去年秋天，网页劫持我帮朋友查一台笔记本。网页劫持他抱怨浏览器主页被改成了某个导航站，网页劫持改回去，网页劫持重启，网页劫持又变回来。网页劫持我打开注册表，网页劫持搜到那个域名，网页劫持删掉。网页劫持重启。网页劫持它还在。网页劫持这事有意思了——不是网页劫持常见的流氓软件，是网页劫持更底层的东西。
网页劫持分好几层，网页劫持最浅的网页劫持是浏览器插件干的。装个来路不明的扩展，它偷偷把你的搜索请求转发到自己的服务器，中间插广告。这种好办，进扩展管理页，找到那个名字拼写古怪的，删掉就完事。稍微深一点的是改快捷方式。你桌面上的Chrome图标，右键看属性，"目标"那一栏原本是"C:\...\chrome.exe"，被人在后面加了 http://www.某导航.com。你点图标，浏览器启动时先访问那个网址。这种手法老得掉牙，但至今有效，因为大多数人不会去看快捷方式的属性。
再往下走就是驱动层了。我朋友那台机器中的就是这个。某个"系统优化工具"装的时候顺带塞了个内核驱动，专门盯着浏览器进程。你改主页设置，它拦截；你改注册表，它也拦截。它甚至会在你打开浏览器后延迟几秒再改，让你以为改成功了。我最后是用Autoruns扫了一遍驱动列表，找到一个没有数字签名的.sys文件，禁掉，才彻底解决。
运营商劫持是另一条路。你在浏览器地址栏敲一个不存在的域名，正常应该返回NXDOMAIN错误。但有些宽带运营商会返回一个广告页面，上面写着"您访问的网址不存在，试试以下推荐"。这不是你电脑的问题，是DNS查询在运营商那头被截了。换成8.8.8.8或者223.5.5.5这类公共DNS，通常能绕过去。不过有些运营商更狠，直接在你HTTP请求里插<script>标签，往页面里塞弹窗广告。这种就得靠HTTPS了——加密之后，中间人没法改内容。
最隐蔽的是路由器劫持。你家里那台TP-Link或者小米路由器，如果管理密码还是默认的admin/admin，别人连上你家WiFi就能进去改DNS设置。改完之后，所有连这个路由器的设备，访问任何网站都可能被导向钓鱼页面。我见过一个案例，路由器DNS被改成某个境外IP，用户访问银行网站时，页面看起来一模一样，但提交的账号密码全被截走了。这种劫持你查电脑根本查不出来，问题在路由器上。
说回我朋友那台机器。驱动删掉之后，我问他装过什么。他想了半天，说前段时间下过一个"PDF转换器"，装的时候一路点"下一步"，没注意捆绑选项。那个转换器本身能用，但安装包里夹带了驱动。这就是典型的供应链式劫持——你信任的是A软件，但A的安装包里塞了B。B不干别的，就盯着你的浏览器。
对付网页劫持，没有一招通吃的办法。得一层一层往下查：先看浏览器扩展，再看快捷方式，再看注册表和驱动，然后查DNS和路由器。每往下一层，排查难度就翻一倍。最省事的做法其实在源头——装软件时别一路狂点"下一步"，看清楚每个勾选框。那些默认勾上的"同意安装XX导航"、"设置XX为主页"，你取消掉，能省掉后面一堆麻烦。
我后来给朋友装了个火绒，把浏览器主页锁定打开。不是打广告，是这类安全软件确实能拦住大部分驱动层的修改。但说实话，如果攻击者真想搞你，总有办法绕过。安全这事，永远是攻防双方在较劲，没有一劳永逸的终点。