Co to jest hak wyszukiwania URL w systemie Microsoft?

Co to jest hak wyszukiwania URL w systemie Microsoft?

Gdy w pasku adresu przeglądarki wpisujemy adres internetowy bez określenia protokołu (np. https://, https:// lub ftp://), Internet Explorer stara się odgadnąć, którego protokołu użyć, analizując sam adres. Jeśli przeglądarka nie potrafi samodzielnie ustalić protokołu, korzysta z tzw. URL Search Hook – mechanizmu, który pomaga zidentyfikować właściwy protokół.

IE i URL Search Hook

Jeśli Internet Explorer nie rozpozna protokołu, najpierw przyjmuje, że ma to być HTTP – najczęściej domyślny protokół dla żądań sieciowych. Gdy HTTP nie jest prawidłowy, przeglądarka wywołuje metodę IURLSearchHook, która odczytuje dane z zarejestrowanego w rejestrze obiektu i określa właściwy protokół.

Translacja URL

Rejestr systemu Windows przechowuje ustawienia konfiguracyjne OS oraz niektórych aplikacji. Internet Explorer zapisuje w rejestrze obiekty URL Search Hook, które są wykorzystywane do wyszukiwania protokołów. Obiekty te znajdują się pod kluczem:

HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\UrlSearchHooks

Każdy obiekt posiada unikalny identyfikator klasy (CLSID) – ciąg znaków w nawiasach klamrowych, np. {00A6FAF6-072E-44CF-8957-5838F569A31D}. Interfejs IURLSearchHook tłumaczy adres URL i powiązany CLSID, aby określić odpowiedni protokół. Następnie IE używa częściowego adresu i identyfikatora protokołu, aby pobrać i wyświetlić żądaną treść. Na większości systemów Windows istnieje tylko jeden taki obiekt.

Nieprawidłowe obiekty URL Search Hook

Hakerzy i oprogramowanie typu hijacker często dodają własne obiekty URL Search Hook do rejestru, przekierowując wszystkie adresy bez protokołu na ich własne strony. Częstym problemem jest także brak domyślnego obiektu lub jego uszkodzenie. Aby wykryć i naprawić takie problemy, można użyć darmowego narzędzia HijackThis, które analizuje rejestr i może przywrócić brakujący lub uszkodzony obiekt. Alternatywnie można ręcznie edytować rejestr za pomocą RegEdit – wbudowanego edytora rejestru Microsoft.

IE 9 i nowsze wersje

Internet Explorer 8 i starsze wersje korzystają z metody IURLSearchHook do identyfikacji brakujących protokołów. Od wersji IE 9 (czyli IE 9, 10, 11 i późniejszych) metoda ta nie jest już używana – przeglądarka stosuje inne mechanizmy.