问题源于浏览器快捷方式目标路径被恶意追加网址参数。需依次清理所有快捷方式“目标”字段中的非法后缀、检查多位置入口、终止动态重建进程、核对浏览器启动命令行参数，并用资源监视器定位篡改源头。
如果您发现每次启动浏览器时自动跳转至hao123且地址栏中包含异常后缀，问题很可能源于浏览器快捷方式的目标路径被恶意追加了网址参数。以下是针对该场景的专项修复步骤：
一、检查并清理浏览器快捷方式目标路径
浏览器图标属性中的“目标”字段常被劫持程序篡改，在原可执行文件路径后强行拼接hao123链接，导致每次双击即跳转。需手动剥离该非法后缀。
1、在桌面或任务栏上右键点击浏览器图标（如Chrome、Edge、Firefox等），选择“属性”。
2、切换到“快捷方式”选项卡，定位到“目标”输入框。
3、观察目标内容：正常应仅含可执行文件完整路径，例如"C:\Program Files\Google\Chrome\Application\chrome.exe"；若末尾出现空格加http://或https://开头的网址，则为劫持痕迹。
4、将光标移至路径末尾空格之后，按住Shift+方向键向左选中全部非法网址部分。
5、按下Delete键彻底删除所选内容，确保“目标”框内仅保留带英文引号的原始exe路径。
6、勾选下方“只读”属性复选框，防止劫持程序再次写入。
7、点击“应用”，再点击“确定”保存更改。
二、同步检查其他位置的快捷方式
劫持者常批量修改多个入口点，包括开始菜单、任务栏固定项、桌面副本及发送到菜单中的快捷方式，任一残留均可能导致复发。
1、依次右键检查以下位置的浏览器快捷方式：开始菜单中对应程序图标、任务栏已固定图标、桌面所有同名图标、%APPDATA%\Microsoft\Windows\Start Menu\Programs文件夹内对应项。
2、对每个快捷方式重复执行“属性→快捷方式→目标→删后缀→勾只读→确定”操作。
3、特别注意是否存在名称伪装成浏览器但实际指向恶意脚本的快捷方式，例如图标相同但目标为wscript.exe或powershell.exe调用远程地址。
三、验证快捷方式是否仍被动态重建
部分顽固劫持通过后台进程（如scrcons.exe、svchost.exe异常子进程）监控快捷方式修改行为，并在数秒内自动恢复被删网址，需识别并终止该机制。
1、按Ctrl+Shift+Esc打开任务管理器，切换到“启动”选项卡，禁用所有名称可疑、发布者为空或为“Unknown”的启动项。
2、切换到“进程”选项卡，按CPU或磁盘排序，查找持续高占用的非系统进程，尤其注意名称含“cons”、“helper”、“update”、“svc”的条目。
3、右键可疑进程，选择“打开文件所在位置”，若路径位于Temp、AppData\Local\Temp或随机命名子目录，立即结束该进程并删除其所在文件夹。
4、重启电脑后，再次打开任意浏览器快捷方式属性，确认“目标”字段未再生后缀。
四、校验浏览器自身启动参数是否被注入
某些劫持不依赖快捷方式，而是直接修改浏览器内部启动配置，使即使从命令行或任务计划启动也会强制加载hao123，需核对chrome://version/等诊断页中的命令行字段。
1、在浏览器地址栏输入chrome://version/（Chrome/Edge/Brave等Chromium内核浏览器适用），回车。
2、向下滚动至“命令行”项目，查看其值是否包含以空格分隔的http://或https://网址。
3、若存在，说明劫持已深入启动链，此时快捷方式清理仅为表层操作，必须结合注册表与组策略进一步排查。
4、记录该命令行完整内容，用于后续比对注册表HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome\RestoreOnStartupURLs等策略键值。
五、使用系统工具定位快捷方式篡改源头
Windows自带的“资源监视器”可实时捕获对快捷方式文件的写入行为，帮助锁定正在执行篡改的进程。
1、按Win+R输入resmon，回车打开资源监视器。
2、切换到“CPU”选项卡，在底部“关联的句柄”搜索框中输入.lnk。
3、触发一次浏览器快捷方式双击动作，观察列表中是否有进程在“映像”列频繁出现并伴随写入操作。
4、记下该进程名称与PID，在任务管理器中定位并结束，随后对其签名进行病毒扫描。
5、若进程名为dllhost.exe或rundll32.exe，需进一步使用Process Explorer查看其加载的DLL模块，识别注入模块路径。
