Windows 11浏览器代理设置重置后仍自动启用

Question

在Windows 11中，用户手动通过“设置 > 网络与Internet > 代理”关闭自动检测（WPAD）和手动代理，并确认已禁用“使用代理服务器”，但重启浏览器（如Edge/Chrome）或系统后，代理设置仍被自动重新启用——表现为网络请求异常、HTTPS证书错误或访问受限。该现象并非浏览器自身行为，而是Windows系统级策略干预所致：常见原因包括组策略（如“为LAN使用代理服务器”被启用）、注册表项（HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings下ProxyEnable=1或AutoConfigURL残留）、企业MDM策略同步、或第三方安全软件（如某些国产杀毒/上网管控工具）后台劫持IE/WinHTTP代理配置。值得注意的是，Edge/Chrome复用Windows系统代理设置，因此即使浏览器内未显式配置，也会继承并强制应用。如何准确定位并持久化清除这一非用户主动触发的代理启用行为，是企业IT支持与个人用户排查网络异常的关键难点。

Answer 1

```html

一、现象确认与基础验证

首先执行 netsh winhttp show proxy 和 reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v ProxyEnable，确认当前 WinHTTP 与 IE/Edge/Chrome 共享的代理状态。若返回 ProxyEnable REG_DWORD 0x1 或存在非空 AutoConfigURL，即表明系统级代理已被强制启用。此步骤排除浏览器自身设置干扰，聚焦 Windows 网络栈底层行为。

二、注册表深度扫描与残留项清理

• HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings：检查 ProxyEnable、ProxyServer、AutoConfigURL、MigrateProxy、ProxyOverride
• HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\CurrentVersion\Internet Settings（策略覆盖优先级更高）
• HKEY_CURRENT_USER\Software\Classes\Local Settings\Software\Microsoft\Windows\CurrentVersion\Internet Settings（Edge Chromium 的兼容性注册表路径）

使用 PowerShell 批量清除（需管理员权限）：

Remove-ItemProperty -Path "HKCU:\Software\Microsoft\Windows\CurrentVersion\Internet Settings" -Name ProxyEnable -ErrorAction SilentlyContinue
Remove-ItemProperty -Path "HKCU:\Software\Microsoft\Windows\CurrentVersion\Internet Settings" -Name ProxyServer -ErrorAction SilentlyContinue
Remove-ItemProperty -Path "HKCU:\Software\Microsoft\Windows\CurrentVersion\Internet Settings" -Name AutoConfigURL -ErrorAction SilentlyContinue
Set-ItemProperty -Path "HKCU:\Software\Microsoft\Windows\CurrentVersion\Internet Settings" -Name ProxyEnable -Value 0 -Type DWORD

三、组策略（GPO）与本地策略溯源

策略路径	策略名称	影响范围	检测命令
Computer Config → Admin Templates → Windows Components → Internet Explorer	Make proxy settings per-machine (rather than per-user)	全局覆盖用户设置	gpresult /h gpreport.html && start gpreport.html
User Config → Admin Templates → Windows Components → Internet Explorer → Internet Control Panel → Connections	Disable changing proxy settings	锁定UI且强制启用代理	rsop.msc 或 gpresult /z

四、MDM策略与Intune/SCCM远程管控识别

企业环境中，即使本地 GPO 未配置，Azure AD 加入设备可能通过 Microsoft Intune 同步代理策略。执行以下诊断：

1. 运行 dsregcmd /status 检查 AzureAdJoined 和 DomainJoined 状态
2. 打开 设置 → 账户 → 工作或学校账户 → 管理 → 设备管理，查看是否显示“由组织管理”
3. 检查 C:\ProgramData\Microsoft\EnterpriseDesktop\Agent\Logs\ 中 MDM 日志是否存在 ProxyPolicy 相关条目

五、第三方安全软件深度干预分析

国产杀毒/上网行为管理工具（如360安全卫士、腾讯电脑管家、深信服SIP、网康IMC）常注入 WinINet/WinHTTP 层并劫持 InternetSetOption。验证方法：

• 启动 Process Monitor（Sysinternals），过滤 Process Name contains "chrome.exe" or "msedge.exe" + Operation is RegQueryValue + Path contains "Internet Settings"
• 观察是否存在非系统进程（如 QHSafeTray.exe, Tencentdl.exe）在浏览器启动时写入代理注册表

六、持久化防护机制设计（防复发）

为防止策略/软件自动恢复代理，部署双重防御：

graph LR
  A[计划任务：每15分钟] --> B{读取ProxyEnable值}
  B -->|=1| C[强制重置为0并清空ProxyServer]
  B -->|≠1| D[记录日志并触发告警]
  C --> E[调用PowerShell脚本+Write-EventLog]
  E --> F[生成审计事件ID 9998]

七、跨服务代理继承链验证

除浏览器外，需验证以下组件是否同步继承异常代理：

• curl -v https://httpbin.org/ip（测试 WinHTTP 底层）
• powershell -c "[System.Net.WebRequest]::DefaultWebProxy"
• dotnet --info 后执行 dotnet new console && dotnet run 中调用 HttpClient
• Windows Update、Store、Teams 客户端网络行为

八、终极诊断工具链整合

构建一体化排查脚本 Diagnose-ProxyAnomaly.ps1，自动执行：

1. 注册表快照比对（启动前/后）
2. GPO/MDM 策略枚举
3. 已加载 LSP/Winsock Provider 列表（netsh winsock show catalog）
4. 驱动级 Hook 检测（sigcheck -i -v c:\windows\system32\winhttp.dll）
5. 输出 HTML 报告含时间线、变更点、可疑进程哈希

九、企业级治理建议

面向IT运维团队，推荐建立代理策略基线管控流程：

控制层级	推荐动作	验证方式
域策略	禁用所有“Proxy”相关用户/计算机策略，显式设为“未配置”	gpupdate /force && gpresult /r
终端DLP	部署EDR规则：拦截对 HKCU\...\Internet Settings 的非白名单进程写操作	EDR平台告警日志审计

十、典型修复后验证清单

1. 重启系统后打开 Edge → edge://settings/system → 确认“使用系统代理设置”开启且无代理地址显示
2. 访问 WhatIsMyIP Proxy Check 验证无代理中转
3. 抓包分析：Wireshark 过滤 http.host contains "httpbin.org"，确认 TCP 直连目标 IP，无 CONNECT 隧道
4. 证书链验证：访问 https://badssl.com 中自签名证书站点，确认浏览器提示“您的连接不是私密连接”而非“证书由未知代理颁发”
5. 执行 certutil -urlcache * delete 清除 WinHTTP 缓存，避免旧代理配置残留
6. 使用 netsh interface ipv4 show interfaces 排查是否存在虚拟网卡（如 VPN/SD-WAN）注入代理路由
7. 检查 %APPDATA%\Microsoft\Edge\User Data\Default\Preferences 中 "proxy" 字段是否为空对象
8. 运行 Get-NetIPConfiguration | Select-Object InterfaceAlias, IPv4Address 确保无异常 DNS 服务器指向代理网关

```