> 六小时正面强攻全部失败，最后换了个时间窗口，一行命令解决。这事儿给我上了一课：别在对方主场打架。

（配图说明：配图位：注册表编辑器截图，红框圈出那个 19 位纯数字命名的服务键）

## 起因：浏览器被塞了个代理

事情很简单：浏览器上网被劫持到一个 PAC 代理脚本上，某些站点打不开。

第一反应是老套路，改注册表：

```
HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings
  AutoConfigURL
```

删掉，重启，回来。

**它自己回来了。**

## 顺着线索，挖出一个没有名字的驱动

翻服务列表，发现一个服务名是纯数字的东西：

```
HKLM\SYSTEM\CurrentControlSet\Services\976827387783960431
  ImagePath = \SystemRoot\System32\drivers\976827387783960431
  Start     = 0     （BOOT 启动，比 Windows 起得还早）
  ErrorControl = 0  （加载失败也不报错，静悄悄的）
```

驱动名是 19 位随机数字，没有厂商名、没有签名信息、不在任何正常软件清单里。

这类东西通常是某些"游戏辅助 / 私服登录器"带进来的。我确实很多年前装过传奇相关的东西（早就不玩了），大概率是那时的遗留。

## 六个小时，五轮攻防

### 第 1 轮：改服务 Start 值

把 `Start` 从 0 改成 4（禁用）。

**2 秒内自动变回 0。**

### 第 2 轮：上 ACL 拒绝写入

给这个服务键加 Deny 规则，拒绝 SYSTEM 和 Administrators 的 SetValue / Delete / WriteKey。

Start 照样在 2 秒内被改回 0。

**ACL 拦不住**——这说明它是内核注册表回调级自保护（或者它从开机就攥着一个已打开的写句柄）。这一轮我知道：注册表这条路，彻底死了。

### 第 3 轮：删键重建"墓碑"

思路：把整个键删掉，再建一个同名的 `Start=4` + Deny 写入的墓碑键。它手里的旧句柄指向已删除对象，新句柄被 Deny 拦住。

结果：键删了、墓碑建了、Deny 上了——Start 还是在 2 秒内回到 0。

### 第 4 轮：夺文件所有权

驱动文件在 `C:\Windows\system32\drivers\` 下。

`takeown` + 赋予 Administrators FullControl：**成功**。

然后 rename —— **拒绝访问**。

注意报错是"访问被拒绝"，不是"文件被占用"。前者是 DACL 层，后者是共享冲突。我这次是前者却夺权无效——**这个矛盾本身就是线索**。

### 第 5 轮：写烂文件头

改名被拦，那直接把文件内容写烂总行吧（ErrorControl=0 时，坏文件 = 跳过加载）。

往 PE 头位置写 4096 个 0。**写入被拒。**

读回来验证，`4D 5A`（MZ 头）纹丝不动。

更离谱的在后面：我隔离出去的副本被它删掉，原文件被**从内存重建**——体积都变了（1.6MB → 2.9MB），时间戳还倒填。

## 结论：Windows 运行期间，管理员权限够不着它

| 我做的事 | 结果 |
|---|---|
| 改服务 Start 值 | ❌ 2 秒内自愈 |
| 注册表键上 Deny SYSTEM 写入 | ❌ 内核回调级绕过，ACL 无效 |
| 删键 + 重建墓碑 | ❌ 照样自愈 |
| 夺文件所有权 | ✅ 成功（但没用） |
| 改名驱动文件 | ❌ 内核文件过滤器拦截 |
| 写烂 PE 头 | ❌ 同样被拦 |
| 隔离副本 | ❌ 被删，原文件被重建 |

**文件写入 / 改名 / 删除 + 注册表自愈，全在内核层。** user-mode 的管理员权限，根本够不到这一层。

## 出路：不跟它在本机打，换个时间打

它的一切保护依赖"驱动已加载"。那就在**它没加载的时候**动手：

**Windows 恢复环境（WinRE）**。那个环境里 Windows 内核和这个驱动都没起来，保护归零。

```
Shift + 重启 → 疑难解答 → 高级选项 → 命令提示符
```

⚠️ **WinRE 里盘符会错位**，你看到的 C: 很可能是 100MB 的引导分区。先 `dir d:\windows` 找真正的系统盘（有 System32、WinSxS 的那个），再：

```
del /f /a X:\windows\system32\drivers\<驱动名>
reg load HKLM\TMP X:\windows\system32\config\SYSTEM
reg delete HKLM\TMP\CurrentControlSet\Services\<服务名> /f
reg unload HKLM\TMP
```

ErrorControl=0，文件没了系统照常启动，静悄悄跳过加载。

（配图说明：配图位：WinRE 命令提示符界面的操作结果截图）

## 三条教训

**1. 用户态能看到的，都是对方想让你看到的。**
你能在注册表编辑器里看见它、能改它，不代表你有资格改它。真正的控制权在你看不见的那一层。

**2. 分清"拒绝访问"和"文件被占用"。**
前者可能被夺权解决，后者说明有进程持有句柄。我这次是"拒绝访问"却夺权无效——这个矛盾直接指向了内核过滤器。

**3. 别在对方主场打架。**
六小时正面强攻全部失败，换个时间窗口（离线环境）一行命令解决。很多时候"换个环境"比"提升权限"有效得多。

## 最后

这不是一篇教程，是份病例。

如果你的电脑也有类似症状（浏览器代理莫名其妙、服务列表里有随机数字命名的服务、驱动文件改不动删不掉），希望这份记录能帮你省下那六小时。

**以及一句大实话：这类东西基本都是当年图一时之快装的那几个"辅助工具 / 私服登录器"带进来的。重装系统最干净，不丢人。**

---

**免责**：本文记录的是清理自家电脑的经历，所有操作都针对自己机器上的恶意残留，不含任何攻击手法。请只用于清除你自己的设备。


你有没有见过改不动、删不掉的文件或服务？评论区聊聊，我帮你看看是不是同一类东西。

六小时正面强攻全部失败，最后换了个时间窗口，一行命令解决。这事儿给我上了一课：别在对方主场打架。

改注册表、夺所有权、写烂文件头，全无效：我遇到的内核级流氓驱动

操作系统

安全

运维

浏览器被劫持PAC代理，挖出19位随机数字命名内核驱动，Boot启动且注册表自愈。六小时强攻无果，最终利用WinRE离线环境删除文件并清理服务键解决。核心教训：用户态权限难敌内核保护，换时间窗口比提升权限有效。附带识别特征与清理经验，强调重装系统更干净。

代码解释

Windows

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

改注册表、夺所有权、写烂文件头，全无效：我遇到的内核级流氓驱动-腾讯云开发者社区-腾讯云

改注册表、夺所有权、写烂文件头，全无效：我遇到的内核级流氓驱动

改注册表、夺所有权、写烂文件头，全无效：我遇到的内核级流氓驱动

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐