病毒网站

凌晨两点十七分，病毒网站我点开了一个链接。病毒网站页面加载了整整四十秒，病毒网站进度条卡在99%不动，病毒网站像一只垂死的病毒网站虫子。然后屏幕突然全白，病毒网站弹出一行红字：“您的病毒网站设备已被锁定，请在24小时内支付0.03个比特币。病毒网站”我笑了。病毒网站这台破笔记本连摄像头都是病毒网站坏的，键盘上还粘着三年前滴上去的病毒网站咖啡渍。但那个页面底部，病毒网站有一行极小的病毒网站灰色字：“你刚才点击的按钮，其实是病毒网站一个iframe。”

这就是病毒网站病毒网站的日常。它们不总是那种满屏闪烁“恭喜中奖”的弹窗——那种太蠢了，连我奶奶都不会信。真正麻烦的，是那些看起来正常得过分的东西。比如一个在线PDF转换器，界面干净，功能明确，你上传文件，它转完给你下载链接。一切完美。可你不知道的是，在你点击“转换”的那一瞬间，页面里藏着的JavaScript已经悄悄读取了你浏览器里所有未加密的cookie。包括你刚登录的邮箱、后台管理系统、甚至网银的临时会话令牌。

我见过一个案例。某小型电商网站的运营人员，为了给商品图批量加水印，搜到一个“免费在线图片处理工具”。用完关掉。三天后，网站后台开始自动给所有商品打三折，并且把折扣价同步到了谷歌购物。等他发现时，已经卖出去四百多单。追查下来，那个“工具”页面里嵌了一段混淆过的代码，专门检测当前浏览器是否有电商后台的登录态。有，就偷。没有，就安静地当个图片处理器。

这类网站有个共同特征：它们不需要你下载任何东西。不需要你点“允许”，不需要你装插件。你只是打开了一个网页，就像打开任何一个普通网页一样。然后你的浏览器就成了别人的跳板。去年有个叫“浏览器挖矿”的东西特别流行——你打开某个小说网站，CPU立刻飙到100%，风扇狂转。网站主在页面里塞了一段Coinhive脚本，用你的电脑帮他挖门罗币。你关掉页面，它就停。你开着，它就赚。公平吗？不公平。但你根本没感觉，除了电脑变慢和电费多几块钱。

更隐蔽的是“挂马”和“重定向”的组合。你访问一个正常网站，比如某个地方论坛。论坛某个帖子里有人发了个“资源下载”链接。你点进去，先跳到一个广告页，再跳到一个“请等待5秒”的页面，最后落在一个看起来像百度网盘的界面。你输入提取码，点下载。下载下来的文件叫“学习资料.zip”。解压，里面是个exe。运行，什么都没发生。你以为文件坏了。其实它已经把自己复制到了系统目录，并且修改了注册表，每次开机自动运行。你永远不知道。

我自己的习惯是：任何需要输入密码或者点击“允许”的网页，先看地址栏。不是看域名对不对——域名可以伪造，比如“taobao.com”和“taobao.com”在肉眼上几乎一样。我看的是那个小锁图标。点一下，看证书颁发给谁。如果是一个我从没听过的机构，或者干脆是“自签名证书”，直接关掉。还有，浏览器扩展只装三个以内。每多一个，就多一个能读取你所有网页内容的入口。那些“比价插件”“翻译插件”“去广告插件”，有多少在偷偷上传你的浏览记录？我不知道。但我知道，免费的代价往往是你自己。

最后说一个真事。我朋友的公司中过一次招。财务收到一封邮件，说“您的电子发票已生成，请点击查看”。链接打开后是一个高仿的税务局页面，要求输入企业税号和密码。财务输了。第二天，公司账户被转走了十七万。那个网站存活了不到六个小时，服务器在境外，域名注册信息全是假的。警察说，这种案子基本追不回来。病毒网站不一定要“毒”你的电脑。它可以直接毒你的钱包。

所以下次你看到一个页面，加载特别慢，或者突然弹出一个你根本没点过的下载框，别犹豫。直接关掉标签页。如果关不掉，按Ctrl+W。再不行，强制退出浏览器。别想着“我就看一眼”。你看的那一眼，可能已经晚了。