拆解91官网…浏览器劫持的常见迹象｜以及你能做什么｜我整理了证据链

导语 最近关于“91官网”与浏览器异常行为的讨论较多。遇到浏览器被篡改、频繁重定向或莫名新增广告时，第一步是判断是否属于浏览器劫持，并把能收集到的证据按时间线整理清楚。下面把常见迹象、可操作的取证方法与修复步骤整理成一套实用指南，方便直接复制到你的Google网站上发布或用于上报。

一、什么是浏览器劫持（简要说明） 浏览器劫持通常指未经用户允许，恶意程序或脚本改变浏览器的设置（首页、新标签页、默认搜索引擎、代理/DNS 等）或在浏览器中注入重定向与广告脚本，导致页面跳转、隐私泄露或性能下降。它既可能来源于恶意网站，也可能来自插件、捆绑软件或被篡改的路由器/DNS。

二、常见迹象（遇到任一项都应提高警觉）

• 默认首页或新标签页被修改为陌生页面，无法恢复到原来的设置。
• 默认搜索引擎被替换，搜索结果中夹带大量广告或可疑站点。
• 访问任意正常网站时被重定向到广告、成人或钓鱼页面。
• 弹窗、横幅广告突然增多，或页面内容被注入大量第三方脚本/广告位。
• 浏览器扩展出现未知或未经安装的项目，且无法移除或反复出现。
• 浏览器速度明显变慢，页面渲染异常或频繁崩溃。
• 浏览器的书签、收藏夹出现未知链接。
• 系统 hosts 文件、代理设置或 DNS 被修改（访问特定站点被劫持或证书异常）。
• TLS/SSL 证书提示异常，提示“连接不安全”或跳过到非正常证书页面。
• 登录凭证异常（被收集或会话被劫持），或多次提示需要重新登录。

三、如何确认问题并收集证据（证据链） 证据要尽量清楚、带时间戳，并保留原始文件或导出格式，方便后续分析或上报。

1) 屏幕与行为记录

• 截图：完整地址栏、时间、异常页面或错误提示。
• 屏幕录像（短片段）：从访问正常网站到被重定向的全过程。

2) 页面与脚本

• 保存被劫持页面的完整 HTML（另存为 .html），以便后续查看注入脚本来源。
• 使用浏览器开发者工具保存 Network/HAR（保留“Preserve log”后操作并导出 HAR）。HAR 文件能显示被请求的第三方脚本与重定向链。

3) 扩展与设置清单

• 导出或截图浏览器扩展页面（列出所有扩展及其权限）。
• 截图浏览器的首页和默认搜索引擎设置页面。

4) 系统与网络设置

• 导出或截图 hosts 文件（Windows: C:\Windows\System32\drivers\etc\hosts）。
• 检查并记录系统代理、DNS 设置与路由器 DNS 配置（截图路由器管理界面中的 DNS/固件信息）。
• 导出启动项、任务计划任务或已安装程序列表（截图“程序和功能”或启动管理器）。

5) 网络抓包与日志（技术向）

• 在可控环境下抓包（pcap 文件），记录被重定向请求的完整 TCP/HTTP 流量与时间戳。Wireshark/tcpdump 生成的 pcap 是强证据。
• 保存浏览器或系统日志（如 Windows 事件查看器相关日志、浏览器的 Net-export 输出）。

6) 可疑文件的原始保存与哈希

• 将任何可疑可执行文件或插件另存并计算哈希（SHA256/MD5），以便比对与上传样本。示例：在 Windows 上可使用 certutil -hashfile SHA256。
• 对关键文件与证据打包并记录时间线说明。

四、立即可做的修复与排查步骤（从简到深） 这些步骤不一定都要马上做，按情况优先级处理（如怀疑账户泄露则优先改密并断网）。

• 临时隔离：在怀疑数据外泄或持续重定向时，可暂时断开网络进行排查。
• 关闭并移除可疑扩展：进入浏览器扩展管理，禁用或删除陌生扩展并记录名称与来源。
• 重置浏览器设置：恢复首页、默认搜索引擎与启动项为默认值（重置前先保存证据）。
• 清除浏览数据：删除缓存、Cookie、Site Data（注意登录状态会丢失）。
• 卸载可疑程序：在系统“程序和功能”中查找最近安装或来源可疑的程序并卸载。
• 检查 hosts、代理与 DNS：将 hosts 文件还原为默认，取消不明代理，改用可信 DNS（如 1.1.1.1、9.9.9.9 等）进行验证。
• 本地安全扫描：用 Windows Defender、Malwarebytes、AdwCleaner 等多款工具分别扫描并清理（建议在安全模式或离线环境下运行深度扫描）。
• 路由器排查：登录路由器管理界面，检查 DNS、转发规则、已登录设备与管理账号，必要时升级固件并重置路由器密码。
• 密码与账号安全：在确认设备清洁后，从干净设备更改重要账号密码并启用双因素认证。
• 系统回滚或重装：若多处被篡改且清理无果，考虑系统还原到早前快照或彻底重装系统（重装前备份重要数据并先检测备份文件）。

五、如何把证据打包并上报

• 证据包包含：时间线说明（按步骤记录发生顺序）、截图与录像、HAR/pcap 文件、可疑文件及其哈希、hosts/代理/DNS 截图、扩展与已安装程序清单。
• 上报对象：浏览器厂商（Chrome/Firefox 提供的安全/abuse 报告渠道）、安全公司（提交样本）、网站托管商或域名注册商（WHOIS/abuse 联系信息）、ISP（若怀疑路由器中毒或中间人攻击）。
• 提交时说明复现步骤与环境（浏览器版本、操作系统、是否使用 VPN/代理、用的路由器型号），并附上证据包。

六、长期防护建议（好习惯）

• 安装并保持系统与浏览器更新。
• 安装来源可信的扩展，定期审查扩展权限并移除不常用项。
• 安装主流防恶意软件并结合行为型检测工具。
• 下载软件时注意安装流程，取消任何捆绑软件或不必要的默认选项。
• 使用密码管理器与双因素认证，避免在不可信环境下输入敏感信息。
• 定期备份重要数据并验证备份可用性。
• 对路由器进行固件更新、使用强管理员密码，并考虑启用路由器上的 DNS 安全过滤。

结语 浏览器劫持看上去是小问题，但会带来隐私泄露、账号风险与持续烦扰。把每一次异常当成一次可取证的事件，把截图、日志、HAR/pcap 等按时间线保存，能把零散的异常连接成有力的证据链。需要更具体的操作（例如如何导出 HAR、抓取 pcap 或计算文件哈希）可以把你的操作系统与浏览器版本发过来，我可以针对步骤做简短的操作指南，帮你把证据整理成便于上报的格式。