你可能不知道91视频…真正靠的是浏览器劫持的常见迹象 - 我整理了证据链

前言（说明性质）本文不是法律定论，也不是对任何组织或个人的最终指控，而是基于大量用户反馈与可检测技术痕迹，整理出的“常见浏览器劫持迹象”与如何采集、串联证据的实操方法。我的目标是帮助普通用户判断、取证并进行自我保护与申诉。如果你在访问某个站点后遇到下列状况，请按文中步骤核查并保存证据。

一、为什么会有怀疑有用户反映访问特定视频网站后出现异常跳转、搜索被劫持、浏览器设置莫名改变或安装了未知扩展。这类现象常见于“流量劫持”或“推广工具”在用户端留下持久痕迹的情况。下面列出能帮助判断是否存在浏览器劫持的技术迹象及如何收集证据。

二、常见的浏览器劫持迹象（以及如何确认）

首页或默认搜索引擎被篡改
检查浏览器设置中的“主页/默认搜索引擎”，记录被替换前后的值，截图保存时间戳。
查看 chrome://policy（Chrome）或 about:config（Firefox）是否有未授权策略项。
强制跳转或自动弹窗不断出现
在复现问题时用屏幕录制工具记录整个流程（视频比截图更有说服力）。
用浏览器开发者工具 Network 面板保存请求记录（HAR 文件），查看跳转链条。
新增或无法移除的浏览器扩展
在扩展页面截图扩展列表，记录扩展 ID、名称、权限（如 tabs/webRequest）和安装时间。
导出或下载扩展文件（.crx），计算哈希（MD5/SHA256）并上传到 VirusTotal 检测。
浏览器持续调用外部脚本或注入代码
打开开发者工具，检查 Sources/Network，定位被注入的脚本 URL 与请求头，保存完整请求与响应。
如是 webRequest 拦截，查找带有异常 referer 或 origin 的请求。
系统层面异常（Hosts、DNS、代理）
检查 hosts 文件（Windows: C:\Windows\System32\drivers\etc\hosts；macOS/Linux: /etc/hosts）是否被篡改并重定向常用域名。
查看系统代理设置和浏览器代理、PAC 文件是否被替换；记录当前 DNS（ipconfig /all 或 dig/nslookup）。
检查本地 DNS 缓存与路由器的 DNS，防止上游被劫持。
新增后台进程或计划任务
用任务管理器或 ps、tasklist 列出可疑进程，保存进程路径与启动参数，导出进程二进制并计算哈希。
检查 Windows 注册表 Run/RunOnce、Scheduled Tasks、启动文件夹是否有可疑条目。
异常证书或 HTTPS 中间人证书
在浏览器证书存储中查看是否存在未知根证书或中间证书（可能用于 HTTPS 中间人劫持）。
如发现，导出证书并查询颁发者、指纹。

三、如何系统地“串联证据链”

复现场景并同时记录
使用屏幕录像 + HAR 导出 + 系统命令输出（如 netstat -ano、tasklist、reg query）三管齐下，保证时间轴一致性。
文件与样本保存
保存可疑扩展、exe、dll 的原始文件，计算 SHA256 并上传 VirusTotal、Hybrid Analysis 等服务获取报告链接。
网络抓包
用 Wireshark 或 tcpdump 抓取问题发生时的 pcap，标注关键时间点，导出相关流量并保存为证据。
WHOIS 与托管方查询
对可疑域名做 WHOIS 查询与域名解析历史（DNSHistory），记录域名注册信息与解析 IP，与 pcap 中的目标 IP 对比。
时间线整理
把所有日志、截图、哈希、WHOIS、pcap 按时间线排列，生成一份带注释的证据清单，便于提交给平台或安全组织。

四、可用于检测与取证的实用命令/工具（示例）

网页与网络：浏览器开发者工具（Network/HAR）+ curl -v + Wireshark/tcpdump
系统信息：Windows: netstat -ano、tasklist /v、reg query；macOS/Linux: lsof -i、ps aux
文件哈希与上传：sha256sum/md5sum + VirusTotal/HybridAnalysis
DNS/WHOIS：nslookup/dig + whois + online DNS历史查询（按需使用并保存输出，所有输出加时间戳）

五、如果确认或高度怀疑自己被劫持，优先处理步骤

临时隔离：断开网络、禁用可疑扩展或浏览器，关闭可疑进程（尽量记录再终止）。
恢复设置：先导出书签与必要数据，再重置浏览器到默认设置；必要时完全卸载浏览器并删除用户配置目录后重装。
清理系统：卸载可疑软件、删除恶意注册表项、清空 hosts 并恢复 DNS；使用权威反恶意软件（Windows Defender、Malwarebytes）进行离线扫描。
路由器检查：登录路由器管理页面检查 DNS 配置与固件更新，必要时恢复出厂并更改默认密码。
更换密码与安全加固：对关键账户（邮箱、支付、社交）更改密码并开启双因素认证。

六、如何向第三方举报与寻求帮助