防范windows软件劫持需从安装源头、系统配置、运行监控三层面入手：严控软件来源与安装选项，加固ifeo等注册表机制，定期清理浏览器扩展及启动项，并建立更新、防火墙、标准账户等主动防御习惯。

防范 windows 软件劫持风险，关键在于阻断恶意程序对系统执行链路的篡改。劫持常通过注册表 ifeo（image file execution options）、浏览器扩展、bho 插件、winsock lsp 或启动项植入实现，目标是重定向程序运行、篡改浏览器行为或静默加载恶意模块。防护需覆盖安装源头、系统配置、运行监控三个层面。

严格控制软件安装来源

绝大多数劫持始于“免费软件捆绑”。很多所谓免费工具（如测速器、PDF 转换器、屏幕录制器、字体下载器）会在安装向导中默认勾选附加组件，用户跳过自定义选项即完成劫持埋点。

• 只从官网或微软应用商店下载软件，避开第三方下载站和弹窗推广链接
• 安装时务必选择“自定义”或“高级”模式，逐项取消勾选不明附加项（常见名称：Browser Protector、SmartSearch、Offers、Toolbar 等）
• 对声称“优化系统”“清理垃圾”的工具保持警惕——Windows 自带性能监控与磁盘清理已足够可靠

加固系统执行机制

IFEO 劫持是高级劫持常用手段：攻击者在注册表 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options 下为杀毒软件、任务管理器等关键进程创建子项，并设置 Debugger 值指向恶意程序，导致原程序无法正常启动。

Handsfree Windows Control

通过 handsfree-windows CLI控制 Windows 本机应用 (UIA) 和浏览器 (Playwright) 的引导技能，用于自动化或测试桌面应用。

下载

• 使用 Sysinternals Autoruns 工具定期检查 IFEO 分页，发现异常 Debugger 条目立即禁用并删除
• 对 IFEO 主键设置权限限制：右键 → “权限” → 编辑 → 拒绝“Users”组的“写入”权限（需管理员身份）
• 启用 Windows Defender 的“受控文件夹访问”功能，可阻止未授权程序修改系统关键路径

监控与清理浏览器及启动环境

浏览器劫持（主页篡改、搜索劫持、新标签页广告）多由恶意扩展、BHO 或 hosts 文件污染引发；而开机自启项则常被用于维持持久化控制。

• 浏览器中定期进入扩展管理页（chrome://extensions / edge://extensions），移除来源不明、权限过大（如“读取和更改所有网站数据”）的插件
• 检查系统 hosts 文件（C:\Windows\System32\drivers\etc\hosts），用记事本以管理员身份打开，删除末尾异常 IP 映射行
• 用任务管理器“启动”页签 + msconfig + Autoruns 三重交叉比对，禁用非必要且签名不可信的启动项

建立主动防御习惯

被动清除永远滞后于攻击，主动防御才能压缩劫持窗口。

• 保持 Windows 更新开启，尤其安全质量更新（每月第二个星期二）——多数 LSP/IFEO 利用的是已知内核提权漏洞
• 启用防火墙并配置出站规则，限制未知程序联网（可通过 Windows 防火墙高级安全或第三方 HIPS 实现）
• 日常使用标准用户账户而非管理员账户，大幅降低注册表/系统目录写入成功率
• 重要操作前手动确认进程签名：在任务管理器中右键进程 → “属性” → “数字签名”页签，验证发布者是否可信