2017年5月，网页木马一个叫WannaCry的网页木马勒索病毒横扫全球150个国家。医院停诊，网页木马工厂停产，网页木马加油站断网，网页木马铁路系统瘫痪。网页木马但很少有人知道，网页木马它的网页木马传播起点，只是网页木马几封伪装成简历的邮件——附件里藏着一个Word文档，文档里嵌着一行脚本，网页木马脚本里躺着一句代码，网页木马那句代码利用的网页木马是Windows系统的一个漏洞。整个过程，网页木马就叫“网页木马”。网页木马

网页木马不是网页木马一种病毒，而是一种“载体”。它本身可能只是一段几KB的JavaScript，或者一个被悄悄塞进网页的iframe标签。你打开一个看似正常的网站，它不弹窗，不报错，页面加载得飞快——但就在那几百毫秒里，这段代码已经把你的浏览器当成了跳板，去下载真正的恶意程序，或者直接扫描你电脑上的漏洞。

我见过最精妙的网页木马，藏在一个卖二手家具的论坛里。那个论坛每天只有几百个访客，管理员是个五十多岁的大叔，连后台密码都写在便签纸上贴在显示器旁边。攻击者黑进服务器，在页面底部加了一行几乎看不见的代码——它只对来自搜索引擎的访问生效，普通用户打开没事，但如果你是通过百度搜“旧沙发”点进去的，就会中招。为什么？因为搜索引擎带来的流量更“干净”，杀毒软件不太会拦截，而且用户往往是在查资料，警惕性最低。

这种“定向投放”的思路，和早期那种“广撒网”的网页木马完全不同。十年前，黑客喜欢把木马挂在大流量网站——色情站、盗版站、游戏外挂站，一天能感染几万人。但现在的攻击越来越精准，越来越隐蔽。他们甚至会分析你的地理位置，如果你是某个企业的员工，他们会在你常逛的行业论坛里挂马，等你上钩。

网页木马的可怕之处，在于它不跟你“讲道理”。它不像钓鱼邮件那样，需要你点链接、输密码。你只是打开一个网页，什么都没做，就中招了——这就是所谓的“零点击攻击”。2019年，Google的研究人员发现过一个利用Chrome浏览器漏洞的网页木马，只要你在Android手机上用Chrome打开某个特定网页，手机就会被完全控制，整个过程不需要你碰任何东西。

防御这种东西，说起来简单——及时打补丁，别乱点链接，装个靠谱的杀毒软件。但现实是，大多数人的浏览器常年不更新，Windows补丁能拖就拖，手机系统提示更新永远点“稍后”。而攻击者最擅长的，就是利用这种“拖延症”。他们像猎人一样，每天盯着各大软件厂商的漏洞公告，一旦有新漏洞公布，就立刻编写攻击代码——这个时间窗口叫“零日漏洞”，平均只有几天，甚至几小时。

有一次我帮朋友清理电脑，发现他中了网页木马。问他最近干了什么，他想了半天，说：“我就看了个小说网站，弹了个广告，我点了个叉。”——就那一下，木马就进来了。那个广告本身是个合法的广告位，但被黑客买了下来，投放了带恶意代码的Flash动画。他没下载任何东西，没输入任何密码，只是“点了个叉”。

网页木马不会消失，它只会随着技术演进不断变形。以前是Flash漏洞，后来是Java漏洞，再后来是浏览器本身。未来呢？可能是智能音箱里的某个网页组件，可能是车载系统里加载的某个地图页面。你躲不掉的，除非你不上网。但上网这件事，早就和吃饭喝水一样了。

所以，下次你打开一个网页之前，稍微想一下：这个页面是谁做的？它为什么要让你看？如果答案都不太清楚，那最好先别点。毕竟，你永远不知道，那个看似无害的网页背后，藏着多少行你看不见的代码。