令，彈出注冊表鍵值查找對話框，在“查找目標(biāo)”文本框中，輸入關(guān)鍵字“www.0749.com”，如圖6所示，點(diǎn)擊“查找下一個(gè)”按鈕，很快Windows XP系統(tǒng)就將與關(guān)鍵字匹配的相關(guān)鍵值和子項(xiàng)搜索并顯示出來了。選中與“www.0749.com”關(guān)鍵字有關(guān)的鍵值選項(xiàng)，并用鼠標(biāo)右鍵單擊之，執(zhí)行快捷菜單中的“刪除”命令，將其從系統(tǒng)注冊表中刪除掉。

當(dāng)然，為了保證系統(tǒng)安全，在對注冊表鍵值執(zhí)行刪除操作時(shí)，建議大家先對有關(guān)注冊表分支或?qū)φ麄€(gè)注冊表執(zhí)行備份操作，日后遇到意外的時(shí)候，能夠隨時(shí)方便恢復(fù)。繼續(xù)進(jìn)行鍵值查找操作，直到注冊表查找任務(wù)結(jié)束，最后關(guān)閉注冊表編輯界面，再將計(jì)算機(jī)系統(tǒng)重新啟動(dòng)一下。

解決故障

經(jīng)過上述處理操作之后，筆者又一次小心地開啟了IE瀏覽器窗口。讓人感到十分欣慰的是，這次瀏覽器窗口沒有象以往那樣自動(dòng)關(guān)閉，在瀏覽窗口地址欄中輸入網(wǎng)站地址時(shí)，也能正常顯示網(wǎng)頁內(nèi)容了。原以為故障現(xiàn)象已經(jīng)被成功解決了，可是沒有多長時(shí)間，又發(fā)生了新的故障，IE頁面被強(qiáng)行跳轉(zhuǎn)到其他站點(diǎn)。

再次使用360安全衛(wèi)士程序掃描檢測Windows XP系統(tǒng)，發(fā)現(xiàn)系統(tǒng)中鏈接到網(wǎng)站地址的快捷方式“：@shdoclc.dll，-880”不正常，進(jìn)一步查看后，看到HKEY_CLASSES_ROOT＼CLSID＼{0CE009D8-FCF8-E081-231A-75A15E78F64A}＼TypeLib[Default]：（{B351EBAF-7DD8-4AE9-A7FF-3628D157D82E}）注冊表分支存在問題。重新打開系統(tǒng)注冊表編輯窗口，將鼠標(biāo)定位到上述注冊表分支上，將目標(biāo)分支下的內(nèi)容全部刪除，再重新啟動(dòng)計(jì)算機(jī)系統(tǒng)。之后，打開系統(tǒng)資源管理器窗口，依次展開“C：＼Program Files＼Internet Explorer”文件夾窗口，選中并刪除其中的dat類型文件，再次將計(jì)算機(jī)系統(tǒng)重新啟動(dòng)一下。這時(shí)，打開IE瀏覽器窗口進(jìn)行上網(wǎng)測試時(shí)，發(fā)現(xiàn)它的工作狀態(tài)終于徹底正常了。