浏览器劫持工具

打开浏览器，浏览主页变成了一串看不懂的器劫导航站，搜索引擎被换成了某个没听过的持工名字，想改回去却发现设置选项是浏览灰的。这不是器劫中毒，是持工你被浏览器劫持了。我自己的浏览Chrome上个月就中过一次，卸载重装都没用，器劫最后查注册表才找到根子——一个伪装成“PDF转换器”的持工扩展在作怪。

浏览器劫持这玩意儿，浏览说白了就是器劫有人在你不知情的情况下，偷偷改掉你浏览器的持工默认配置。主页、浏览搜索引擎、器劫新标签页、持工甚至右键菜单，全都能被动手脚。它不像勒索病毒那样大张旗鼓，更像一只老鼠，悄没声地蹲在你系统里，你每开一次浏览器，它就赚一次流量钱。

最常见的入口：捆绑安装

国内下载站是重灾区。你去搜“XX软件下载”，排在前面的往往不是官网，而是各种“高速下载器”。那个下载器本身就是一个劫持工具，安装界面里默认勾选了一堆你根本不会注意的选项——“设置XX导航为首页”“安装XX安全卫士”。你点“下一步”的速度越快，中招的概率越高。我有次帮朋友修电脑，他桌面上多了七个浏览器图标，全是同一家公司的换皮产品，每个都劫持了不同的主页。

更隐蔽的手法：WMI和计划任务

稍微“高级”一点的劫持工具不走注册表那条老路了。它们用WMI事件订阅或者Windows计划任务，每隔几分钟检查一次浏览器快捷方式，发现被改回来就立刻重新写入。你手动改设置，重启浏览器又变回去，原因就在这。我见过一个样本，它在`C:\Windows\System32\Tasks\`下面建了三个计划任务，名字伪装成“MicrosoftEdgeUpdate”之类的，普通用户根本不会去翻。

浏览器扩展：最直接的通道

Chrome和Edge的扩展商店审核不算松，但架不住有人先上架一个干净版本，等积累了几万用户之后再推送一个“更新”，里面夹带劫持代码。去年有个叫“Clean Master”的扩展就这么干的，更新后开始篡改新标签页。你去看它的评论区，前几页全是好评，翻到后面才有人骂。这种劫持最难防，因为它是“合法”安装进来的。

怎么判断自己中了

几个信号：浏览器设置里主页选项变成了灰色不可改；快捷方式的目标路径后面跟了一串网址；任务管理器里多了你不认识的进程，名字往往模仿系统组件，比如“svchost.exe”但路径不对；或者你打开浏览器，地址栏自动补全了一个你从没访问过的导航站。

清理思路

先断网。然后检查快捷方式属性，把目标栏里`http://`开头的那串删掉。接着去注册表`HKCU\Software\Microsoft\Windows\CurrentVersion\Run`和`HKLM\...\Run`下面找可疑启动项。WMI劫持用`wbemtest`或者PowerShell查`__EventFilter`和`__EventConsumer`。计划任务用`taskschd.msc`逐个看。浏览器扩展全部禁用，再一个个开，看哪个开了之后主页又变了。

最省事的办法其实是重装系统，但很多人不愿意。那就得有点耐心，一层层剥。劫持工具的作者赌的就是你嫌麻烦。你越嫌麻烦，他越开心。

最后说一句：别用那些来路不明的“主页修复工具”。我测试过三个，两个本身就在劫持。修劫持的成了劫持的，这事儿挺黑色幽默的。