前言：瀏覽器——攻擊者眼中的「高價值目標」

瀏覽器劫持通俗謂：惡意誤導瀏覽器導向非用戶本意的頁面。常見癥狀：首頁/搜尋頁被修改、輸入錯誤網址被導流、瀏覽速度驟降、自動加入信任站點、強制彈出插件安裝提示、收藏夾被植入惡意連結。本文剖析 BHO 機制根源，提供手動修復與工具輔助的完整防護方案。

一、攻擊根源：BHO（Browser Helper Object）的雙刃劍

• 微軟 1999 年推出業界標準介面，允許第三方程式以 COM 物件形式載入 IE 進程空間。
• 賦予完全控制瀏覽器行為的權限：修改工具列、攔截導航、注入腳本、監控鍵盤/滑鼠事件。
• 合法用途：工具列（Google Toolbar、雅虎助手）、下載管理器、表單填充、廣告攔截。
• 惡用本質：系統視其為「合法載入模組」，繞過傳統防毒掃描，直接操縱瀏覽器行為——劫持持久化的技術基石。

二、常見劫持現象與手動修復對照表

三、通用修復工具：HijackThis 實戰指南

1. 下載 HijackThis（開源、免安裝）。
2. 雙擊執行 → 點擊 掃描 → 系統全面檢測，列出所有可疑項目（含編號分類）。
3. 勾選需修復項目 → 點擊 顯示所選項目資訊 查看詳細說明 → 點擊 修復。
4. 關鍵判斷邏輯：
   • R0/R1/R2/R3：IE 設定被修改（首頁、搜尋、預設頁）
   • O2：BHO 物件（最常見惡意載入點）
   • O3：工具列
   • O4：啟動項
   • O8：右鍵選單擴充
   • O15/ESC：信任區域/通訊協定劫持
   • O17：DNS 劫持
   • O20：AppInit_DLLs/WINLOGON Notify
5. 修復前務必備份註冊表（檔案 → 匯出），防誤刪導致系統異常。

四、現代瀏覽器時代的防護升級

1. 遷移至現代瀏覽器（Edge/Chrome/Firefox）

• 放棄 ActiveX/BHO 架構，採用擴充套件機制（權限隔離、簽名驗證、商店審核）。
• 內建安全功能：Safe Browsing、網站隔離、混合內容阻擋、擴充套件權限最小化。

2. 企業級瀏覽器管理

• 群組原則/Intune 推送擴充套件允許清單，封鎖未簽名/高風險擴充套件。
• 配置 Enterprise Mode IE Mode 僅針對相容性需求網站啟用，其餘強制現代引擎。
• 部署瀏覽器隔離技術（RBI）將高風險網頁在遠端容器渲染。

3. 端點防護整合

• EDR 監控瀏覽器進程異常子進程、記憶體注入、敏感 API 呼叫。
• 瀏覽器擴充套件審計：定期枚舉已安裝擴充套件、權限、更新頻道、開發者信譽。

五、用戶自我防護清單

1. 不隨意點擊「安裝插件/ActiveX」提示，除非確信來源合法必要。
2. 定期檢查瀏覽器首頁、搜尋引擎、啟動頁設定。
3. 安裝廣告攔截/反追蹤擴充套件，減少惡意腳本載入機會。
4. 保持瀏覽器與作業系統自動更新。
5. 重要操作（網銀、郵箱）使用無痕/隱私模式或專用瀏覽器設定檔。

結語

瀏覽器劫持利用 BHO/ActiveX 等合法擴充機制實現深度持久化。傳統手動修註冊表、HijackThis 掃描屬於「亡羊補牢」。根本之道在於棄用 IE 遺產架構、遷移現代瀏覽器、實施企業級擴充套件治理、部署端點行為檢測。對於必須維護舊系統的場景，嚴格的應用程式白名單（AppLocker/WDAC）配合註冊表關鍵鍵值監控，是最後防線。