凌晨两点十七分，检测我的网站手机弹出一条服务器告警——首页被植入了一段加密iframe。那是挂马个做外贸的小站，流量不大，检测但客户全是网站欧洲的批发商。挂马者把代码藏在了底部统计脚本里，挂马肉眼看不出来，检测只有抓取渲染后的网站DOM才能发现。

检测挂马这事儿，挂马说穿了就是检测跟“看不见的客人”玩捉迷藏。你打开网页一切正常，网站但搜索引擎爬虫或者带特定UA的挂马浏览器访问，就会触发恶意跳转。检测我见过最刁钻的网站案例，攻击者用js判断鼠标轨迹，挂马模拟人类滑动超过三秒才释放payload，普通扫描器根本扫不出来。

别迷信在线检测平台。那些云端扫描会抓取页面快照，可挂马代码往往对访问来源做指纹识别——数据中心IP直接放行，真实用户IP才中招。所以我自己写了个检测脚本，用无头浏览器模拟真实环境，关键是设置成Windows+Chrome的老版本组合，再配上国内某省市的住宅代理IP。这招土，但管用。

具体操作分三步。第一，抓取页面所有外链资源，包括JS、CSS、图片，甚至字体文件。挂马代码常藏在看似无害的图片请求里，用短横线变量名混淆。第二，检查页面加载后有没有多余的DOM节点，特别是那些隐藏的div或者display:none的iframe。第三，盯住网络请求面板，凡是向陌生域名发起的同步请求都有嫌疑，尤其是端口不是80/443的。

有回我检测一个政府网站，页面源码干净得像刚擦过的玻璃。但用慢速网络重放请求时，发现有个请求的响应头里带着X-Powered-By: PHP/5.2.17——这版本早该进博物馆了。顺着这个头往下挖，发现对方在某个老图片上传接口里塞了WebShell，挂马只是顺带的事儿。

说到底，挂马检测拼的不是工具，是耐心。你得把自己当成攻击者，琢磨他们会在哪里藏东西。比如检查robots.txt里被刻意屏蔽的目录，或者翻翻网站的404页面——有些挂马代码专门写在自定义错误页里，因为管理员很少检查那些页面。

对了，别忘了检查移动端适配页面。很多站长只盯PC端，但挂马者早就学会在响应式布局的media query里做手脚，只对屏幕宽度小于480px的设备输出恶意代码。我上周刚处理过一例，手机访问跳转菠菜网站，电脑访问正常，气得客户直骂娘。

最后说句实在话——没有一劳永逸的检测方案。攻击者永远比你多一个心眼，所以你得保持警惕，像检查自家门锁那样，隔三差五就手动翻翻页面源码。哪怕只是搜索几个敏感函数名，比如eval、document.write、String.fromCharCode，花不了五分钟，但能省下半夜爬起来救火的功夫。