打开一个正常网站，挂马网站页面加载到一半突然跳转到博彩页面，挂马网站或者浏览器左下角不停闪现陌生域名——这大概率就是挂马网站碰到了挂马网站。挂马，挂马网站简单说就是挂马网站攻击者在正常网站的页面代码里偷偷塞进恶意脚本，用户访问时脚本在后台执行，挂马网站下载木马、挂马网站窃取Cookie、挂马网站篡改路由器DNS，挂马网站甚至直接控制你的挂马网站摄像头。整个过程用户毫无感知，挂马网站页面看起来和平时一模一样。挂马网站

我去年帮朋友处理过一次。挂马网站他的挂马网站WordPress站点被挂了马，访问首页会随机弹出“澳门线上赌场”的挂马网站广告。登录后台一看，header.php里多了一段经过base64编码的<script>，解码后是一个远程加载器，从乌克兰某台服务器拉取进一步攻击指令。更麻烦的是，这段代码只在特定User-Agent下触发——搜索引擎爬虫访问时完全正常，普通用户访问才中招。这种“条件触发”是挂马网站的典型特征，目的就是躲避站长自查和搜索引擎的安全扫描。

挂马网站和钓鱼网站不是一回事。钓鱼网站是伪造一个假页面骗你输入账号密码，挂马网站则是利用真实网站的信誉，在用户信任的页面上执行恶意代码。前者骗的是“人”，后者骗的是“浏览器”。你访问的是真域名，SSL证书有效，页面内容也正常，但浏览器已经在后台被指令去下载一个.exe文件了。

常见的挂马方式有几种。一是利用CMS漏洞，比如老版本的DedeCMS、Discuz，攻击者上传一句话木马后修改模板文件。二是通过服务器弱口令，直接SSH或FTP登录，在JS文件里插入恶意代码。三是供应链攻击，比如网站引用了某个被篡改的第三方CDN上的jQuery库，所有引用该库的网站全部中招。2018年那次著名的“Coinhive挖矿脚本”事件，就是攻击者黑进了一个无障碍访问插件，导致英国政府网站、美国法院网站等数千个站点在用户浏览器里偷偷挖门罗币。

普通用户怎么判断？最直观的信号是浏览器行为异常。比如页面加载时CPU占用突然飙升，风扇狂转；或者地址栏出现重定向，example.com跳转到example.com/redirect?url=xxx；再或者浏览器安全插件（如NoScript、uBlock Origin）突然拦截了大量来自陌生域名的请求。我自己的习惯是装一个uBlock Origin，如果某个平时正常的网站突然被拦截了几十条规则，那基本可以确定被挂了马。

站长自查的话，重点看几个地方。网站根目录下有没有莫名其妙的.php文件，比如wp-config.php.bak、1.php这种。模板文件里搜eval、base64_decode、document.write这些敏感函数。服务器访问日志里找POST请求到非管理后台的路径，比如/wp-content/uploads/2023/xx.php。数据库里检查wp_options表的siteurl和home字段有没有被改。

清除挂马不是删掉那段代码就完事。攻击者通常留了后门，你删掉页面上的脚本，他下次还能通过后门重新注入。正确做法是：备份数据，重装CMS核心文件，更新所有插件和主题，改掉所有管理员密码和数据库密码，检查.htaccess和nginx.conf有没有被加规则。如果服务器权限配置不当，比如uploads目录可执行PHP，那还得改配置。

说个真实案例。某地方人才市场网站被挂马，访问后浏览器会静默下载一个名为svchost.exe的文件。用户以为是系统进程，双击运行后电脑被加入僵尸网络，每天定时向某境外IP发送DDoS攻击指令。网站管理员一直没发现，因为挂马代码只对Windows 7及以下系统的IE浏览器生效，管理员自己用MacBook和Chrome，完全看不到异常。这个案例说明挂马攻击的精准性——攻击者会针对特定浏览器、特定系统版本、特定地区IP来触发，最大化攻击收益，最小化暴露风险。

挂马网站的本质是信任劫持。用户信任域名，浏览器信任页面，结果这份信任被攻击者拿来当跳板。防御的核心不在于“识别哪个网站被挂了马”，而在于“假设所有网站都可能被挂马”。浏览器沙箱、脚本拦截插件、及时更新系统补丁，这三样比任何安全软件都管用。