内容摘要：一个晚上，某个游戏私服站长的手机开始疯狂弹消息。不是玩家充值，是服务器CPU跑满、带宽被占干净，网站直接打不开。他打开后台一看，流量图几乎是一条垂直的线。这不是正常访问，是有人在用页端打他的站。 页端

一个晚上，页端某个游戏私服站长的服务手机开始疯狂弹消息。不是器网玩家充值，是站肉服务器CPU跑满、带宽被占干净，鸡攻击网站直接打不开。页端他打开后台一看，服务流量图几乎是器网一条垂直的线。这不是站肉正常访问，是鸡攻击有人在用页端打他的站。

页端，页端说白了就是服务浏览器里跑的那点东西。你打开一个网页，器网里面嵌一段JavaScript，站肉它就能让浏览器自动向目标地址发请求。鸡攻击单个请求没什么，但如果有一千个、一万个浏览器同时干这事，目标服务器就扛不住了。这跟传统僵尸网络不太一样——传统肉鸡是被人种了木马，机器完全受控；页端肉鸡更像“路过就顺手帮你打一拳”。

我见过一个典型的页端攻击页面。表面是个在线小游戏，点“开始”之后确实能玩，但代码里藏了一行：new Image().src = "http://target.com/?rand=" + Math.random();。每次刷新图片，就是一次请求。游戏本身不卡，用户根本感觉不到。页面还加了防止调试的代码，你按F12，它直接跳转或卡死。这种页面通常挂在一些流量还行但管理松散的网站上——比如某些资源站、小论坛，甚至是被黑掉的WordPress。

攻击者怎么把“肉鸡”引过来？常见路子是群发。QQ群、微信群、贴吧私信，标题写“最新传奇私服”“某网红瓜”，链接一点，浏览器就开始打工。有些更狠，用iframe把攻击页面嵌在正常网页里，你浏览的是A站，后台悄悄向B站发请求。一个日IP几千的小站，挂上这种代码，几分钟就能给目标送去几万请求。

这种攻击的成本低得离谱。租一个“页端打站”服务，按小时计费，几十块钱就能打趴一个没防护的中小站点。卖家会给你一个后台，输入目标URL、选择并发数，剩下的交给那些被诱导打开的浏览器。我见过一个卖家的广告语：“无需木马，不碰服务器，打开网页就是干。”嚣张，但确实有效。

防御起来也麻烦。流量来自真实用户的浏览器，IP分散，UA正常，请求看起来跟普通访问没区别。你封IP？封不完。上CDN？攻击者直接打源站IP。有些站长用JS挑战，让浏览器算个题再放行，但这会误伤正常用户，而且攻击者可以绕过——他们控制的页面也能跑JS。真正管用的还是限制单IP请求频率、加WAF规则识别异常Referer，以及别把源站IP暴露出去。但很多小站长根本不懂这些，被打就关机，关机就丢玩家。

我跟踪过一个案例。某私服站被打了三天，换了两台服务器都没用。后来发现攻击页面挂在一个色情导航站上，那个导航站本身也是受害者——它的广告位被买了，买家上传的HTML里带了攻击代码。导航站管理员根本不知道自己在帮人打站。链条一层套一层，追到最后，攻击者用的是境外匿名支付，连人都找不到。

页端肉鸡攻击不是什么高级技术，它利用的是浏览器最基础的能力和用户最基础的习惯：点链接。你点一下，可能就成了别人的打手。对站长来说，别以为小站没人打——有时候打你的理由只是“看你不顺眼”或者“练手”。对普通用户来说，少点来路不明的链接，尤其是那种“点开有惊喜”的。你的浏览器不只会看网页，还能帮人拆网页。