网页病毒传播的网页路径，远比大多数人想象的病毒更依赖“人的疏忽”，而非技术漏洞本身。传播

一个真实的途径案例：2019年，某公司财务小李收到一封标题为“2020年预算表最终版”的网页邮件，发件人显示为CEO的病毒私人邮箱。她点开附件，传播一个启用宏的途径Excel文件弹出警告，她点了“允许编辑”——三分钟后，网页整个财务部门的病毒共享文件夹被勒索病毒加密。攻击者没有黑进服务器，传播他们只是途径先黑进了CEO的邮箱，然后利用员工对权威的网页信任。

这是病毒第一条主要途径：钓鱼邮件与社会工程。病毒不直接跳进电脑，传播它伪装成发票、快递通知、会议邀请，甚至伪装成杀毒软件警告。你点的是链接，下载的是“安全更新”，但实际执行的是恶意脚本。这类传播的成功率不取决于代码多高明，而取决于文案多像真的。我曾经测试过，把一封钓鱼邮件发给公司20个同事，标题写“本月绩效调整说明”，结果16人点了链接——没人看发件地址是否拼写正确。

第二条途径是“水坑攻击”与挂马网页。攻击者先攻陷一个你常去的网站，比如本地论坛、小企业官网，然后在页面里植入一段隐蔽的iframe或JavaScript。你访问时，浏览器会悄悄从第三方服务器加载恶意代码，利用Flash、Java或浏览器旧版本的漏洞，直接在你的机器上下载执行payload。这种传播不靠你点击，靠的是你“路过”。2016年，某省交通违章查询网站被植入挖矿脚本，所有查违章的车主，电脑CPU都被用来挖门罗币——直到有人发现风扇狂转才暴露。

第三条途径，也是最容易被忽视的：第三方组件与供应链污染。现代网页大量依赖开源库、CDN资源、统计脚本。攻击者不需要攻破你的网站，只要攻破你引用的某个小插件——比如一个用于生成二维码的JS库——然后更新代码，所有加载这个库的网站都成为传播节点。2021年，一个名为“ua-parser-js”的npm包被植入后门，数万个网站中招，用户访问后会被重定向到钓鱼页面。这种传播的可怕之处在于，网站管理员自己都不知道自己成了帮凶。

还有一条，往往被归为“低级错误”：恶意二维码和短链接。线下海报、名片上印的码，扫完直接跳转到一个伪装成WiFi登录页的钓鱼站，输入密码后，密码直接发给攻击者。我见过一个案例，某个咖啡店的免费WiFi登录页被篡改，用户连上后弹出的“每日优惠”链接，实际是下载Android木马的APK。这种传播利用的是移动端对“扫码即得”的天然信任。

最后，别忽略浏览器扩展和插件。你装了一个“鼠标手势”扩展，它可能每隔几天从远程拉取更新，更新里包含广告注入或键盘记录器。这种传播不走网页本身，走的是浏览器的“外挂”生态。Chrome商店里曾有数十个扩展被下架，因为它们偷偷收集用户浏览历史并发送到指定服务器。

网页病毒的传播，本质上是信任链的断裂。你信任邮件，信任常逛的网站，信任用的开源库，信任扫的码，信任装过的插件。攻击者不破坏这些信任，他们只是利用它，然后悄无声息地搭车。防住一条路没用——你得知道，所有路径都指向同一个终点：让你执行一段你不该执行的代码。