必须进入带网络的安全模式才能彻底清除浏览器劫持，再用MSERT、Malwarebytes、AdwCleaner交叉扫描，接着手动清理任务计划、注册表策略及System32可疑DLL，最后核验快捷方式参数并重置Chrome策略与扩展。
浏览器被劫持后反复改首页、搜不到结果就跳转、新标签页自动打开广告站，常规重置无效时，必须进入安全模式切断木马自启动链，才能真正定位和清除后台顽固组件。
进入带网络的安全模式
Windows 10/11用户：按住Shift键不放→点击开始菜单→选择“重启”→等待进入“选择一个选项”界面→依次点选“疑难解答”→“高级选项”→“启动设置”→点击“重启”→重启后按数字键5或F5启用“带网络的安全模式”。
这一步不能跳过“带网络”，否则无法下载查杀工具，也无法验证修复后是否还跳转。
若键盘无反应或进不了启动设置，可强制关机三次触发自动修复环境；进不去安全模式就别往下试，先用Windows Defender Offline盘启动。
查杀三款工具交叉扫描
方法一：Microsoft 安全扫描程序（MSERT）
访问微软官网下载最新版MSERT（文件名通常为msert.exe），双击运行→勾选“完整扫描”→等待完成→重启前务必点击【查看详细报告】，确认是否报出“BrowserModifier”或“PUP.NB46”类条目。
方法二：Malwarebytes Free
下载安装后打开→点击右上角【Scan】→等待扫描结束→在结果列表中，【重点检查名称含“NB46”“smflash”“sql32”“group”字样的项目】，全部勾选→点击【Quarantine Selected】→完成后重启。
方法三：AdwCleaner（专清广告劫持）
运行AdwCleaner→点击【扫描】→扫描完毕后，它会自动列出注册表Run项、计划任务、HOSTS异常行等系统级篡改点→【不要直接点“清理”，先截图保存原始列表】，再点击【清理】→按提示重启。
手动排查持久化落脚点
第一步：打开任务计划程序（taskschd.msc）→左侧点“任务计划程序库”→右侧按“最近修改时间”排序→查找创建时间在你发现劫持后的任务，名称含“update”“check”“flash”“nb46”的全部禁用并删除。
第二步：打开注册表编辑器（regedit）→导航至HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome和HKEY_CURRENT_USER\SOFTWARE\Policies\Google\Chrome→若存在这两个路径，说明Chrome正被组策略强制管控，直接删除整个Chrome子项（删前右键导出备份）。
第三步：检查C:\Windows\System32目录→按修改日期排序→查找smflash.ocx、sql32.dll、group.dll、tasklist.dll等可疑文件→如存在且属性显示“公司名称”为空或为“Unknown”，直接删除（需管理员权限，删不掉就进PE系统删）。
这三处是NB46类劫持最常藏身的位置，漏掉任意一处，重启后主页就会再次被绑到nb46.com或其镜像站。
验证浏览器快捷方式是否干净
右键桌面Chrome/Edge快捷方式→属性→切换到“快捷方式”选项卡→看“目标”框里引号内的.exe路径后面有没有空格加--homepage=、--app=、--url=之类参数。
有就全删，只留"C:\Program Files\Google\Chrome\Application\chrome.exe"这样的纯路径。
别忘了检查任务栏、开始菜单、搜索结果里所有能点开浏览器的地方，每个入口都得单独点属性核对一遍。
重置Chrome策略与扩展
打开chrome://policy页面→确认“HomepageLocation”“StartupPages”“ExtensionInstallForcelist”这几项是否显示“已设置”状态→如果显示“已设置”，说明仍有策略在后台生效，回到上一步注册表位置再查一遍。
打开chrome://extensions→关闭“开发者模式”开关→逐个点击“移除”按钮，把所有非Chrome应用商店来源的扩展全清掉，尤其是ID以“gighmmpiobklfepjocnamgkkbiglidom”这类长串字符开头的扩展——这是典型的侧载扩展ID格式。
最后访问chrome://settings/reset→点击“将设置恢复为原始默认值”→确认重置。
