我承认我好奇过：看到“糖心vlog入口官网”这样的字眼，点进去的那一瞬间，我很想看看到底是怎样的内容——结果当场清醒：原来是浏览器劫持。下面把我整理好的“证据链”和应对流程，直接贴出来，供大家参考（这是我的真实经历与处理记录，不带任何空话）。

一、现场回放（我怎么发现的）

• 打开链接后，页面看起来像是一个入口页，但很快地址栏开始跳转，最终停在一个和原始页面完全不同的搜索或广告页面。
• 新标签页频繁自动打开，主页和默认搜索引擎也被修改。
• 浏览器响应变慢，有大量广告弹窗、页面内容被动态注入可疑脚本。
• 我没有主动下载任何插件，但浏览器扩展里出现了陌生项。

二、证据链（我如何一步步确认是劫持）

• 时间线：记录每次打开页面、重定向和弹窗出现的具体时间（用手机或截图保存）。
• URL链：在开发者工具（F12）Network栏里抓取请求链，注意每一次302/301重定向和第三方域名。
• 脚本来源：在Console和Sources里查看被注入的脚本文件名与来源域名，截图保存。
• 扩展与cookie：列出异常扩展名、安装时间，并导出/截图可疑Cookie和本地存储（localStorage）条目。
• 网络连接：使用netstat或Wireshark观察到的可疑外连IP与端口，配合WHOIS或IP归属查询结果。
• 系统改动：检查hosts文件、代理设置、系统计划任务及启动项是否被篡改，截图为证。 这些证据连在一起，能清晰说明浏览器或系统被植入了劫持逻辑，而非单纯网页广告。

三、我采取的清理步骤（按顺序执行）

1. 断网：先断开网络，避免更多恶意请求。
2. 备份重要数据：导出书签、保存未完成工作的文件。
3. 卸载可疑软件/扩展：浏览器扩展中先禁用所有不认识的扩展并删除；控制面板里卸载近期安装的可疑程序。
4. 恢复浏览器设置：重置浏览器为默认设置，手动检查并还原主页、默认搜索引擎和启动项。
5. 检查hosts与代理：Windows位于C:\Windows\System32\drivers\etc\hosts，确认无异常条目；浏览器/系统代理设置恢复自动检测或直接清空。
6. 扫描并清除：使用多款知名安全工具（例如 Malwarebytes、AdwCleaner、Windows Defender）全盘扫描并清除残余。
7. 网络流量复查：重连后再次用开发者工具或netstat确认恶意请求是否消失。
8. 系统补丁与密码重置：确保系统与软件更新到最新，并更换因该设备可能泄露的关键账户密码（优先邮箱与金融账户）。
9. 监测几天：观察是否还有异常行为，确认彻底清除后再恢复正常使用。

四、预防建议（从我的经验出发）

• 下载前先查来源和评论，避免点击不明入口。
• 对陌生扩展保持高度警觉，定期清查浏览器扩展。
• 使用可信的广告/脚本拦截器（例如 uBlock Origin）和正规安全软件。
• 定期备份并开启系统自动更新。
• 出现异常行为时，优先断网并保持证据（截图、抓包）便于追溯。