如何彻底禁止360搜索开机自启？

Question

如何彻底禁止360搜索开机自启？许多用户发现，即使在系统设置或任务管理器中关闭了360搜索的启动项，其进程仍会在重启后自动加载。这通常是因为360安全卫士、360浏览器或其他关联组件内置了隐蔽的自启机制，并通过服务、计划任务或注册表项实现持久化驻留。更深层的原因可能涉及驱动级守护进程或权限保护策略，导致常规手段难以根除。如何通过禁用相关服务、清除注册表启动项、修改组策略或使用专用工具彻底阻断其开机自启行为，成为用户亟需解决的技术难题。

Answer 1

彻底禁止360搜索开机自启的技术路径与深度分析

1. 问题背景与表层现象分析

在Windows操作系统中，用户普遍通过“任务管理器”或“系统配置（msconfig）”禁用启动项来控制程序的开机自启行为。然而，360搜索及其关联组件（如360安全卫士、360浏览器）常在重启后重新激活，表现出极强的驻留能力。

这种现象的根本原因在于：360系列软件采用多层级、多机制的启动策略，不仅注册了常规启动项，还通过服务、计划任务、驱动级守护进程等方式实现“反禁用”逻辑。

2. 常见启动机制分类与排查流程

为系统性地解决问题，需从以下五个维度进行排查：

1. 任务管理器中的启动项
2. 注册表启动键值
3. Windows服务
4. 计划任务
5. 内核驱动与文件保护机制

3. 注册表关键启动项位置分析

360相关进程常注册于以下注册表路径：

注册表路径	对应功能
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run	用户级启动项
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run	系统级启动项
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce	单次运行启动
HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run	64位系统兼容路径
HKEY_CURRENT_USER\Software\360\SafeBrowser	360浏览器专属配置
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services	服务注册表项

4. 计划任务与服务排查方法

使用命令行工具可快速定位隐藏任务：

# 查看所有计划任务
schtasks /query /fo LIST /v

# 查询包含“360”的任务
schtasks /query | findstr -i "360"

# 停止并删除特定任务
schtasks /end /tn "\360safe\360sd"
schtasks /delete /tn "\360safe\360sd" /f
    

5. 服务项深度清理

360常注册为系统服务以获得高权限运行能力。可通过以下命令查看：

# 列出所有服务中包含360的服务
sc queryex type= service state= all | findstr -i "360"

# 示例输出：
# SERVICE_NAME: 360EntRiseSrv
# DISPLAY_NAME: 360企业安全服务
# STATE: RUNNING
    

对于查到的服务，可使用sc config [服务名] start= disabled禁用其自动启动。

6. 驱动级防护机制分析

部分360组件加载内核驱动（如360rp.sys、qhsgdrv.sys），用于监控和恢复被删除的进程或注册表项。

此类驱动通常位于：C:\Windows\System32\drivers\，并通过HKLM\SYSTEM\CurrentControlSet\Services注册。

禁用方式：

• 修改注册表中对应驱动的Start值为4（表示禁用）
• 使用Autoruns工具深度扫描

7. 使用Sysinternals工具集进行综合诊断

Autoruns是微软官方提供的强大启动项分析工具，支持显示所有自动加载的映像，包括：

• Logon启动项
• Services
• Scheduled Tasks
• Winsock Providers
• Firewall Rules
• Browser Helper Objects

操作建议：

1. 以管理员身份运行Autoruns
2. 勾选“Hide Empty Locations”和“Hide Windows Entries”
3. 搜索关键词“360”、“Qihoo”、“奇虎”
4. 对可疑项右键→Delete或Disable

8. 组策略与安全策略干预

在企业环境中，可通过组策略阻止特定程序运行：

# 打开组策略编辑器
gpedit.msc

# 导航路径：
# 用户配置 → 管理模板 → 系统 → 不运行指定的Windows应用程序

# 添加程序名称：360se.exe, 360safe.exe, 360sd.exe 等
    

9. 文件系统权限锁定技术

即使删除程序文件，360可能通过其他组件重新下载。建议使用权限拒绝方式锁定关键路径：

• 右键360安装目录 → 属性 → 安全 → 编辑
• 添加SYSTEM和Administrators账户
• 拒绝“完全控制”权限（慎用）

也可通过命令行设置：

icacls "C:\Program Files (x86)\360" /deny Everyone:F /T
    

10. Mermaid 流程图：完整排查与清除流程

graph TD
            A[发现360搜索开机自启] --> B{是否已通过任务管理器禁用?}
            B -- 是 --> C[检查注册表Run项]
            B -- 否 --> D[先禁用任务管理器启动项]
            D --> C
            C --> E[使用Autoruns扫描深层启动项]
            E --> F[检查计划任务中360相关任务]
            F --> G[禁用或删除任务]
            G --> H[查询并禁用360相关服务]
            H --> I[检查drivers目录下360驱动]
            I --> J[修改注册表Start=4禁用驱动]
            J --> K[设置文件夹权限拒绝写入]
            K --> L[启用组策略阻止程序运行]
            L --> M[重启验证效果]

11. 持久化对抗与反制策略

360软件具备“自保模块”，可能在检测到关键组件被移除时自动恢复。应对策略包括：

• 进入安全模式进行清理
• 使用PE系统挂载硬盘后删除文件
• 利用Hosts文件屏蔽更新服务器（如update.360.cn）
• 关闭Windows Update中的可选更新（防止通过补丁通道推送）

Hosts示例：

# 屏蔽360更新
0.0.0.0 update.360.cn
0.0.0.0 software.360.cn
0.0.0.0 dl.360safe.com
0.0.0.0 upgrade.360.cn