去年秋天，样避我帮朋友处理过一台被劫持的免被电脑。浏览器主页变成某导航站，网站搜索时跳转到陌生引擎，劫持连输入法都开始弹广告。样避查了半天，免被问题出在一个不起眼的网站浏览器扩展上——那款号称“比价助手”的插件，安装量有几十万，劫持暗地里篡改流量。样避这不是免被孤例。网站劫持早就不只是网站DNS污染那种老把戏，它藏在你随手点的劫持链接、装的样避软件、连的免被WiFi里。

先搞清楚劫持怎么发生的网站。常见的有三种：DNS劫持，你输入网址，解析请求被半路截走，送到假服务器；HTTP劫持，数据包在传输中被插入广告或跳转代码，尤其公共WiFi下高发；还有本地劫持，恶意软件改了你的hosts文件或浏览器配置。运营商偶尔也干这事，弹个“流量提醒”窗口，底下藏着跳转脚本。

DNS层面最直接。默认DNS服务器不一定靠谱，有些小运营商或公共DNS会返回错误IP。换成可信的加密DNS能挡掉大部分。Cloudflare的1.1.1.1、Google的8.8.8.8都支持DoH（DNS over HTTPS），流量加密后中间人没法篡改。Windows在“网络适配器”里改，手机在WiFi设置里改，路由器后台也能统一配。我自家路由器就锁了Cloudflare，半年没再见过运营商插的广告。

HTTP劫持靠HTTPS来防。现在主流网站都上了TLS证书，浏览器地址栏那个小锁不是摆设。但注意，别随便点“继续访问不安全网站”。有些劫持就赌你手快。另外装个HTTPS Everywhere扩展（现在叫HTTPS by default），强制走加密连接。Firefox和Chrome设置里也有“始终使用安全连接”的开关，打开它。

本地劫持更隐蔽。hosts文件在C:\Windows\System32\drivers\etc下，用记事本打开看看有没有陌生IP映射。浏览器快捷方式后面被加网址参数也是老套路——右键属性，看“目标”栏里有没有多余字符。还有扩展程序，定期清理。我每季度过一遍chrome://extensions，不认识的、半年没更新的，直接删。

公共WiFi是重灾区。咖啡厅、机场那种不加密的热点，连上后所有流量裸奔。劫持者架个假热点，你连上后访问任何网站都可能被重定向。解决办法：用VPN。别用免费的，免费VPN自己就是劫持方。WireGuard或OpenVPN自建一个，或者买口碑好的付费服务。手机上也一样，流量走VPN，DNS查询也加密。

路由器本身也得管。默认密码不改，固件不更新，等于把门敞开。登录路由器后台，关掉WPS，改管理员密码，开WPA3加密（如果支持），关远程管理。固件更新别偷懒，厂商补丁往往修的就是已知劫持漏洞。我见过一台老TP-Link，固件停在2016年，DNS设置被改成了某恶意IP，全家设备都中招。

浏览器安全设置别忽略。Chrome的“隐私设置和安全性”里，打开“安全DNS”，选自定义提供商。Firefox的“隐私与安全”里，启用“基于HTTPS的DNS”。Edge也有类似选项。这些设置不复杂，五分钟搞定，但能拦住大部分中间人攻击。

最后说个真实案例。上个月同事抱怨淘宝总跳转到某返利网站。我让他查浏览器扩展，果然有个“购物省钱助手”。删掉后正常。这类扩展往往通过联盟链接劫持，你下单它抽佣。安装前看权限，要求“读取和更改所有网站数据”的，多留个心眼。

劫持手段在变，防御逻辑不变：加密流量、管好设备、别乱装东西。做到这三条，九成以上的劫持跟你没关系。

(责任编辑：探索)