浏览器渗透

2023年某天，浏览一位安全研究员在咖啡厅连上公共Wi-Fi，器渗随手点开一个"新闻链接"。浏览三秒后，器渗他浏览器里保存的浏览17个登录凭证全部被复制到了攻击者的服务器上。整个过程没有弹窗，器渗没有卡顿，浏览他甚至没察觉标签页曾被短暂重定向。器渗这不是浏览电影桥段，是器渗浏览器渗透的日常。

浏览器早就不只是浏览"看网页的工具"。它存着你的器渗密码、Cookie、浏览支付信息、器渗甚至摄像头和麦克风的浏览调用权限。攻击者盯上它，因为这里数据最集中，防护却常常最松散。Chrome、Edge、Firefox，每个都内置了沙箱、同源策略、HTTPS强制，但漏洞总在人想不到的地方冒出来。

最常见的手法叫"扩展劫持"。你装了一个"比价插件"，它表面帮你比价格，后台却把每个页面的DOM内容打包发走。更隐蔽的是，这类扩展往往有正规商店签名，审核机制根本拦不住。去年一个叫"CacheFlow"的扩展，下载量超200万，偷偷收集用户在所有网站的输入内容——包括银行页面里还没提交的转账金额。

另一个入口是"中间人攻击"，但攻击者早就不靠ARP欺骗这种老掉牙的招数了。他们伪造一个和原站几乎一模一样的登录页，连favicon和SSL证书都通过Let's Encrypt申请了合法签发。你地址栏看到小锁图标，以为安全，实际上数据正流向攻击者的服务器。这种页面存活时间通常不到48小时，域名被封就换下一个，追踪极其困难。

浏览器自身的内存漏洞更致命。2024年Pwn2Own大赛上，一个团队利用V8引擎的JIT编译器缺陷，在Chrome最新版上实现了远程代码执行。从你点开恶意页面到攻击者拿到系统权限，全程不到两秒。谷歌随后紧急推送补丁，但野外的利用代码早已在黑市流通。普通用户能做什么？只能尽快更新，别关自动更新。

Cookie窃取是另一个重灾区。很多网站把会话令牌存在非HttpOnly的Cookie里，JavaScript能直接读。攻击者通过XSS注入一段脚本，document.cookie一执行，你的登录态就归他了。更糟的是，有些网站还用SameSite=None，跨站请求照样带上Cookie。你逛个论坛，账号就被盗了，连密码都没输错。

个人观察：大多数人从不检查浏览器扩展的权限。装个"PDF转换器"，它却要求"读取和更改所有网站上的数据"，你点了同意。装个"天气插件"，它要"访问浏览历史"，你也点了。这些权限一旦授予，扩展就能在任意页面注入脚本、截取表单、重定向请求。卸载？很多人根本不知道要卸。

防御不是装个杀毒软件就完事。手动检查扩展列表，删掉不认识的。浏览器设置里关掉"允许网站发送桌面通知"，那玩意儿常被用来钓鱼。用独立密码管理器，别依赖浏览器自带的保存功能。公共Wi-Fi下强制开HTTPS，或者干脆用手机热点。更新？别拖延，看到重启提示就重启。

浏览器渗透不会消失。攻击面在扩大，WebAssembly、WebGPU、甚至AI辅助的页面生成，都在引入新缺陷。你唯一能做的，是别当那个在咖啡厅点开"新闻链接"的人。