瑞星卡卡安全论坛

高难度的浏览器劫持问题——真正高手请解答！

小弟近日遇到一个非常奇怪的浏览器劫持问题，说他奇怪是因为用一般的方法都无法解决。

症状其实很简单，就是在打开IE的时候，无论我把IE设置里设置为使用默认页、使用空白页、使用当前页，都会打开这个地址：http://www.aiaimi.com/veer.php?entry=996，然后马上就会随机进入其他的网站，如什么重庆人才网等等。

开始以为只是一般的修改主页的问题，就用工具修，可各种工具用遍都没能解决。

于是我用hijackthis和sreng扫描，后仔细查看均未发现异常，启动项、进程等都无异常。检查注册表IE项也正常，默认主页也是微软主页。搜索上面这个网址，也没搜索到。

然后我打开IE查看这个网址属性，发现其地址（URL）为：res://C:\WINDOWS\system32\shdoclc.dll/navcancl.htm#http://www.aiaimi.com/veer.php?entry=996

然后在注册表里搜索navcancl.htm，发现在AboutURLs里面有。如下：
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\AboutURLs]
"NavigationFailure"="res://shdoclc.dll/navcancl.htm"
"DesktopItemNavigationFailure"="res://shdoclc.dll/navcancl.htm"
"NavigationCanceled"="res://shdoclc.dll/navcancl.htm"
"OfflineInformation"="res://shdoclc.dll/offcancl.htm"
"Home"=dword:0000010e
"blank"="res://mshtml.dll/blank.htm"
"PostNotCached"="res://mshtml.dll/repost.htm"
却仍然没有上面那个网址的影子。

没办法，只好上网按关键字navcancl.htm搜，发现还有很多人出现了和我类似的情况，只是在#号后面的网址不同罢了。
后按照网上说的解决办法试了很多，却根本无法解决问题。我估计是因为以前中的木马留下的杰作。（现已杀干净）
小弟我现在是束手无策了，请各位真正高手帮忙解决这个难题，在此拜谢了！

难道这个论坛里就没有真正高手能帮我解决这个问题吗？？？？？？？

请下载SRENG扫描
http://www.kztechs.com/sreng/sreng2.zip

用了，扫描过，没发现异常。

~~~汗了

我自己估计是shdoclc.dll这个动态链接库有问题，可无法验证，也无法修改。

要么就是navcancl.htm的问题，可在系统寻遍了也没找到。

OH MY DEAR GOD!!!!

这里居然没人能解答这个问题吗？看来卡卡论坛——至少这个分论坛里是没有真正的高手了，都是些和我差不多的伪老鸟了~~~~

悲乎哉~~~~~唉~~~~~~

亲爱的斑竹们！！！帮帮忙阿~~~！~！！谢谢了~~~~~~~！！！！!!!!

把日志扫描发上来。。。。

唉，还是我自己来解答吧。
经过反复摸索同埋查资料，最后发现这原来是个很低级的修改。

原来是修改了属性中的路径！！！！！

狂晕啊！

引用:

【ichhappy的贴子】唉，还是我自己来解答吧。 经过反复摸索同埋查资料，最后发现这原来是个很低级的修改。 原来是修改了属性中的路径！！！！！ 狂晕啊！ ………………

IE属性被修改,有一段时间了,


不好意思,才看到贴子

感谢分享

尝试恢复下系统文件

引用:

【ichhappy的贴子】唉，还是我自己来解答吧。 经过反复摸索同埋查资料，最后发现这原来是个很低级的修改。 原来是修改了属性中的路径！！！！！ 狂晕啊！ ………………

楼主能具体分享一下 怎么修改的?
你又是怎么修改回原来状态?