定位弹窗软件----找到真凶并做后续防御

 （觉得对应急响应有帮助）

前几天突然想用win7，就装了系统，

刚打开电脑，直接弹出个这个安全防护

（也不是360的也不是腾讯的 电脑只装了火绒）

 

 

 

 

 

突然想看看是哪里的问题， 想到是正在运行的程序
索性打开任务管理器（CTRL+SHIFT+ESC）

查找当前正在运行的应用程序

 

 

 

 

定位到文件，右键转到进程

 

 

 

 找到对应的进程

 

 

 

 

选择 打开文件位置

 

定位到具体文件，发现是金山的

（那可能是之前装网卡驱动用的驱动精灵(⊙o⊙)…）

 

 

 

 

确定为金山程序

 

 

 删除方法

一、kinggsoft删除方法：

1.打开控制面板，查看方式选择“类型”，然后再点击“卸载程序”选项。

 

 

 

 

2.然后在列表里面，看看是否有一个kbasesrv的程序，这个就是金山的一款未知程序，存在的话会强制更改浏览器主页。有的话，卸载该程序。

 

 

 

 

3.然后在把排序方式，按发布者排序，看看程序里面还有没有kingsoft和金山公司的程序，有的话，根据自己需求卸载不常用的金山公司的软件。

 

 

 

二、解决修改主页：根据事件日志找到元凶

该方法与解决弹窗问题有些类似，总的思路就是先找到修改浏览器主要的程序，然后将程序卸载后，再将主页修改回来。

打开事件查看器（win+r），在运行框中输入“eventvwr”后点击回车

定位流氓程序删除后改主页

首先要在事件查看器中建立一个自动筛选程序，这个程序能够筛选出谁修改了主页。

设置过程为：打开事件查看器，在左侧的“自定义视图”上右击，选择“创建自定义视图”。

在弹出的窗口中，在事件日志一栏选择“Windows日志-安全”，然后在下方的事件ID中填入“4657”，

“4657”的意思就是注册表值被修改。然后自定义名称为修改主页即可。

 

 

 

 

 

 

 

也就是说，当注册表值被修改时，修改的明细就可以在新建的事件记录中了。

如果已经有信息记录的话，那我们需要点击该记录，然后在常规中能够看到进程信息，包括进程名的位置、修改前的主页和修改后的主页。

查到的修改主页事件的详情

根据查到的进程名位置，能够定位到是哪个程序修改的主页，

然后将这个程序卸载即可，然后在注册表编辑器或浏览器的设置中，设置正确的主页。

 

来源：

http://news.mydrivers.com/1/550/550166.htm

https://zhidao.baidu.com/question/811437136341799332.html

 

转载于:https://www.cnblogs.com/rab3it/p/11432566.html