首頁被竄改、收藏夾冒出不明連結、輸入網址卻跳轉他處——這不是病毒，而是「瀏覽器劫持」。攻擊者利用 IE 開放的擴充介面 (BHO、Toolbar、LSP、Hook) 合法載入惡意代碼，殺毒軟體因缺乏特徵碼而難以查殺。本文深入剖析 BHO 劫持原理、多種劫持載體、實戰清除步驟與預防架構。

一、BHO：微軟賦予的「雙面刃」

機制

• COM 物件實作 IObjectWithSite，註冊至 HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{CLSID}。
• IE 啟動時載入所有 BHO DLL，成為 IE 進程一部分，共享記憶體空間與權限。
• 透過 IWebBrowser2 事件 (BeforeNavigate2, DocumentComplete) 監控/修改導航、注入腳本、竄改 DOM。

典型惡意行為

• 首頁/搜尋頁劫持：偵測 about:blank 或特定 URL → Navigate2 強制導向廣告/釣魚頁。
• 搜尋關鍵字劫持：IURLSearchHook 攔截地址列輸入 → 導向偽裝搜尋引擎。
• 隱私竊取：枚舉 document.forms、document.cookies、表單輸入 → 定時上傳 C&C 伺服器。
• 工具列/按鈕植入：註冊 Toolbar Band，佔據 UI 空間誘導點擊。

二、其他劫持載體

技術	原理	特徵
DLL 注入 / Hook	SetWindowsHookEx(WH_GETMESSAGE) 或 Inline Hook InternetExplorer.Application 方法	不需 BHO 註冊，隱蔽性高
Winsock LSP	插入協議鏈攔截 HTTP 流量，修改回應內容/重導向	影響所有 WinSock 應用，難排查
ShellExecute Hook	攔截 URL 協議處理 (http/https/ftp)	系統層面劫持，瀏覽器無關
Hosts 檔 / DNS 快取汙染	將目標域名解析至惡意 IP	非瀏覽器專屬，但效果相同

三、為何殺毒軟體查不出？

• 特徵碼匹配機制：未知變種、加殼、多態代碼易繞過。
• 「合法機制被濫用」：BHO/LSP/Hook 本身是正規擴充介面，殺毒軟體難以區分善惡意圖。
• 記憶體駐留無檔案落地：反射式注入、PowerShell 無檔案攻擊，傳統掃描失效。

四、完整手動清除流程 (進階用戶)

1. 進入安全模式：阻止惡意服務/啟動項干擾。
2. 清除 BHO 註冊：
   • 執行 regedit，刪除 HKLM\...\Browser Helper Objects\{惡意 CLSID} 及 HKCU 同路徑。
   • 刪除對應 DLL 檔案 (需先解除檔案鎖定，可用 Unlocker/Process Hacker)。
3. 清除 Toolbar/Shell Extensions：HKLM\SOFTWARE\Microsoft\Internet Explorer\Toolbar、HKCR\CLSID\{...}\Implemented Categories\{00021493-0000-0000-C000-000000000046}。
4. 修復 LSP：netsh winsock reset 重置協議鏈 (需重開機)。
5. 修復首頁/搜尋頁：
   • HKCU\Software\Microsoft\Internet Explorer\Main\Start Page → about:blank
   • HKLM\Software\Microsoft\Internet Explorer\Main\Default_Page_URL → 官方預設值。
6. 檢查啟動項與服務：msconfig、services.msc、Autoruns (Sysinternals) 全面檢視。
7. 重置 IE 設定：網際網路選項 → 進階 → 重設 (含刪除個人設定)。

五、企業級預防架構

• 應用程式控制：AppLocker/WDAC 僅允許簽署信任的 IE 外掛載入。
• 攻擊面縮減：群組原則停用 BHO、Toolbars、ActiveX、腳本 (Administrative Templates\Windows Components\Internet Explorer)。
• 瀏覽器隔離：Remote Browser Isolation (RBI) 或虛擬桌面 (AVD/VDI) 將瀏覽風險移出端點。
• 遷移現代瀏覽器：Edge (Chromium)、Chrome、Firefox 不支援 BHO/ActiveX/LSP，根除此類攻擊面。

瀏覽器劫持雖非破壞性惡意碼，卻是隱私洩漏、釣魚跳板、廣告詐騙的溫床。徹底清除需兼具註冊表、檔案系統、網路堆疊、進程記憶體多維度操作；長遠之計，棄用 IE、落實應用程式白名單、部署瀏覽器隔離，才能從根本上斷絕劫持鏈條。