hiduba这个流氓，劫持我盯了它整整三天。浏览

那天下午，器主我正给亲戚修一台老掉牙的劫持联想笔记本。开机，浏览Chrome蹦出来，器主主页是劫持hao123——不对，仔细一看，浏览是器主hiduba.com。域名拼得跟“好123”似的劫持，但页面粗糙得像是浏览2008年的作品，满屏小广告，器主鼠标一抖就弹窗。劫持我第一反应是浏览快捷键被改了，打开设置，器主主页栏里赫然写着“https://www.hiduba.com/?from=home”。改回百度，关掉，重启浏览器，又跳回去了。

这就不是设置的问题了。是劫持。

hiduba这招挺阴。它不直接改你的快捷方式属性，也不往启动项里塞东西——那些太容易被发现。它往注册表里写了个Run键，指向一个藏在AppData深处的exe，每次开机就静默启动，然后盯着浏览器的配置文件，发现你改了主页，它两秒内就帮你改回去。你改一次，它改一次，跟你拉锯战。我用Process Monitor一抓，好家伙，它不光盯Chrome，连Edge、Firefox的快捷方式后缀都给你偷偷加上参数，你点图标的一瞬间，参数就带着它网址冲进浏览器。

最恶心的是它的自我保护。我试图删掉那个exe文件，提示“正在使用”。用任务管理器结束进程，刚结束，另一个同名进程又冒出来。它俩互相监视，一个死了另一个立刻复活。后来我才发现，它压根就没打算藏，进程名就叫“hiduba_service.exe”，明目张胆地躺在任务列表里，像颗钉子一样扎在系统里。

这种劫持的源头，十有八九是捆绑安装。亲戚回忆说，前阵子在某下载站下过一个“万能播放器”，安装时一路点“下一步”，没看那些勾选框。对，就是那个播放器，装完就静默塞了hiduba进来。这种套路太老了，老到我都懒得骂，但每年还是有成千上万台电脑中招——因为总有人急着用软件，总有人不读那些小字。

处理办法其实不复杂，但得有点耐心。我先把浏览器快捷方式全删了，重新从开始菜单拖出来，清掉后缀参数。然后进注册表，定位到HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run，找到那个指向hiduba的键值，删掉。接着用安全模式重启——这步关键，安全模式下它的守护进程起不来，exe文件才能删干净。最后用autoruns扫一遍计划任务和服务，把残留的条目全清掉。前后花了二十分钟，这破玩意儿才算彻底断气。

说实话，hiduba这种劫持不算高明，技术含量低得可怜。但它能活到今天，靠的恰恰是大多数人对系统的不了解。你越不懂，它越嚣张。你越懒得深究，它越能在你电脑里住得舒服。我见过有人被劫持半年，实在受不了重装系统，结果装完又装了同一个下载站的软件，半小时后hiduba又回来了——那才叫真正的绝望。

写这么多，就一个意思：别在乱七八糟的网站下软件，安装时多看一眼勾选框。真要中了招，别慌，按上面的步骤来，十分钟能解决的事，别花半天去生气。