卸载360后劫持残留的根本原因

360系列软件卸载后仍劫持浏览器，通常是因为其核心组件未完全清除：

• 驱动级保护残留： 360的防护驱动（如360Box.sys、BAPIDRV.sys）在卸载时未被正确移除，仍在系统底层拦截并篡改浏览器请求。
• 计划任务与服务驻留： 卸载程序未清理自启动项，残留的定时任务或服务会周期性重写浏览器配置。
• 注册表与WMI绑定： 主页设置被写入多个注册表位置或通过WMI事件订阅锁定，常规卸载无法触及。

第一步：彻底清除360残留文件与驱动

使用官方卸载工具

访问360官网下载“360安全卫士卸载工具”或“360 Total Security Removal Tool”，该工具专为清理顽固残留设计，能处理标准卸载遗漏的驱动和服务。运行后务必重启电脑。

手动删除残留目录

重启后检查以下路径是否存在360相关文件夹，若存在则强制删除：

• C:\Program Files (x86)\360\
• C:\ProgramData\360safe\
• %APPDATA%\360se6\（360浏览器用户数据）

若提示“文件正在使用”，进入安全模式后再执行删除操作。

第二步：清理注册表中的360劫持键值

定位关键注册表项

按Win+R输入regedit，重点检查并删除以下路径中包含hao123、360nav、so.com等关键词的字符串值：

• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main
• HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main
• HKEY_LOCAL_MACHINE\SOFTWARE\Clients\StartMenuInternet\*\shell\open\command
• HKEY_CURRENT_USER\Software\Policies\Microsoft\Internet Explorer\Main

检查WMI事件订阅

以管理员身份运行CMD，执行命令：

wmic /namespace:\\root\subscription path __EventConsumer get *
wmic /namespace:\\root\subscription path __FilterToConsumerBinding get *

若输出中包含360、hao123或可疑脚本内容，记录对应名称后使用wmic /namespace:\\root\subscription path __EventConsumer where "Name='xxx'" delete命令清除。

第三步：重置浏览器并验证修复效果

执行浏览器深度重置

在Chrome/Edge地址栏输入chrome://settings/reset或edge://settings/reset，选择“将设置还原为原始默认设置”。此操作会清除所有策略覆盖的主页配置，但保留书签和密码。

验证快捷方式与启动项

再次右键检查所有浏览器快捷方式的“目标”字段，确认无异常参数。同时打开任务管理器“启动”选项卡，禁用任何名称含360、SafeUpdate、NavHelper的项目。

第四步：防止同类问题复发的加固措施

• 安装纯净版浏览器： 避免使用任何国产定制浏览器，优先选择官方原版Chrome、Edge或Firefox。
• 启用系统完整性保护： 保持Windows Defender实时防护开启，定期运行离线扫描。
• 监控启动项变更： 使用Autoruns等工具定期审查自启动项，对新增的可疑条目及时核查来源。