网页被我爱上搜服劫持

浏览器又跳了。网页地址栏里我明明敲的被爱是“zhihu.com”，回车之后页面一闪，上搜变成了一个满屏花花绿绿的服劫导航站，顶部一行大字——“我爱上搜服”。网页我盯着这五个字，被爱心里骂了一句。上搜这名字起得倒是服劫挺直白，爱、网页上、被爱搜、上搜服，服劫四个动词加名词的网页怪胎组合，像极了路边电线杆上贴的被爱那种“专治疑难杂症”的小广告。

这不是上搜第一次了。上周三下午，我正查一个技术文档，点开一个CSDN的链接，结果先弹出一个“我爱上搜服”的聚合页，里面塞满了“今日头条”“百度一下”“淘宝特卖”之类的快捷入口。我以为是CSDN的弹窗广告，关了继续点，又跳。反复三次，我才意识到——浏览器被劫持了。快捷方式的目标路径后面，被人加了一串参数，指向那个导航站。这手法老掉牙了，十年前是“hao123”，五年前是“2345”，现在换成了“我爱上搜服”。名字换了，套路没换。

我打开任务管理器，没发现可疑进程。又去检查Chrome的快捷方式属性，果然，目标那一栏写着："C:\Program Files\Google\Chrome\Application\chrome.exe" http://www.woaishangsofu.com/?xxx。后面的参数像一条尾巴，甩都甩不掉。删掉，保存，再打开浏览器，干净了。可过了两天，又回来了。这次连Edge也中了招。我开始翻注册表，HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run下面，多了一个叫“SearchProtect”的键值，指向一个随机命名的exe文件。删掉。再翻HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main，Start Page被改成了那个网址。删掉。还有计划任务里，藏着一个每天凌晨三点触发的更新任务，名字叫“SogouUpdate”，实际干的是重新写入劫持配置的活。

这玩意儿的作者挺勤快。我删一次，它改一次。像打地鼠。后来我干脆用火绒剑监控了一下，发现它通过一个叫“wupd.dll”的模块注入到explorer.exe里，每当你打开浏览器，它就拦截创建进程的调用，把命令行参数改掉。技术含量不高，但恶心人。我见过更狠的劫持，直接改DNS，或者挂个驱动过滤。相比之下，“我爱上搜服”算是粗放型的，靠的是广撒网——你装个破解软件、下个盗版游戏、点个“高速下载”按钮，它就跟着进来了。安装的时候连个勾选框都不给你，静默安装，静默劫持。

我后来在虚拟机里跑了一遍那个安装包。用Process Monitor抓了一下，发现它往系统里写了十七个文件，改了九个注册表项，还创建了两个服务。其中一个服务叫“SofuGuard”，描述是“保护您的上网首页不被修改”。讽刺吧？贼喊捉贼。它自己就是那个贼。更搞笑的是，它的卸载程序在控制面板里根本找不到，你得去安装目录下手动运行uninst.exe，而那个目录藏在C:\ProgramData\一个随机字符串文件夹里。普通用户根本找不到。

我最后是用Autoruns把它的启动项全禁了，又用PCHunter删了它的驱动文件，才彻底清干净。前后折腾了快两个小时。就为了一个导航站。你说它图什么？流量。导航站的流量能换钱，搜索框里每导一次搜索，背后就是几毛钱的分成。你每被劫持一次，它就赚一次。你烦一次，它赚一次。你骂一次，它还是赚一次。这生意经，比卖煎饼还稳。

现在我的浏览器快捷方式上，我加了个只读属性。注册表里也设了权限，禁止修改主页项。算是给自己上了个锁。但我知道，下次装什么来路不明的软件，这锁可能又会被撬开。互联网上免费的东西，代价往往藏在你看不见的地方。那个“我爱上搜服”的页面，我后来再没见过。但它的同类，换个名字，换个域名，还在暗处等着。你点一下，它就赢了。