别人发给你的网页链接直接打开安全吗？

上周我表弟发来一个链接，说“哥，页链帮我砍一刀”。接直接打点开一看，开安是别人个模仿某电商平台的页面，域名拼写错了一个字母。页链他差点把银行卡号填进去。接直接打这事让我觉得，开安有必要把“直接打开链接”这件事说清楚。别人

结论先摆在这儿：直接打开别人发来的页链网页链接，风险比你想象的接直接打大，但也不是开安所有链接都碰不得。关键在于你打开之前，别人有没有花两秒钟看一眼它长什么样。页链

链接本身不带毒，接直接打但页面会咬人

链接就是一串字符，跟一张纸条没区别。真正危险的是它指向的那个网页。你点开之后，浏览器会去加载那个页面，页面里可以藏各种东西——自动下载的文件、伪装成登录框的钓鱼表单、利用浏览器漏洞的脚本。

我见过最阴的一种：页面打开后一切正常，就是一个普通文章。但你鼠标滑过某个区域，它悄悄触发一个后台请求，把你的浏览器指纹、IP、甚至剪贴板内容传走。你什么都没点，信息已经漏了。

更常见的是钓鱼。页面做得跟真的一模一样，你输入账号密码，它直接发到攻击者服务器。你这边跳转回真网站，还以为刚才只是网络卡了一下。

很多人觉得“朋友发的肯定没问题”。问题是，你朋友可能自己都不知道他发了什么。

去年我同事的微信号被盗，骗子用他的号给所有好友群发“帮我投个票”，链接点进去是仿冒的微信登录页。有三个人填了密码，其中一个还是做IT的。事后他说：“我看是他发的，没多想。”

社交平台上的链接还可能被篡改。比如一个正常的短链接，原本指向某新闻网站，但短链接服务被黑之后，同一个短链可能被重定向到恶意页面。你朋友发的时候是安全的，你点的时候已经不是了。

我自己的习惯：任何链接，先长按或悬停，看完整地址。重点看域名部分，也就是“http://”后面、第一个“/”之前的那串。

比如 https://www.taobao.com/xxx 是淘宝，但 https://www.taobao.com.evil.cn/xxx 就是假的。真正的域名是 evil.cn，前面那串只是子域名，用来骗眼睛的。

还有一点：https 不等于安全。现在申请一个 https 证书几乎不要钱，钓鱼网站照样能用。锁图标只说明传输过程加密，不说明网站是好人。

如果链接是短链，比如 t.cn/xxx 或 bit.ly/xxx，你根本看不出目标。这种我一般先用短链展开工具查一下，或者直接在虚拟机里打开。

如果链接来自不太熟的人，或者内容很诱人——“你的账户异常”“免费领取”“这是你的照片”——直接删掉，别点。

如果确实需要打开，比如工作群里发的文档链接，我会用手机浏览器打开，但不登录任何账号。手机浏览器一般有沙箱隔离，比电脑安全一点。电脑上我会用 Chrome 的无痕模式，关掉就清空，减少被持久化攻击的可能。

还有个小技巧：把链接复制到 virustotal.com 之类的在线检测网站，几十个引擎同时扫一遍。虽然不能保证100%检出，但能过滤掉大部分已知恶意链接。

上个月有个读者给我留言，说他收到一条短信：“您的高速ETC已过期，请点击链接重新认证。”他点开，页面跟官方几乎一样，他填了车牌、身份证、银行卡。五分钟后，卡里被划走八千多。

他后来跟我说：“我知道可能是诈骗，但那个页面太真了，而且我刚好上个月ETC确实有点问题。”

这就是钓鱼页面的厉害之处——它利用你生活里真实存在的焦虑。链接本身不咬人，咬人的是你点开之后放松的那根弦。

所以，下次再有人发链接给你，不管是谁，先停两秒。看一眼域名，想一想上下文。这两秒，可能省掉你两万块。