教你怎么查找自己浏览器中偷返利的恶意扩展

木魚

由于Chrome扩展容易开发和山寨，所以Google Chrome WebStore上充斥着各种山寨的带有恶意代码的扩展。这类扩展中一个典型的恶意行为就是偷返利。
开始之前科普一下什么叫偷返利。

什么叫偷返利？

• 很多购物网站（目前主要针对淘宝）都有返利的联盟，通过别人独有的链接购物，发送链接的人将会收到分成（类似于推广联盟，广告行为的一种）
• 恶意扩展在你访问淘宝相关页面的时候，不管是不是已经带有返利代码，都会强行修改你的页面地址，转向自己的返利链接
• 典型的现象是你打开一个页面后，地址栏的地址突然会变得很长
• 或者链接地址中包含 s.click.taobao.com，或 ali_trackid
• 虽然很多时候别人借此生财付出劳动，你愿意点，这是一个愿打一个愿挨的事情，但通过伪装成扩展、甚至篡改别人的扩展来行自己的苟且之事，这种事情绝对不能容忍。
  

值得一提的是，在Chrome WebStore上，充斥着大量这样的恶意扩展。我的订票助手也曾经被山寨过几十次，直到我加入保护措施并且更新很快之后才渐渐不见（话说我自己都搜不到自己的扩展了，因此是不见了还是因为没搜到另说）。
另外就是，Chrome上的优酷广告杀手之类的扩展十个中有八个都是恶意的，据我所知OpenGG的作者并没有发布这样的扩展，因此看到这类的视频广告去广告扩展不要安装，除非你能确认安全。

如何查找这类的恶意扩展？
如果你已经发现有被偷返利的情形或存此担心，那么可以通过下面的步骤来进行简单的查找（不保证完全可靠，因为据最新的观察为了防止被发现，这类扩展也开始进行不断地伪装）。

• 从百度网盘下载 Search And Replace 5.3 ，这是个非常好用的多文件搜索工具，绿色版。下载地址：http://pan.baidu.com/share/link?shareid=271968122&uk=2097456672
• 打开你的Chrome浏览器（如果你用的是猎豹浏览器或360极速浏览器，同样操作），并输入下列地址：chrome://version 并回车。找到中间的『个人资料路径』，并复制路径名：
  
• 解压下载的软件，运行 SR32.exe ，并做如下设置：
  
  工具栏选择『搜索子目录』、『正则表达式』，搜索内容填入『(51haitao|oatiahi5|ali_trackid|www\.2345\.com\/\?k|(\?&)tn\=|s\.click\.taobao)』，路径粘贴入刚才找到的地址，“过滤”中填入『*.js;*.html;*.htm』。
• 点击工具栏的第一个蓝色按钮开始搜索，稍等片刻，会出搜索结果。如下图所示，这里找到的一个是已知的存在此恶意行为的（优酷视频杀手）：
  
  注意看文件路径，中间那一串由a-z组成的长长的字符串就是这个扩展的ID（这里是 fmoldlnhnpokkbflmfnfdebfkpcnmemf ），后面根据它查找扩展。每个扩展的ID都不一样，这相当于身份证。
• 如下图所示打开Chrome的扩展管理器（其它浏览器可以按照类似的方法打开，或直接都在地址栏输入 chrome://extensions/ 访问。
  
• 在打开的管理器中，我们确认勾选了『开发者模式』，只有这个模式才能看到扩展的ID：
  
• 此时可以直接找，如果嫌麻烦，可以按 CTRL+F 查找，直接输入扩展ID，一般几个字母后即可找到对应的扩展。
  
• 此时点击右侧的垃圾篓便可以删除。但是为了斩草除根，强烈建议阁下在删除之前先点击『访问网站』转到WebStore中去打个差评并警告其他人。原来已经有人警告过了啊。
  
  

什么是51haitao？

经验表明，大量的此类恶意扩展以及山寨版扩展均是由这个51haitao的网站发布的。为了抵制它，请大家尽量避免访问此网址，或直接将其从hosts中屏蔽掉。
在Chrome WebStore中，看到什么专家、大师、迅雷什么的比较众所周知的用户发布的扩展时，请谨慎小心。


什么，没有解决？
没有解决请加作者的QQ群，有洁癖厌恶此类行迹的楼主将会义愤填膺地无偿帮您消灭它们。

虫子

学习中……
不要稀里糊涂就被坑

3894796

楼主太强悍了 可以学习

凡心

从来都不知道还有这样的赚钱办法啊.牛人无处不在啊

fengiic

一般都不用什么插件，学习了。

后花园

试了试  果然有个。。。*******  谢谢木鱼

gi0001

操作复杂，可以考虑做成工具。

hrenwen

之前一直很怕，用这个方法查了一下，未发现。放心了。