E浏览被篡改360后首页无法恢复

Question

E浏览被篡改360后首页无法恢复，常见问题为：360安全卫士或360浏览器在优化或清理过程中强制锁定IE（Internet Explorer）默认首页，并阻止用户修改。即使手动更改注册表或通过浏览器设置重置主页，重启后仍被自动还原为360导航页。此问题源于360软件对HKEY_LOCAL_MACHINE和HKEY_CURRENT_USER中IE主页相关键值的持续监控与保护，导致用户失去首页控制权。许多用户反馈卸载360后问题依旧存在，说明其残留服务或驱动仍在运行。该行为严重影响用户体验，尤其在企业环境中造成办公效率下降。如何彻底清除360对IE首页的劫持并恢复用户自定义主页，成为亟待解决的技术难题。

Answer 1

一、问题背景与现象分析

在企业IT运维和终端用户支持中，频繁出现Internet Explorer（IE）浏览器首页被360安全卫士或360浏览器篡改的问题。即使用户尝试通过“Internet选项”修改主页为自定义地址（如https://www.google.com或内部OA系统），重启后仍自动跳转至hao.360.cn或其他360导航页。

该问题不仅影响个人用户体验，在大型组织中更可能导致员工访问内部系统的效率下降，甚至引发信息安全隐患。进一步排查发现，此类劫持行为并非简单的注册表修改，而是由360软件通过服务进程、驱动级保护及注册表监控机制实现的持久化控制。

现象描述	可能原因	影响范围
IE主页设置被锁定	360注册表策略写入	单用户/全系统
手动修改后重启还原	后台服务持续监控	所有Windows版本
卸载360后仍存在	残留驱动或服务未清除	高权限环境
组策略无法覆盖设置	Hook注入或权限提升	域控失效场景

二、技术原理剖析：360如何劫持IE首页

360系列软件利用Windows系统底层机制对IE浏览器进行深度干预，主要手段包括：

1. 注册表键值锁定：修改以下关键路径中的默认主页设置：
   • HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\Start Page
   • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main\Start Page
2. 策略组覆盖（Group Policy Override）：写入NoHome Page或DisableChangingHomePage等策略项，阻止用户更改。
3. 服务级守护进程：运行如360sd.exe、360rp.exe等后台服务，定期扫描并恢复被修改的注册表项。
4. 内核驱动保护：加载如360fs.sys等驱动，实现对注册表句柄的实时拦截与重定向。

reg query "HKCU\Software\Microsoft\Internet Explorer\Main" /v "Start Page"
reg query "HKLM\Software\Microsoft\Internet Explorer\Main" /v "Start Page"

执行上述命令可初步判断当前主页设置是否已被篡改或受控。

三、诊断流程与检测方法

为准确识别劫持源，建议按照以下流程进行系统级排查：

graph TD A[发现IE首页异常] --> B{是否安装360产品？} B -- 是 --> C[检查相关服务状态] B -- 否 --> D[排查其他第三方软件] C --> E[使用Autoruns检查启动项] E --> F[查看注册表权限是否被锁定] F --> G[检测是否存在360驱动加载] G --> H[确认是否有残留服务]

具体操作步骤如下：

• 打开任务管理器，查看是否存在360tray.exe、360safe.exe等进程。
• 运行services.msc，查找以“360”命名的服务，并检查其启动类型与状态。
• 使用Sysinternals工具包中的Autoruns，筛选“Logon”、“Services”、“Drivers”标签页，定位360相关条目。
• 通过driverquery /v命令列出所有驱动，搜索包含“360”的模块。

四、解决方案层级递进

针对不同深度的劫持行为，需采取分层清除策略：

1. 基础层：常规卸载与设置修复

• 通过控制面板正常卸载360安全卫士/浏览器。
• 进入“Internet选项” → “高级” → “重置”，勾选“删除个人设置”。
• 手动修改注册表中的Start Page键值。

2. 中间层：清除残留服务与计划任务

即使软件已卸载，部分服务可能仍驻留系统。执行以下命令：

sc query | findstr -i "360"
schtasks /query /fo list | findstr -i "360"

若发现残留任务或服务，使用schtasks /delete /tn "TaskName" /f删除。

3. 深度层：驱动与注册表权限清理

某些360组件会通过驱动实现自我保护。需进入安全模式或PE环境进行清理：

• 禁用并删除注册表中被锁定的项ACL权限：

regini - Fix permissions on:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main

使用PowerShell脚本批量移除可疑驱动：

$drivers = Get-WindowsDriver -Online -All | Where-Object {$_.OriginalFileName -like "*360*"}
foreach ($drv in $drivers) { pnputil /delete-driver $drv.DriverPackageName /uninstall }

五、企业级治理建议

在大规模部署环境中，应建立预防性机制防止此类软件滥用：

措施	实施方式	适用场景
软件白名单策略	AppLocker/SRPP	终端安全管理
组策略封锁注册表修改	GPO配置禁止特定路径写入	统一桌面标准
EDR监控异常行为	检测持续性注册表回写	威胁狩猎
自动化脚本巡检	每日扫描IE主页设置	合规审计
用户权限最小化	禁用本地管理员权限	防恶意安装

可通过SCCM或Intune推送以下注册表策略，强制锁定主页：

HKEY_CURRENT_USER\Software\Policies\Microsoft\Internet Explorer\Control Panel
"HomePage"=dword:00000001