Edge浏览器默认首页被劫持为hao123

Question

Edge浏览器默认首页被劫持为hao123，通常由恶意插件、广告软件或第三方程序篡改浏览器设置所致。常见问题表现为：用户每次启动Edge时自动跳转至hao123网站，即使修改首页设置后仍被重置。此类问题多源于安装软件时捆绑的推广模块，或访问了诱导性网页导致脚本静默修改注册表及浏览器配置。部分情况下，组策略或快捷方式目标被恶意修改亦会引发该现象。需通过查杀恶意软件、清理启动项、重置浏览器设置并检查快捷方式属性予以解决。

Answer 1

Edge浏览器首页被劫持为hao123的深度分析与系统性解决方案

1. 问题现象描述与初步判断

用户在使用Microsoft Edge浏览器时，启动后默认首页自动跳转至“hao123”网站，即使通过设置界面修改首页地址并重启浏览器，设置仍被重置。该行为具有典型的浏览器劫持特征，表现为：

• 每次启动Edge均强制打开hao123.com或其子域名
• 手动更改“启动时”或“新标签页”设置无效
• 浏览器扩展中出现未知或可疑插件
• 快捷方式目标路径中附加了额外URL参数

2. 根本原因分类分析

从系统架构和攻击面角度，可将劫持来源划分为以下四类：

类别	技术机制	检测方式
恶意软件/广告程序	捆绑安装推广模块（如2345、金山毒霸等）	任务管理器、启动项、注册表Run键
浏览器扩展劫持	注入脚本修改homepage策略	edge://extensions/ 查看异常扩展
注册表篡改	HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main 被修改	regedit 检查Start Page、Default_Page_URL等键值
组策略或快捷方式篡改	Group Policy或.lnk文件目标追加URL	gpedit.msc 或右键快捷方式属性检查

3. 诊断流程图：系统化排查路径

```mermaid
graph TD
    A[首页跳转至hao123] --> B{是否仅Edge受影响？}
    B -->|是| C[检查Edge扩展与设置]
    B -->|否| D[检查系统级劫持]
    C --> E[禁用所有扩展]
    E --> F[重置Edge设置]
    F --> G[问题是否解决？]
    G -->|否| H[检查快捷方式目标]
    H --> I[查看目标字段是否含hao123]
    I --> J[清除附加参数]
    D --> K[运行杀毒软件扫描]
    K --> L[检查注册表Run项]
    L --> M[HKEY_CURRENT_USER\...\IE\Main]
    M --> N[修复Start Page等键值]
    N --> O[使用系统还原点或重置系统策略]
```
    

4. 关键注册表位置与修复命令

以下是常见的被篡改注册表路径及对应修复建议：

Windows Registry Editor Version 5.00
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
"Start Page"="https://www.baidu.com"
"Default_Page_URL"="https://www.google.com"
"Search Page"="https://www.bing.com"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
// 删除名为“hao123Launcher”等可疑启动项

5. 批量自动化检测脚本（PowerShell）

可通过以下脚本快速扫描常见劫持点：

# Check Edge startup pages and extensions
$edgePolicyPath = "HKCU:\Software\Policies\Microsoft\Edge"
$ieMainPath = "HKCU:\Software\Microsoft\Internet Explorer\Main"

if (Test-Path $ieMainPath) {
    Get-ItemProperty -Path $ieMainPath | Select-Object StartPage, Default_Page_URL
}

# List all Edge-related scheduled tasks
Get-ScheduledTask | Where-Object {$_.TaskName -like "*Edge*" -or $_.Author -like "*hao123*"}

# Check shortcut targets
Get-CimInstance -Query "SELECT * FROM Win32_ShortcutFile WHERE Name LIKE '%Edge%'" | 
    ForEach-Object { if ($_.Target -like "*hao123*") { Write-Host "Suspicious Shortcut: $($_.Name) -> $($_.Target)" } }

    

6. 组策略与企业环境下的传播路径

在域环境中，攻击者可能通过GPO推送恶意策略，影响整个组织的Edge配置。典型路径包括：

• GPO配置“启动时打开指定页面”指向hao123
• 登录脚本注入注册表写入操作
• 通过SCCM或Intune部署携带推广模块的安装包
• 第三方安全软件自身集成推广首页（如某国产杀软）

7. 高级防御策略：纵深防护体系构建

针对此类劫持行为，建议构建多层防御机制：

层级	措施	工具/方法
终端防护	启用ASR规则阻止恶意注册表修改	Windows Defender Application Control
浏览器策略	通过Intune或本地策略锁定首页	Configure the home button URL
网络层	DNS过滤hao123域名	Pi-hole、Cisco Umbrella
用户行为	禁用不必要的软件捆绑安装	标准化安装流程审计

8. 持久化排查清单（Checklist）

1. 检查所有Edge快捷方式的目标字段
2. 进入edge://settings/onStartup确认启动页设置
3. 访问edge://extensions/禁用非必要扩展
4. 运行病毒扫描（推荐使用Microsoft Defender Offline Scan）
5. 检查HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main
6. 查看HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Uninstall中的可疑程序
7. 使用Autoruns工具审查Logon启动项
8. 执行sfc /scannow确保系统文件完整性
9. 在组策略编辑器中检查用户/计算机配置中的浏览器策略
10. 重置Edge浏览器至默认状态（设置 → 重置设置）