禁止编辑注册表+ 文件劫持（映像劫持）

昨天维护电脑时发现打开不注册表，打开时发现是打开文本文件，通过工具查看打开参数 notepad.exe "c:windowsregedit.exe",
经过一番分析后：
得出映像劫持 + 禁止编辑注册表

这一些行为通常是 病毒导致的：
经过杀毒软件扫描：发现给 文件夹EXE病毒;
扫描完成，清理后，情况依旧！

通过网络，解决方法如下：

找到regedit.exe文件，将后缀名.exe改为.cmd，或者.com
双击启动，打开注册表

找到HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionPoliciesSystem， 可能没有System
右边新建一个双字节(DWORD)值，将其命名为DisableRegistryTools;
数值数据修改为1(1和0时分别表示锁住和解锁)

退出注册表编辑器，再次打开注册表时，则提示“注册表编辑已被管理员禁用”，以后别人、甚至是你都无法再用regedit.exe。

当禁用编辑后，Version 5.00是不能导入注册表的

Windows Registry Editor Version 5.00

[HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionPoliciesSystem]
"DisableRegistryTools"=dword:00000000

gpedit.msc -->用户配置–>管理模板–>系统----右侧---->阻止访问注册表编辑工具–>禁用

打开文件文件，复制下面文本，保存问inf文件，后右键安装，即可删除注册表禁用值.

[Version]
Signature="$Chicago$"
[DefaultInstall]
DelReg=DeleteMe
[DeleteMe]
HKCU,"SoftwareMicrosoftWindowsCurrentVersionPoliciesSystem","DisableRegistryTools"

依次打开[HKEY_LOCAL_MACHINESoftwareMicrosoftWindows NTCurrentVersionImage File Execution Options]
选中Image File Execution Options 右侧窗口找到 找到msconfig.exe、regedit.exe、regedit32.exe然后右键，全部删掉.

Windows Registry Editor Version 5.00

[HKEY_CURRENT_USERSoftwarePoliciesMicrosoftMMC{8FC0B734-A0E1-11D1-A7D3-0000F87571E3}]
"Restrict_Run"=dword:00000001 

（最终都是注册表）组策略是UI，注册表是代码

组策略 —>用户配置–>管理模板—>Windows 组件–>Microsoft管理控制台—>受限的/许可的管理单元—>组策略-----右侧—>组策略对象编辑器----->已禁用：