一、什么是浏览器劫持程序？
浏览器劫持程序是一类会擅自改变浏览器行为的软件、扩展或系统配置，其目的通常是把用户的搜索流量、网页访问和广告点击引导到攻击者或推广方指定的平台。
用户可能原本把 Google、Bing、DuckDuckGo 或其他搜索服务设为默认搜索引擎，但浏览器重启后却被替换成一个陌生搜索网站；用户可能已经把主页改回常用页面，但下一次开机后又被强制跳转；用户还可能发现浏览器中新出现了自己从未安装的工具栏、购物助手、视频下载器、优惠券扩展或“安全搜索”插件。
这些现象通常不是浏览器自身随机发生故障，而是某个扩展、应用程序、登录项、配置文件或恶意软件正在持续修改设置。
浏览器劫持并不是一个单一的恶意软件家族，而是一种行为类型。实施这种行为的程序可能被安全厂商标记为广告软件、潜在有害程序、恶意扩展、下载器、间谍软件或木马。
部分程序不会直接破坏文件，也不会像勒索软件那样锁定设备，因此用户容易把它当作烦人的广告问题。然而，浏览器是用户访问邮箱、银行、社交平台、企业系统和密码管理器的重要入口，一旦浏览器的搜索、跳转和扩展权限被控制，风险就不再局限于广告。
二、浏览器劫持程序通常会修改什么？
浏览器中有许多能够影响用户访问路径的设置，而劫持程序往往不会只修改其中一项。
最常见的是默认搜索引擎劫持。用户在地址栏输入关键词后，请求不再直接发送给原来的搜索服务，而是先经过一个陌生域名。这个中间网站可能记录搜索关键词、设备信息和来源页面，再把用户转发到真正的搜索结果，或者展示经过修改的广告页面。
主页与新标签页同样是常见目标。劫持程序会把浏览器启动页替换成带有搜索框、新闻、购物链接或虚假安全提示的页面，并借此获得广告曝光和点击收入。
部分程序还会修改浏览器快捷方式，在启动参数后添加恶意网址。用户即使已经恢复主页，只要通过被篡改的快捷方式打开浏览器，仍会自动进入指定页面。
更危险的劫持程序可能修改代理服务器、DNS、Hosts 文件、根证书或浏览器管理策略。这类修改不一定能通过普通的浏览器设置页面发现，也不会随着删除历史记录而消失。
还有一些劫持程序会安装拥有较高权限的扩展，使其可以读取和修改用户访问的网页、查看浏览历史、控制下载、修改搜索设置，甚至获取复制到剪贴板中的内容。
三、浏览器劫持和普通弹窗广告有什么区别？
普通网页弹窗通常只在用户访问特定网站时出现，关闭该页面后，弹窗行为也会停止。
浏览器劫持则往往具有持续性和跨网站影响。即使用户访问完全正常的网站，仍可能被插入广告、跳转到陌生页面，或者看到虚假中奖、病毒感染和软件更新提示。
如果广告只出现在某一个网站，问题可能来自该网站本身或其广告网络。
如果所有网站都出现相似广告，搜索结果不断跳转，主页反复变化，或者浏览器关闭后仍在系统桌面弹出通知，就更可能涉及恶意扩展、网站通知权限或设备中的广告软件。
需要注意的是，网站通知和浏览器劫持并不是完全相同的概念。用户可能曾在某个网页点击“允许通知”，随后不断收到推广信息，这种情况不一定说明设备已经感染恶意软件。
然而，劫持程序也可能诱导用户开启通知权限，因此清理时应同时检查扩展、应用程序和网站通知设置。
四、浏览器劫持程序如何进入设备？
最常见的传播方式是软件捆绑安装。
用户下载免费播放器、格式转换器、驱动更新器、破解软件、壁纸工具或游戏下载器时，安装程序可能默认勾选额外组件。用户快速点击“下一步”后，浏览器扩展、工具栏和搜索服务便会一起安装。
这种模式之所以常见，是因为很多潜在有害程序会在许可协议或安装界面中以模糊方式披露自己的存在，从而声称用户已经同意，但实际操作过程并没有提供足够清晰的知情选择。
虚假更新提示也是常见入口。网页可能声称浏览器、Flash、视频解码器或安全软件版本过旧，并要求下载所谓更新程序。用户运行后，真正安装的可能是广告软件或恶意下载器。
部分劫持程序通过浏览器扩展商店传播。扩展在最初上架时可能功能正常，后来被开发者出售、账号被接管，或者更新中加入恶意代码。
破解软件和非官方安装包的风险尤其高，因为用户为了运行程序，常被要求关闭安全软件、绕过系统警告或授予管理员权限，这会让恶意程序更容易修改浏览器和系统设置。
恶意广告、钓鱼邮件、聊天软件中的文件、伪造验证码页面以及所谓的下载加速器，也可能成为传播渠道。
五、浏览器劫持程序为什么要控制搜索引擎？
搜索流量具有直接商业价值。
当用户输入关键词时，劫持程序可以把请求发送到自己的中转服务器，记录用户搜索内容，再把结果转发到真正的搜索引擎。由于访问路径经过了推广链接或联盟参数，劫持者可能从广告展示和点击中获得收益。
攻击者还可以在搜索结果顶部插入自己的赞助链接，把用户引向低质量购物网站、虚假客服、仿冒软件下载页面或进一步的恶意程序。
搜索关键词本身也可能包含敏感信息，例如疾病名称、公司内部项目、旅行安排、金融产品、账号故障和个人兴趣。长期收集这些内容，可以形成较详细的用户画像。
因此，搜索劫持并不只是把 Google 换成了另一个页面，它可能同时意味着用户的查询数据被第三方持续收集和转售。
六、浏览器劫持有哪些典型症状？
浏览器主页、默认搜索引擎或新标签页突然发生变化，而且用户手动恢复后仍会再次被修改，是最典型的症状之一。
地址栏搜索时先短暂出现陌生域名，随后才跳到正常搜索结果，也可能表明搜索请求经过了中间服务。
浏览器中出现无法识别的扩展、工具栏或图标，删除后又自动恢复，通常说明设备中仍有其他程序负责重新安装。
用户还可能遇到以下情况：
- 浏览器频繁打开新标签页；
- 网页点击后跳向无关广告；
- 正常页面中出现异常推广内容；
- 搜索结果被替换或插入广告；
- 浏览器启动速度明显变慢；
- CPU 和内存占用异常上升；
- 浏览器经常崩溃或卡死；
- 出现虚假的病毒感染警告；
- 不断要求安装清理工具；
- 无法修改主页或搜索设置；
- 浏览器显示“由组织管理”，但设备并非公司管理；
- 安全扩展被自动关闭；
- 代理服务器被开启；
- 网站通知不断出现在桌面；
- 浏览器关闭后仍有广告进程运行。
出现单一现象不一定能证明感染，但如果多个症状同时存在，就应当进行完整检查。
七、浏览器劫持程序会窃取密码吗？
是否会窃取密码取决于具体程序和权限。
某些浏览器劫持程序主要用于广告变现，只修改搜索引擎和主页，并不直接窃取账号凭证。但用户不能据此假定所有劫持程序都只是广告软件。
拥有“读取和更改所有网站数据”权限的恶意扩展，理论上可以查看用户打开的网页内容，并修改登录页面。攻击者可能通过注入脚本、伪造表单或替换链接收集账号和密码。
如果劫持程序同时安装了间谍软件、键盘记录器或信息窃取木马，浏览器保存的 Cookie、自动填充数据、加密货币钱包扩展和登录令牌也可能受到威胁。
因此，一旦确认设备存在浏览器劫持，尤其是在感染期间登录过邮箱、银行、交易所、公司后台或密码管理器时，清除程序后还应在可信设备上修改重要密码，并检查账号登录记录。
八、浏览器劫持会影响 HTTPS 吗？
HTTPS 会加密浏览器与目标网站之间的通信，但无法自动阻止浏览器内部的恶意扩展读取页面内容。
如果一个扩展已经获得读取和修改网页的权限，它可能在浏览器解密网页之后访问内容，因此 HTTPS 并不能保护用户免受本地恶意扩展影响。
更严重的程序可能在系统中安装恶意根证书，使攻击者能够拦截和重新签发 HTTPS 连接。此时浏览器可能仍显示加密连接，但通信已经经过本地代理检查。
不过，这类深层篡改比普通主页劫持更复杂。如果设备出现未知证书、代理设置被强制开启、多个浏览器同时受到影响，或者银行网站出现证书异常，应立即停止敏感操作并进行系统级检查。
九、如何判断问题来自浏览器还是操作系统？
可以先打开另一款浏览器进行对比。
如果只有 Chrome 出现跳转，而 Edge、Firefox 和 Safari 正常，问题可能集中在 Chrome 扩展、配置文件或同步设置中。
如果多个浏览器都出现相同主页、广告或重定向，则更可能是系统中的应用程序、代理、DNS、Hosts 文件或恶意证书造成的。
还可以创建一个新的浏览器用户配置文件进行测试。如果新配置文件正常，旧配置文件中的扩展、同步数据或设置可能是主要原因。
如果问题在浏览器关闭后仍然出现，例如桌面通知、广告窗口和陌生程序继续运行，则问题通常已经超出单纯浏览器设置范围。
十、清除浏览器劫持前应该做什么？
发现异常后，应先停止登录银行、邮箱、企业系统和其他重要账号，也不要在可疑页面中输入密码、验证码或银行卡信息。
如果浏览器持续跳转，可以暂时断开网络，避免程序继续下载组件或向远端服务器发送数据。
随后记录异常现象，包括陌生扩展名称、跳转域名、最近安装的软件和问题首次出现的时间。这些信息有助于确定感染来源。
不要立即把所有浏览器数据全部删除，因为历史记录和下载列表可能有助于找到最初下载的恶意文件。不过，普通用户不需要为了保留证据而继续使用受影响设备进行敏感操作。
十一、第一步：删除可疑浏览器扩展
浏览器扩展是最常见的劫持入口，因此清理应从扩展列表开始。
Chrome
在地址栏输入：
chrome://extensions
检查所有已安装扩展，重点关注自己不认识、最近出现、名称模糊或权限过高的项目。
对于可疑扩展，应先关闭，再选择删除。不要只隐藏扩展图标，因为隐藏并不会停止其运行。
Microsoft Edge
在地址栏输入：
edge://extensions
也可以通过：
设置及更多 → 扩展 → 管理扩展
关闭并删除不需要的扩展。
Edge 能够安装来自 Microsoft Edge 加载项商店和 Chrome Web Store 的扩展，因此两个来源都需要考虑。
Firefox
在地址栏输入：
about:addons
进入“扩展”页面，删除陌生工具栏、搜索插件和其他可疑附加组件。
如果扩展无法删除，可以先禁用并重新启动 Firefox，再检查设备中是否存在与其对应的应用程序。
Safari
打开：
Safari → 设置 → 扩展
取消启用并卸载不认识的扩展。
部分 Safari 扩展与独立 macOS 应用绑定，需要同时在“应用程序”文件夹中删除对应应用。
十二、如何判断一个扩展是否可疑？
用户不应只根据扩展名称判断安全性，因为恶意扩展可能使用“PDF 阅读器”“搜索保护”“网页助手”“优惠券”“视频下载”“安全浏览”等看似正常的名称。
应当综合检查以下信息：
- 是否由自己主动安装；
- 安装时间是否与异常出现时间接近；
- 是否要求读取所有网站数据；
- 是否能修改搜索设置；
- 是否能管理下载；
- 是否能读取剪贴板；
- 开发者是否可信；
- 商店页面是否仍然存在；
- 近期评价是否集中反映跳转问题；
- 扩展名称或图标是否突然改变。
即使扩展过去一直正常，也不代表现在仍然安全。扩展开发者账号可能被攻击，项目也可能被转卖给广告公司。
清理期间可以先关闭所有非必要扩展，再逐个恢复可信项目，从而判断问题来源。
十三、第二步：卸载可疑程序
如果只删除扩展而不移除系统中的配套程序，劫持设置可能会再次出现。
Windows
进入：
设置 → 应用 → 已安装的应用
按照安装日期排序，检查问题出现前后安装的软件。
重点关注名称陌生、没有明确开发者、声称优化搜索、更新驱动、清理系统、转换文件或加速下载的程序。
卸载后应重新启动电脑。
还可以打开任务管理器，检查“启动应用”中是否存在可疑项目，并查看正在运行的陌生进程。
macOS
打开 Finder，进入“应用程序”，检查最近安装的应用。
将可疑程序移到废纸篓并清空，但需要注意，部分恶意程序还会在以下位置建立启动项或配置文件：
- 系统设置中的登录项；
- 浏览器扩展；
- 网络代理；
- 设备管理描述文件；
- LaunchAgents；
- LaunchDaemons。
如果一个应用删除后仍自动恢复，应进一步检查这些位置，或者使用可信安全工具扫描。
Android
如果 Chrome 或其他浏览器不断弹出广告，可将设备进入安全模式，并逐一删除最近安装的应用。
优先检查来源不明的清理工具、桌面启动器、二维码扫描器、壁纸、文件管理器和非官方应用商店程序。
同时确认 Google Play Protect 已开启。
十四、第三步：恢复主页、搜索引擎和新标签页
删除扩展和程序后，需要手动检查浏览器设置。
确认默认搜索引擎是否为自己选择的服务，并删除陌生搜索提供商。
检查浏览器启动时打开的页面，避免某个恶意网址仍被保留在启动配置中。
主页、新标签页、固定标签和网站权限也应一并检查。
仅仅把主页改回来不能替代删除恶意程序，因为设置可能再次被修改。正确顺序应当是先移除劫持源，再恢复配置。
十五、第四步：重置浏览器设置
如果问题仍然存在，可以使用浏览器自带的重置功能。
Chrome
操作路径通常为：
设置 → 重置设置 → 将设置还原为原始默认设置
Chrome 重置会恢复搜索引擎、主页、新标签页、内容设置、扩展和主题等项目，但通常不会删除书签和已保存密码。
重置后，扩展可能被关闭，只应重新启用确认可信的项目。
Firefox
Firefox 提供“刷新 Firefox”功能，可以在保留书签、密码等重要信息的同时，恢复大部分默认设置并移除附加组件。
如果第三方工具栏、主页和搜索设置持续恢复，刷新通常比逐项排查更有效。
Edge
Edge 中可以进入设置页面，搜索“重置设置”，然后恢复默认值。
重置后仍应检查扩展和系统应用，因为浏览器重置无法删除操作系统中的恶意程序。
Safari
Safari 没有与 Chrome 完全相同的一键重置入口，因此通常需要分别清除网站数据、删除扩展、恢复搜索引擎和主页，并检查 macOS 中的配置文件与代理设置。
十六、第五步：检查网站通知权限
许多所谓“浏览器中毒”实际上来自恶意网站通知。
用户可能在某个页面看到“点击允许以证明你不是机器人”“点击允许继续下载”或“点击允许观看视频”等提示，并授予了通知权限。
之后，即使浏览器没有打开，该网站仍可以通过系统通知显示虚假病毒警告、博彩广告和诈骗信息。
应进入浏览器的网站设置，检查通知权限，并删除所有不认识的网站。
不要点击通知中的“清理病毒”“立即续费”或“联系客服”，因为这些按钮可能继续引导到诈骗页面。
十七、第六步：检查代理、DNS 和 Hosts 文件
如果多个浏览器都受到影响，或者浏览器设置恢复后仍持续跳转，应检查系统网络配置。
代理服务器被恶意开启后，网页流量可能被强制经过攻击者控制的中间服务器。
DNS 被修改后，用户输入正确域名也可能获得错误 IP 地址。
Hosts 文件被篡改时，某些特定网站会被直接映射到恶意服务器，而且更换浏览器通常无效。
普通用户如果不熟悉这些设置，不应随意删除系统文件，可以先把网络设置恢复为自动获取，或联系具备经验的技术人员。
如果设备安装了陌生 VPN、代理、网络过滤器或描述文件，也应确认其来源。
需要说明的是，合法 VPN 软件也会创建网络接口和系统配置，因此不能仅凭看到 VPN 配置就判断感染。关键在于该程序是否由用户主动安装、来源是否可信，以及是否能正常卸载。
十八、第七步：运行安全扫描
完成手动清理后，应使用系统自带或可信安全软件执行完整扫描。
Windows 用户可以使用 Microsoft Defender 的完整扫描，并在怀疑存在顽固恶意软件时使用离线扫描。
macOS 用户应保持系统更新，并检查系统安全提示、登录项和未知描述文件。
Android 用户应开启 Google Play Protect，并删除从非官方来源安装的可疑 APK。
不要同时安装大量所谓清理工具，因为低质量安全软件本身也可能加入广告、修改浏览器或制造虚假警告。
安全软件应从操作系统官方商店或开发者官方网站获取。
十九、第八步：清除同步中的恶意设置
浏览器同步可以在多台设备之间同步扩展、设置、书签和其他数据，因此也可能把问题重新带回来。
假设用户在电脑上删除了恶意扩展，但另一台设备仍保留该扩展或异常设置，浏览器同步后可能再次恢复。
清理时可以暂时关闭同步，在每台设备上分别检查扩展和设置，确认全部正常后再重新开启。
如果怀疑浏览器账号本身被他人登录，还应修改账号密码、注销未知设备并开启多因素认证。
二十、第九步：检查浏览器快捷方式和管理策略
在 Windows 中，劫持程序可能修改桌面或任务栏快捷方式，在浏览器执行文件路径后附加恶意网址。
用户右键查看快捷方式属性时，“目标”通常应以浏览器程序文件结束。如果后面出现陌生网址或额外参数，应删除异常内容或重新创建快捷方式。
浏览器显示“由组织管理”时，不一定代表感染，因为公司和学校设备本来就可能使用管理策略。
但如果这是个人电脑，而且用户从未配置过组织管理，就应检查是否有软件通过策略强制安装扩展或锁定搜索引擎。
顽固劫持程序经常利用企业管理机制，使用户无法在普通扩展页面删除插件。
二十一、删除浏览器再重新安装是否有用？
重新安装浏览器有时能解决损坏文件和部分配置问题，但它不是最可靠的第一步。
如果恶意程序仍然存在于操作系统中，新安装的浏览器可能再次被修改。
如果浏览器账号同步了恶意扩展或异常设置，重新登录后也可能重新出现问题。
正确做法是先删除扩展和系统中的可疑程序，再扫描设备，最后才考虑重新安装浏览器。
重新安装时应从浏览器官方网站或操作系统官方商店下载，不要使用第三方软件下载站提供的安装器。
二十二、清理后是否需要修改密码？
如果浏览器劫持仅表现为主页被修改，而且没有发现高权限扩展或恶意软件，密码未必已经泄露。
但如果存在以下情况，建议在确认设备清洁后，从可信环境修改重要密码：
- 扩展拥有读取所有网页权限；
- 登录页面曾被重定向；
- 设备发现信息窃取木马；
- 浏览器 Cookie 可能被盗；
- 邮箱或社交账号出现异常登录；
- 银行或交易所收到未知操作；
- 浏览器保存密码被访问；
- 恶意程序拥有管理员权限。
应优先修改邮箱密码，因为邮箱通常用于重置其他账号。
随后修改银行、支付、社交平台、企业账号和密码管理器主密码，并开启多因素认证。
如果平台支持 Passkey 或硬件安全密钥，也可以优先采用这些抗钓鱼能力更强的方式。
二十三、浏览器劫持和 DNS 劫持有什么区别？
浏览器劫持主要发生在浏览器、扩展或设备软件层面，常见表现是主页、搜索引擎和新标签页发生变化。
DNS 劫持则发生在域名解析路径中，用户输入正确域名后，设备仍可能被引导到错误服务器。
两者可能同时出现。
例如，一个恶意程序既安装浏览器扩展，又修改系统 DNS，这样即使用户删除了扩展，部分网站仍可能异常。
VPN 可以降低不可信本地网络对 DNS 查询进行简单篡改的风险，但无法删除设备中的恶意扩展，也不能修复已经被修改的 Hosts 文件或系统代理。
二十四、VPN 能防止浏览器劫持吗？
VPN 不能直接防止或删除浏览器劫持程序。
VPN 的主要作用是在设备与 VPN 服务器之间建立加密隧道，保护网络传输路径、降低公共 Wi-Fi 监听风险，并隐藏用户对目标网站暴露的原始公网 IP。
浏览器劫持程序通常运行在用户设备内部。它可以在数据进入 VPN 隧道之前修改网页、读取浏览器内容或改变访问目标，因此 VPN 无法阻止这种本地行为。
365VPN 的 DNS 防泄露和加密连接可以降低公共网络中的 DNS 篡改和流量监听风险，Kill Switch 可以在 VPN 意外断开时避免网络立即恢复不受保护的直连状态。
然而，用户仍然需要依靠安全浏览习惯、扩展权限管理、系统更新和恶意软件扫描来防止浏览器劫持。
可以把两者的保护范围理解为：
365VPN 保护网络传输路径，浏览器安全措施保护设备内部的浏览环境。
二十五、如何预防浏览器再次被劫持？
软件下载应尽量通过开发者官网、操作系统应用商店或可信软件仓库完成，不要依赖充满多个虚假下载按钮的第三方页面。
安装程序时不要连续快速点击下一步，应查看是否默认勾选工具栏、搜索助手、浏览器扩展和附加软件。
浏览器扩展应保持最少数量。每增加一个扩展，就增加一个能够接触浏览数据的软件供应方。
安装扩展前应检查开发者、权限、隐私政策、更新时间和评价变化，尤其要谨慎对待要求读取所有网站数据的简单工具。
系统、浏览器和安全软件应及时更新，因为旧版本漏洞可能被用于绕过权限控制。
不要相信网页中的病毒感染弹窗。真正的系统安全软件不会仅凭一个普通网页就得出完整感染结论，也不会要求用户拨打陌生客服电话或购买指定礼品卡。
浏览器出现下载警告时，不要为了运行破解软件而关闭安全功能。
公共 Wi-Fi 中可以使用可信 VPN 保护传输，但仍应避免安装网络提供方推荐的陌生证书、描述文件和应用程序。
二十六、企业如何降低浏览器劫持风险？
企业设备中，浏览器往往承载邮件、云盘、工单、源代码、财务系统和单点登录，因此恶意扩展可能造成严重数据泄露。
企业可以通过浏览器管理策略建立扩展白名单，只允许经过审核的扩展运行，并阻止员工从未知来源安装插件。
终端检测与响应系统可以监控浏览器配置、代理设置、Hosts 文件、证书存储和异常启动项变化。
管理员还应限制普通用户的本地管理员权限，从而降低捆绑程序修改系统配置的能力。
浏览器同步账号应纳入企业身份管理，并开启多因素认证。
如果发现大规模搜索跳转或主页变化，不应只让员工逐台恢复设置，而应检查软件分发、域策略、登录脚本和供应链更新是否遭到篡改。
二十七、哪些情况需要寻求专业帮助？
如果恶意扩展删除后自动恢复，说明设备中可能存在持久化程序或管理策略。
如果多个浏览器、多个账号和多个网络均出现异常，问题可能已经涉及系统层恶意软件。
如果设备出现未知管理员账户、磁盘加密异常、安全软件被关闭、文件被加密或银行账号发生未授权交易，应停止继续操作并寻求专业支持。
企业设备应立即联系内部安全团队，不要擅自删除日志或重新安装系统，以免破坏调查证据。
个人用户在确认重要数据已经安全备份后，如果始终无法清除感染，可以考虑恢复系统或重装操作系统，但恢复时不要重新安装来源不明的软件。
二十八、常见误区
误区一：把主页改回来就已经清理完成
主页只是被修改的结果，真正的扩展或程序可能仍然存在。
误区二：清除 Cookie 可以删除劫持程序
Cookie 主要保存网站状态和登录信息，无法卸载系统程序或浏览器扩展。
误区三：只要使用 HTTPS 就不会被浏览器劫持
HTTPS 保护网络传输，但高权限恶意扩展仍可能读取浏览器解密后的页面。
误区四：VPN 可以自动杀毒
VPN 不会扫描并删除设备中的广告软件、恶意扩展和木马。
误区五：扩展来自官方商店就绝对安全
官方商店会审查扩展，但恶意更新、开发者账号被盗和审核绕过仍然可能发生。
误区六：重新安装浏览器一定能解决
如果系统中的恶意程序、同步数据或管理策略仍然存在，问题会再次出现。
误区七：Mac 和手机不会受到浏览器劫持
任何能够安装应用、扩展、配置文件或授予网站权限的平台，都可能出现类似问题，只是表现形式不同。
二十九、365VPN 安全团队建议
浏览器劫持程序是一类会在未经充分同意的情况下控制搜索引擎、主页、新标签页、代理、扩展和网页跳转的软件，其危害可能从持续广告和隐私追踪，进一步发展到凭证窃取、恶意软件下载和账号接管。
处理这类问题时，不应只在浏览器中把主页和搜索引擎改回来，而应按照完整顺序排查：
停止敏感操作 → 删除可疑扩展 → 卸载捆绑程序 → 恢复浏览器设置 → 清理通知权限 → 检查代理与 DNS → 执行系统扫描 → 检查同步和账号安全
如果设置在重启后再次变化，就意味着真正的劫持源仍未被移除。
365VPN 可以通过加密网络连接、DNS 防泄露和 Kill Switch，降低公共 Wi-Fi 监听与部分网络层劫持风险，但浏览器内部的恶意扩展和设备中的广告软件仍需要通过权限管理、软件清理和安全扫描解决。
预防浏览器劫持最有效的方法，不是安装更多来历不明的“安全助手”，而是减少扩展数量，只从可信来源安装软件，认真查看安装选项，保持系统更新，并对任何要求关闭安全防护、安装证书或授予全部网页权限的程序保持警惕。
浏览器是用户进入数字世界的主要入口，一旦搜索、跳转和页面内容不再由用户控制，账号与隐私也会随之失去可靠边界。及时识别异常、彻底删除劫持源，并重新检查重要账号安全，才能真正恢复可信的浏览环境。