网页小偷

我盯着浏览器右下角的网页小偷网络面板看了三分钟，那个叫“session.js”的网页小偷文件被下载了七次。每次页面刷新，网页小偷它都会准时出现，网页小偷像一只准时来蹭饭的网页小偷流浪猫。这不对劲。网页小偷

我打开这个JS文件，网页小偷代码被压缩成一行，网页小偷密密麻麻像蚂蚁行军。网页小偷格式化之后，网页小偷真相浮出水面——它正在读取用户的网页小偷剪贴板，把复制过的网页小偷银行卡号、密码、网页小偷私钥全部打包，网页小偷通过一个伪装成图片请求的网页小偷接口偷偷传走。这个网站表面是个在线工具箱，暗地里是个不折不扣的小偷。

网页小偷和现实中的小偷有个共同点：都爱挑人多的地方下手。电商平台、新闻门户、小游戏站点，流量越密集，他们越兴奋。我见过最狠的一个案例，是个下载站，把偷东西的脚本藏在“高速下载”按钮的点击事件里，用户每点一次，cookie就被复制一份。那些cookie里，存着大半辈子登录过的网站凭证。

有些小偷更讲究“技术含量”。他们不偷密码，偷指纹。通过Canvas画图、WebGL渲染、音频频谱分析，在用户毫不知情的情况下生成一个几乎无法伪造的设备指纹。这个指纹跟着你走遍全网，比你自己记得还清楚。你换了IP，清了缓存，甚至重装了系统，它依然认得你。就像在你身上纹了个看不见的编号。

也有笨贼。我朋友做过一个实验，在网上随便找了个“免费PDF转换工具”，上传了一份假合同。十分钟后，他在一个黑客论坛上看到了这份合同的截图——文件名都没改。那网站压根没做转换功能，就是个纯粹的钓鱼池子，专钓那些图省事的人。

最讽刺的是，很多网页小偷的代码写得比正经网站还认真。异常处理、兼容性测试、性能优化，样样到位。我拆过一个偷数据的脚本，它甚至考虑了用户电脑处于省电模式时的执行策略。这种工匠精神，用错了地方。

浏览器这些年一直在打补丁，什么SameSite、CSP、Trusted Types，都是给网页上的锁再加一道。可小偷也在升级，从最开始的直接偷document.cookie，到现在的用Service Worker做中间人，甚至有人开始研究用WebGPU的着色器来隐藏恶意代码——因为GPU的汇编语言，安全扫描器根本看不懂。

说到底，网页小偷钻的空子不在技术，在人性。我们总以为网址栏挂着小锁就安全了，总以为大网站不会干脏事，总以为“免费”真的不要代价。可打开那些暗藏祸心的页面时，你亲手交出去的，比钱包里的现金值钱多了。

现在每次我点开一个新网站，都会先按F12看一眼网络请求。那些频繁跳动的陌生域名，就像黑暗中闪光的贼眼。不用抓包工具，不用安全软件，就这一招，就够防住九成的小偷。剩下那一成，只能靠运气了。