（二）组别——R

　　1. 项目说明
　　R – 注册表中Internet Explorer（IE）的默认起始主页和默认搜索页的改变
　　R0 - 注册表中IE主页/搜索页默认键值的改变
　　R1 - 新建的注册表值（V），或称为键值，可能导致IE主页/搜索页的改变
　　R2 - 新建的注册表项（K），或称为键，可能导致IE主页/搜索页的改变
　　R3 - 在本来应该只有一个键值的地方新建的额外键值，可能导致IE搜索页的改变

　　R3主要出现在URLSearchHooks这一项目上，当我们在IE中输入错误的网址后，浏览器会试图在注册表中这一项列出的位置找到进一步查询的线索。正常情况下，当我们在IE中输入错误的网址后，浏览器会使用默认的搜索引擎（如http://search.msn.com/、网络实名等）来查找匹配项目。如果HijackThis报告R3项，相关的“浏览器绑架”现象可能是：当在IE中输入错误的网址后，被带到某个莫名其妙的搜索网站甚至其它网页。

　　3. 一般建议

　　对于R0、R1，如果您认得后面的网址，知道它是安全的，甚至那就是您自己这样设置的，当然不用去修复。否则的话，在那一行前面打勾，然后按“Fix checked”，让HijackThis修复它。

　　对于R2项，据HijackThis的作者说，实际上现在还没有用到。

　　对于R3，一般总是要选修复，除非它指向一个您认识的程序（比如百度搜索和3721网络实名）。

　　（三）组别——F

　　1. 项目说明

• 　　F - ini文件中的自动运行程序或者注册表中的等价项目
• 　　F0 - ini文件中改变的值，system.ini中启动的自动运行程序
• 　　F1 - ini文件中新建的值，win.ini中启动的自动运行程序
• 　　F2 - 注册表中system.ini文件映射区中启动的自动运行程序或注册表中UserInit项后面启动的其它程序
• 　　F3 - 注册表中win.ini文件映射区中启动的自动运行程序

　　F0和F1分别对应system.ini和win.ini文件中启动的自动运行程序。

　　F0对应在System.ini文件中“Shell=”这一项（没有引号）后面启动的额外程序。在Windows 9X中，System.ini里面这一项应该是

　　Shell=explorer.exe

　　这一项指明使用explorer.exe作为整个操作系统的“壳”，来处理用户的操作。这是默认的。如果在explorer.exe后面加上其它程序名，该程序在启动Windows时也会被执行，这是木马启动的方式之一（比较传统的启动方式之一）。比如

　　Shell=explorer.exe trojan.exe

　　这样就可以使得trojan.exe在启动Windows时也被自动执行。

　　F1对应在win.ini文件中“Run=”或“Load=”项（均没有引号）后面启动的程序。这些程序也会在启动Windows时自动执行。通常，“Run=”用来启动一些老的程序以保持兼容性，而“Load=”用来加载某些硬件驱动。

　　F2 和F3项分别对应F0和F1项在注册表中的“映像”。在Windows NT、2000、XP中，通常不使用上面提到的system.ini和win.ini文件，它们使用一种称作IniFileMapping（ini文件映射）的方式，把这些ini文件的内容完全放在注册表里。程序要求这些ini文件中的相关信息时，Windows会先到注册表 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\IniFileMapping这里查找需要的内容，而不是去找那些ini文件。F2/F3其实和F0/F1相类似，只不过它们指向注册表里的ini映像。另外有一点不同的是，F2项中还报告下面键值处额外启动的程序

　　HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit