浏览器主页被劫持是因恶意软件在注册表HKEY_CURRENT_USER和HKEY_LOCAL_MACHINE的IE Main路径下篡改Start Page等键值，需以管理员权限进入regedit，逐项清空或删除非法键值，并全局搜索劫持域名、清理Winlogon等隐蔽启动项。
浏览器每次启动主页都被强制跳转到陌生网址，手动修改后几小时又复原，说明恶意软件已在注册表中写入了顽固的首选项主键，必须精准定位并彻底删除才能根除劫持源头。
定位被篡改的首选项主键路径
按下 Win + R，输入 regedit → 回车，以管理员身份运行注册表编辑器。这一步必须用管理员权限，否则部分系统级键值无法修改或删除。
在左侧树形结构中依次展开：HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main。这是用户级浏览器首选项最常被篡改的位置，绝大多数劫持行为优先落在此处。
继续展开：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main。这是系统级主键，影响所有用户，若此处也被写入非法值，则普通用户修改设置完全无效。
注意：不要盲目搜索“Start Page”就动手——有些变种会伪造键名（如 StartPg、HomePageUrl、DefaultURL），需逐项检查右侧窗格中所有字符串值的“数值数据”内容是否为合法网址或 about:blank；若显示 hao123.com、2345.com、114so.cn 等非你设置的域名，即为被篡改项。
删除非法首选项主键（方法一：直接清除键值）
在 HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main 路径下，找到名为 【Start Page】 的字符串值，双击→清空“数值数据”栏全部内容→输入 about:blank→确定。
同样处理 【Default_Page_URL】 和 【Secondary Start Pages】（若存在）。后者是多字符串值，不能双击编辑，必须右键→删除。
切换到 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main，对上述三项执行完全相同的覆盖操作。这一步做完，重启IE或Edge（兼容模式）即可验证主页是否恢复可控。
删除非法首选项主键（方法二：彻底移除劫持键项）
方法一仅重置值，但某些强绑定型PUP会在系统重启或浏览器启动时重新写入。此时需物理删除整个键项。
第一步：确认该键值确属非法——右键点击 【Start Page】 → “修改” → 查看数值数据是否为随机字符串、无协议头的域名（如 www.hao123）或带可疑参数的长URL（含utm_source=xxx 或 ?from=malware）。
第二步：右键该键名 → 选择“删除” → 点击“是”。【仅删除键值本身，切勿删除其父键 Main，否则将导致IE功能异常】
第三步：按 F5 刷新注册表窗口，确认该键已消失。重复此操作清理 Default_Page_URL 和 Secondary Start Pages（如有）。
清除残留劫持源（关键补刀步骤）
① 在注册表编辑器顶部菜单栏点击“编辑”→“查找”，输入劫持域名关键词，例如 hao123、2345、114so、taobao007，勾选“项”“值”“数据”，点击“查找下一个”。
② 每找到一处匹配结果，先观察其所在路径：若位于 Run、Winlogon、Internet Explorer\Main、Policies\Microsoft\Internet Explorer\Main 等启动或策略相关路径下，且数值数据为跳转URL，则右键→删除。
③ 特别检查 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon 下的 LegalNoticeCaption 和 LegalNoticeText——这两个键常被用于开机弹窗+主页劫持组合技，一旦发现非空，立即删除。
④ 全局搜索结束后，关闭注册表编辑器，按下 Ctrl+Shift+Esc 打开任务管理器 → 找到“Windows 资源管理器” → 右键“重新启动”。
