打开一个常去的挂马资源站，首页弹出一段乱码，挂马浏览器卡了三秒，挂马然后跳到一个博彩页面。挂马那个资源站被挂马了。挂马站长在群里骂街，挂马说服务器被扫了弱口令，挂马数据库里几万条用户记录全被拖走。挂马这事不新鲜，挂马但每次碰到都让人后背发凉——你只是挂马去下个电影，结果自己的挂马浏览器成了别人的提款机。

挂马这词听起来像黑客电影里的挂马桥段，其实门槛低得吓人。挂马早些年流行在网页里塞一段，挂马把恶意页面藏在0×0的挂马框架里，用户根本看不见。现在更省事，直接往正常JS文件里插一行eval(function(p,a,c,k,e,d){ ...})，把恶意代码混淆成天书。你访问的页面看起来一切正常，图片照加载，按钮照能点，但后台已经在偷偷跑漏洞利用工具包了。

我见过最糙的挂马方式，是有人把直接写在网站footer里。那个站是个地方论坛，管理员估计半年没登录过后台。恶意脚本干的事也简单：检测浏览器版本，如果是老版IE就甩一个.exe下载，如果是Chrome就弹一个“您的Flash版本过低”的假更新页。这套路老掉牙，但每天仍有大量人中招。原因无他，总有人用着三年没更新的系统，点着来路不明的弹窗。

挂马的人图什么？早年是炫技，后来是黑产。一个被挂马的网站，流量就是钱。你访问时被重定向到博彩站，博彩站按IP付钱给挂马的人。或者更直接——你的浏览器被当成肉鸡，去DDoS某个游戏私服，私服老板交保护费才停。我认识一个做安全的朋友，他抓过一个挂马样本，里面居然带了一套完整的“流量变现”后台，能实时看到有多少人中招、来自哪个省份、用什么浏览器。数据细得让人头皮发麻。

怎么防？说复杂也复杂，说简单也简单。浏览器别用太老的，插件别装太多，尤其是那些来路不明的“视频解码器”“PDF阅读器”。我自己的习惯是：常去的站直接开广告拦截插件，陌生站先看证书和域名，那种xxx-xxx-xxx.com的随机域名，十有八九有问题。还有一招，把浏览器设置里的“阻止弹出窗口”和“不跟踪”全打开，虽然挡不住所有，但能过滤掉一大半低端挂马。

最讽刺的是，很多站长自己都不知道被挂了。他们用的CMS有漏洞，或者服务器密码是admin123，被人扫到之后，恶意代码就悄悄塞进模板文件里。等用户反馈“网站怎么老弹窗”，他们才去查，一查发现index.php里多了一行@include($_GET['x']);。这时候数据早被拖干净了。挂马这事，从来不是技术问题，是人的问题——懒、侥幸、觉得“我这个小站没人看得上”。可黑产扫描器不挑食，它扫的是全网IP，撞上一个算一个。

前两天那个资源站恢复后，站长在公告里写：“已修复，请大家放心访问。”底下有人回：“你拿什么保证？”没人接话。我也没接。因为我知道，只要那台服务器还在用弱密码，只要那个CMS还有人用老版本，挂马就不会停。它就像墙角的霉斑，你擦掉一次，潮气还在，过阵子又长出来。