Chrome首页被360劫持后无法修改，如何彻底清除？

Question

Chrome首页被360劫持后无法修改，是Windows平台典型的安全软件捆绑劫持问题。360安全卫士/浏览器在静默安装或“一键优化”过程中，常通过修改Chrome快捷方式目标路径（追加`--homepage`参数）、篡改注册表`HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome\HomepageLocation`或注入组策略（即使未域控），强制锁定首页为360导航页；更隐蔽者还会Hook Chrome启动流程或劫持`chrome.exe`的父进程。用户手动修改设置后重启即恢复，任务管理器中常可见`360se.exe`、`360rps.exe`等守护进程持续监控。关键难点在于：常规卸载不清理残留策略、注册表项权限受限、且Chrome企业策略优先级高于用户设置。需综合排查快捷方式属性、组策略编辑器（gpedit.msc）、注册表多层级键值（含Wow6432Node）、本地JSON策略文件（`C:\Program Files\Google\Chrome\Policy\managed\`），并终止360相关服务后彻底卸载+清理。

Answer 1

```html

一、现象识别：Chrome首页异常锁定的典型表征

• 启动Chrome后自动跳转至hao.360.cn或www.360.com，地址栏显示为用户未设置的导航页；
• 在Chrome设置中修改“启动时打开特定网页”或“新标签页”后，重启即失效；
• 任务管理器中持续存在360se.exe、360rps.exe、360safe.exe等高权限守护进程；
• Chrome地址栏右上角出现非原生图标（如360加速球、小火箭），或设置页底部显示“由组织管理员管理”；
• 访问chrome://policy可见HomepageLocation被强制设为360域名，且状态为Set by system或Set by extension。

二、分层溯源：四维策略优先级模型（从低到高）

Chrome策略生效遵循严格优先级链，任何高阶策略均可覆盖低阶配置：

层级	来源	路径/位置	是否可被用户绕过
1（最低）	快捷方式参数	桌面/开始菜单Chrome快捷方式属性 → “目标”字段含--homepage="hao.360.cn"	✅ 可手动清除
2	用户级注册表	HKEY_CURRENT_USER\Software\Policies\Google\Chrome\HomepageLocation	⚠️ 需管理员权限删除
3	系统级注册表（含Wow6432Node）	HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome\HomepageLocation及 HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Policies\Google\Chrome\HomepageLocation	❌ 默认受限，需TakeOwnership + 修改ACL
4（最高）	本地JSON策略文件	C:\Program Files\Google\Chrome\Policy\managed\360_chrome_policy.json（或同目录任意.json）	❌ Chrome启动时自动加载，优先级高于所有注册表项

三、深度排查：自动化诊断脚本与关键检查点

以下PowerShell命令需以管理员身份运行，用于批量检测各策略源：

# 检查所有Chrome快捷方式参数
Get-ChildItem "$env:USERPROFILE\Desktop", "$env:APPDATA\Microsoft\Windows\Start Menu\Programs" -Recurse -Filter "*chrome*.lnk" | ForEach-Object {
  $shell = New-Object -ComObject WScript.Shell
  $shortcut = $shell.CreateShortcut($_.FullName)
  if ($shortcut.TargetPath -match "chrome\.exe" -and $shortcut.Arguments -match "homepage") {
    Write-Host "[⚠] 快捷方式劫持: $($_.FullName) → $($shortcut.Arguments)" -ForegroundColor Red
  }
}

# 扫描LM/HCUS注册表策略键（含WOW6432Node）
@(
  'HKLM:\SOFTWARE\Policies\Google\Chrome',
  'HKLM:\SOFTWARE\WOW6432Node\Policies\Google\Chrome',
  'HKCU:\Software\Policies\Google\Chrome'
) | ForEach-Object {
  if (Test-Path $_) {
    $val = Get-ItemProperty "$_\HomepageLocation" -ErrorAction SilentlyContinue
    if ($val.HomepageLocation -match "360") {
      Write-Host "[⚠] 注册表劫持: $_ → $($val.HomepageLocation)" -ForegroundColor Red
    }
  }
}

# 列出所有Chrome策略JSON文件
Get-ChildItem "C:\Program Files\Google\Chrome\Policy\managed\", "C:\Program Files (x86)\Google\Chrome\Policy\managed\" -Recurse -Filter "*.json" -ErrorAction SilentlyContinue | ForEach-Object {
  $content = Get-Content $_.FullName | ConvertFrom-Json -ErrorAction SilentlyContinue
  if ($content.HomepageLocation -match "360") {
    Write-Host "[⚠] JSON策略劫持: $($_.FullName)" -ForegroundColor Red
  }
}

四、根治方案：服务终止→策略清理→卸载加固→验证闭环

1. 终止360守护进程：使用taskkill /f /im 360*.exe + sc stop 360rpssvc（若存在）；
2. 禁用自启服务：执行sc config "360rpssvc" start= disabled（需确认服务名）；
3. 清理注册表：使用reg delete逐级删除上述四类键值，对HKEY_LOCAL_MACHINE键需先takeown /f + icacls重置权限；
4. 删除JSON策略文件：彻底清空C:\Program Files\Google\Chrome\Policy\managed\及其(x86)镜像路径；
5. 卸载+清理残留：通过控制面板卸载后，手动删除C:\Program Files (x86)\360\、%LocalAppData%\360\、%ProgramData%\360\；
6. 验证策略状态：重启Chrome，访问chrome://policy确认无任何HomepageLocation条目，且chrome://settings/onStartup可持久化修改。

五、防御加固：企业级防劫持最佳实践（面向5+年从业者）

graph TD
  A[Chrome部署前] --> B[禁用Windows Installer静默安装策略]
  A --> C[预置空白managed_policies.json]
  D[终端管控] --> E[通过Intune/GPO禁止360相关进程创建]
  D --> F[监控注册表HKEY_LOCAL_MACHINE\\SOFTWARE\\Policies\\Google\\Chrome写入事件]
  G[开发侧] --> H[Chrome扩展白名单机制：仅允许签名扩展注入]
  G --> I[启动时校验chrome.exe数字签名完整性]
  J[运维侧] --> K[定期扫描C:\\Program Files\\Google\\Chrome\\Policy\\*路径下的未授权JSON]
  J --> L[建立Chrome策略基线快照，diff比对变更]

六、延伸思考：安全软件劫持的本质矛盾

360类工具的“优化”逻辑本质是将用户终端视为可支配资源——其技术实现已超越传统AV范畴，演变为：
• 进程级Hook（Detours/MS Detours框架注入chrome.dll）；
• 父进程劫持（伪造explorer.exe子进程链，使Chrome误认为受信任上下文启动）；
• 组策略模拟（即使非域环境，亦通过gpedit.msc无法查看的Registry.pol二进制策略文件生效）；
• 浏览器扩展静默安装（利用360se://extensions协议注册manifest.json并设为强制启用）。
这揭示了一个行业现实：当“安全”与“流量入口”绑定，技术手段便天然具备策略越权倾向。因此，真正的防御不在于单点清理，而在于构建启动链可信度验证体系——从UEFI Secure Boot、Windows Defender Application Control（WDAC）、到Chrome的ExtensionAllowlist Policy，形成纵深防护。

```