搜索91在线时 · 你看见的不是结果 - 是浏览器劫持的常见迹象，我整理了证据链

搜索“91 在线”时 · 你看见的不是结果 — 是浏览器劫持的常见迹象，我整理了证据链

引言 在浏览器里输入熟悉的关键词，期待看到正常搜索结果，结果却被跳转到奇怪页面、广告铺天盖地、搜索结果不相关或地址栏被劫持变成别的搜索引擎——这通常不是偶然，而是浏览器/网络被劫持的信号。下面把常见迹象、如何把“证据链”收集完整，以及清理与防护的实操步骤都整理清楚，方便直接复制粘贴执行或发布到你的站点上。

一、什么是浏览器劫持（简要） 浏览器劫持指的是未经用户同意篡改浏览器设置或网络解析，将原本的搜索、主页、DNS解析、或流量导向恶意或广告站点。手法多样：恶意扩展、劫持代理/系统 DNS、篡改 hosts 文件、修改快捷方式、植入浏览器策略（enterprise policy）等。

二、常见迹象（遇到其中任何一项都要警惕）

• 搜索结果被重定向到非预期页面（频繁跳转、尤其是成人/广告页面）。
• 地址栏显示的网站与实际内容不匹配或地址栏被替换成别的搜索提供商。
• 新增不明扩展/工具栏，且无法轻易移除。
• 浏览器主页或默认搜索引擎被篡改为陌生站点。
• 弹窗、广告、自动下载频繁增加。
• 浏览器设置项被灰显锁定（无法更改）。
• 系统 hosts 文件或 DNS 被莫名修改，nslookup 得到异常 IP。
• 打开 https 网站时证书异常或提示中间人证书（极端情况）。
• 浏览器快捷方式被篡改（目标字段带有附加 URL 参数）。

三、怎样收集“证据链”（保全事实，便于判断与清理） 1) 截图与时间戳

• 对异常页面、地址栏、浏览器设置页（扩展、默认搜索、主页）逐项截图并保存，截图文件名写上时间，以便排序。
  2) 保存网络请求记录（HAR）
• Chrome/Edge/Firefox：F12 → Network → 勾选 Preserve log → 执行搜索或复现跳转 → 右键 Save all as HAR。HAR 文件能记录跳转与第三方请求。
  3) 导出扩展与策略信息
• Chrome: 打开 chrome://extensions/ 和 chrome://policy/，截图或保存页面（policy 页面会显示是否有策略在强制配置）。
• Firefox: about:addons、about:config 的相关键截图。
  4) DNS 与解析信息
• 在命令行运行：nslookup 目标域名；或在 macOS/Linux 用 dig 域名 +trace。把结果保存为文本。异常解析到陌生 IP 要重点记录。
  5) 捕获 HTTP 响应头与重定向链
• 用 curl -v -L "http://有问题的URL" 或 curl -I 记录 3xx 重定向与最终服务器返回头。
  6) 检查本机 hosts 与代理设置（并保存）
• Windows hosts 文件路径 C:\Windows\System32\drivers\etc\hosts，复制文件内容并另存。
• Windows: netsh winhttp show proxy；检查 Internet Options → Connections → LAN settings。
• macOS/Linux: /etc/hosts、networksetup -getwebproxy（macOS）。
  7) 记录运行进程与启动项
• Windows: 使用 Task Manager 或 Process Explorer（保存进程列表快照）；Autoruns 导出启动项（File → Save）。
• macOS: launchctl list，或列出 Login Items。
  8) 路由器与全网证据
• 如果怀疑是路由器层面被篡改，登录路由器查看 DNS 配置并截屏，取回设备日志（部分路由器支持）。若无法登录，记录路由器的管理 IP 与固件版本。
  9) 网络抓包（如有能力）
• 用 Wireshark 捕获异常访问的 pcap，能作为最强证据链（记录时间、源/目的 IP、HTTP Host header 等）。

四、常见技术手法（理解攻击方便定位）

• 恶意浏览器扩展：直接注入脚本、重写页面、拦截表单、修改搜索引擎。
• 修改 hosts 文件或本地 DNS 缓存：把常用域名解析到攻击方 IP。
• 篡改浏览器策略（企业策略、注册表项）：锁定默认搜索、阻止卸载。
• 安装本地代理或更改系统代理：所有 HTTP 请求经过恶意中继。
• 利用快捷方式参数（例如目标栏末尾加上网址）：打开浏览器自动跳转。
• 路由器被劫持：路由器 DNS 指向恶意 DNS，影响全网设备。

五、清理与修复（按优先级执行） 准备：在清理前把上面的“证据链”先保存备份，方便必要时比对或反馈给安全厂商。

A. 浏览器层面（先做这一步）

• 进入扩展管理页（chrome://extensions、about:addons），禁用并删除可疑扩展。
• 清除浏览器数据（缓存、Cookie、已保存网站权限）。
• 恢复默认设置或重置浏览器（Chrome：Settings → Reset and clean up → Restore settings to their original defaults）。
• 检查并修复快捷方式目标（右键→属性→目标，删除后面多余参数）。

B. 系统与网络层面（Windows 常用命令）

• 清空 DNS 缓存：打开命令提示符（管理员）运行：ipconfig /flushdns
• 重置 Winsock：netsh winsock reset，然后重启电脑。
• 检查 hosts 文件并恢复默认（通常仅含注释与 127.0.0.1 localhost）
• 检查系统代理：netsh winhttp show proxy 或 Internet Options → Connections → LAN settings → 取消代理。
• 使用 Autoruns/Process Explorer 查找可疑自启动项并禁用/删除。
• 通过控制面板卸载未知或可疑程序。

C. 扫描与专用清理工具

• 推荐运行 Malwarebytes、AdwCleaner、HitmanPro 等反恶意软件工具全盘扫描并清理（许多浏览器劫持为 PUP/adware，这类工具对付效果不错）。
• 如有必要，再用 ESET 或其它厂商二次确认。

D. 路由器与网络设备

• 登录路由器管理页，检查 DNS 设置，确保不是第三方 DNS（如可疑 IP）。
• 修改路由器默认管理员密码，关闭远程管理，升级路由器固件。
• 如果路由器被确证篡改，执行出厂重置并重新配置网络参数。

E. 账户安全与后续

• 更改常用账户密码（尤其在怀疑凭证被窃取的情况下）。
• 清理后观察 48-72 小时内是否有复发；若复发，说明残留或路由器/宽带层面仍被攻陷。

六、如何判断是否彻底清除（验证清单）

• 用多个设备/移动网络重复搜索相同关键词，确认是否仍被跳转（若仅一台设备有问题，倾向本机感染；若所有设备都有问题，优先检查路由器/DNS）。
• HAR 文件重测：清理后重新生成 HAR，比较请求链是否变回正常。
• nslookup/dig 多次验证域名解析是否正常。
• chrome://policy/ 无不信任策略存在，chrome://extensions/ 无可疑扩展。

七、防护建议（实用、可马上执行）

• 仅从官方扩展商店安装扩展并定期检查扩展权限。
• 给路由器设置强密码并定期升级固件。
• 使用可靠的反恶意软件并保持数据库更新。
• 浏览器使用 uBlock Origin 等拦截器，减少恶意脚本被加载的机会。
• 避免下载不明安装包、工具栏或所谓“系统加速器”。