恶意扩展的迹象与排查顺序

先看结论

记住：页面可以仿，签名仿不了。

辨识要点

恶意扩展的迹象有4个比较典型：浏览器启动明显变慢，开机后要等十几秒；新标签页或主页被换成了不认识的搜索页；页面里多出原本没有的浮动广告，关掉还反复出现；扩展列表里多了一个自己没装过、图标灰扑扑的条目。排查用排除法：打开扩展管理页，先把全部扩展禁用，重启浏览器看问题还在不在；不在了，就每次启用2个，逐批放开，哪一批启用后问题复现，嫌疑就在那一批里。确认之后直接卸载，不要只禁用留着，因为有的扩展会在浏览器更新后自己重新启用。卸载完再把主页和默认搜索引擎改回原来的，整个排查大约20分钟。

清单核查

排查按4步：1、记下异常迹象和出现时间；2、全部扩展先禁用，重启验证；3、每批启用2个，逐批定位；4、锁定后卸载，并把主页与搜索引擎改回原设置，观察2天确认不再复发。

来源信息要交叉看两处才算数。只看页面自称的官方二字没有意义，要把页面里的名称、图标和发布者信息，和应用商店或官网页面上的记录对一遍，3项里有1项对不上就要留心。截图是个笨办法但很管用：把两边的页面各截1张图，并排放在一起，图标配色、名称用字、版本号这些细节的差别一眼就能看出来。很多人是在装完打不开、或者主页被改了之后才回头查，那时清理的成本比装之前多花10倍时间。

具体步骤

动手时按4步走。第1步，打开与扩展管理页面有关的页面或设置项，先截图保存当前状态；第2步，逐项对照上面的清单打钩，有1项对不上就停下；第3步，回到来源页面重新核对名称、域名和发布者这3项信息；第4步，确认无误后再继续，完成后把页面保留10分钟不要急着关，方便回头复查。中间任何一步出现催促倒计时、要求先付款或要求提供验证码的提示，都直接关闭页面，这类提示和正常流程没有关系。

清理类操作先分清清的是什么。缓存清掉只是让页面下次重新加载，最多慢几秒；Cookie清掉会让多数网站退出登录，要重新输密码；下载记录清掉只是删列表，文件本身还在下载文件夹里占着空间。3类东西放在同一个清理页面里，很容易顺手全勾上。动手前先把要保留的登录状态记一下，重要网站先确认密码找得回来，再执行清理，顺序反了就会把自己锁在账号外面。

出问题时怎么办

慢1分钟，比事后清理半小时划算。

预防的成本永远比清理低，这句话在浏览器安全上特别具体。装之前核对域名和签名要3分钟，装之后清理捆绑软件和被改的主页要半小时起步，还不算账号重新登录、密码逐个修改的时间。把核查动作固定成习惯：新软件先查来源，新权限先问用途，新弹窗先看域名。3个先字做到，绝大多数仿冒和捆绑都进不了门，剩下的少数情况，按异常处理清单一步步来也都能解决。

补充提醒

再提醒一条时间上的经验：刚下载完不要立刻运行，先让安装包在下载文件夹里放10分钟，用这段时间去核对签名和来源。这10分钟不是浪费，而是把冲动操作和核查动作分开，出错的概率会明显低下来。

补充提醒

还有一个对照办法是看帮助页。正规工具的帮助页有成体系的目录，能从安装讲到设置再讲到故障处理；仿冒站的帮助页往往只有1页或者点开是空的。花2分钟翻一翻目录完整度，是成本很低的一次初筛。

补充提醒

网络环境也会影响判断。在公共网络里下载时，页面跳转比平时多，广告也多，核查时更容易看漏。能等就等回到家里或办公室的网络再下载，必须当时下载的，把核查清单逐项念完再点最后一步，不跳项。