差点就中招：91爆料 · 我当场清醒：原来是浏览器劫持 · 我整理了证据链
我当场冷静下来，开始收集证据。以下把我的发现、证据链以及处理流程整理成可直接参考的记录，既是复盘也是给遇到类似情况的你一份操作清单。
一、现场症状（触发后第一时间能观察到的异常）
- 搜索结果被替换为陌生域名的搜索页面，URL 有明显的追踪参数或二级域名。
- 浏览器首页与默认搜索引擎被篡改，chrome://settings/searchEngines 查看显示异常条目。
- 新装或未授权的浏览器扩展出现在 chrome://extensions。
- 弹窗频繁出现、页面广告明显增多，且点开链接会先跳转到中间页再到最终站点。
- 浏览器地址栏自动补全或重定向到广告中转域名。
二、我收集的证据链（按时间线） 1) 现场截图（时间标注）
- 截取被劫持的搜索页面、地址栏完整 URL、弹窗与页面源码片段（保存为 .html）。
- 为防篡改，用系统截图工具按顺序保存并标注时间。
2) 浏览器内部记录
- chrome://extensions 和 chrome://settings/searchEngines 的截图，记录可疑扩展 ID、安装时间、搜索引擎条目与对应 URL。
- 导出 Chrome 配置文件 Preferences（位于 User Data/Default），记录被修改的默认searchengine 配置。
3) 网络行为与域名证据
- 使用 Fiddler/Wireshark 抓包，保存重定向链的 HTTP 请求（包含 Referer、User-Agent、重定向 302/301 响应头）。
- 将可疑域名提交给 VirusTotal、AlienVault OTX 等，保存扫描与威胁情报报告截图。
- 查询 WHOIS 与被劫持域名的注册信息、创建时间与最近更改记录，保存查询结果。
4) 本地进程与持久化痕迹
- 运行 netstat -ano 与 tasklist，记录与可疑域名或 IP 建立连接的进程 PID 与名称。
- 检查系统 hosts 文件、计划任务、注册表启动项（HKCU\Software\Microsoft\Windows\CurrentVersion\Run 等），截图或导出可疑项。
- 如果发现可疑扩展，记录其文件路径（通常在 Chrome 用户资料目录下的 Extensions 文件夹），保存 md5/sha256 指纹。
5) 第三方证明与时间线交叉验证
- 将浏览器截图、抓包文件、域名情报一并提交 VirusTotal（文件与 URL 扫描），保存报告作为独立第三方证据。
- 截图本地安全软件（如 Windows Defender、Malwarebytes）扫描报告，记录查杀日志。
三、基于证据链的判断
- 搜索被替换 + 新增扩展条目 + 网络抓包显示访问中转域名 + 注册表/计划任务存在可疑持久化项，这些证据一起指向“浏览器劫持”而非单纯网页广告。
- VirusTotal 与 WHOIS 报告中可疑域名的短寿命注册与多次变更，加上被多个黑名单标注，进一步确认该域名用于流量劫持与广告注入。
四、我当场做了什么（快速应急流程） 1) 断网（拔掉网线或临时关闭 Wi‑Fi），防止更多数据外泄或继续被牵引下载组件。 2) 保存现场证据（截图、抓包、浏览器配置文件、可疑域名列表）。 3) 在受信任的设备或沙箱中检验可疑扩展/程序，避免在受感染机器上盲操作。 4) 在安全模式下运行杀毒工具（多引擎扫描），重点清理注册表启动项与可疑程序。 5) 恢复浏览器默认设置，删除未知扩展，清除缓存与 Cookie，检查 chrome://settings/reset 结果是否稳定。 6) 更改重要账号密码并启用 2FA（在确认设备干净后）。如果担心密码泄露，可先用另一台干净设备完成密码变更。
五、给遇到同样情况的人：快速自查清单
- 检查浏览器扩展（删除陌生或权限过宽的扩展）。
- 查看默认搜索引擎与首页设置是否被修改。
- 在地址栏尝试直接输入常用站点域名，看是否被重定向。
- 使用 netstat、浏览器开发者工具或抓包工具查看是否存在异常请求链。
- 将可疑域名/URL 投递 VirusTotal 做交叉验证。
- 检查 hosts 文件与系统启动项是否有异常条目。
六、后续与上报建议
- 将被篡改的扩展、可疑 URL 上报给浏览器商店（Chrome Web Store）和 Google Safe Browsing。
- 保存完整证据包（截图、抓包、日志）以备应对后续纠纷或进一步追踪。
- 如果为企业环境，通知 IT 安全团队并对相关终端进行集中扫描与隔离。
结语 这次经历提醒我，浏览器安全往往被忽视，但一旦被劫持，带来的不仅是烦人的广告，更可能是敏感信息暴露与长期流量劫持。幸好当场冷静、按照证据链一步步核查，最终识别并清理干净。若你也遇到类似情况，愿这篇实操化的证据链和处理流程能帮你迅速判断与应对。需要我把完整的检查清单与证据模版发给你，或者帮你远程核查一遍，随时联系。
