浏览网页时存在的安全风险有哪些

你打开一个网页，浏览可能只是网页看条新闻、查个菜谱，时存但你的全风浏览器已经在后台跑了几十段你看不见的代码。去年有个朋友点进一个“免费高清电影”的浏览链接，页面刚加载完，网页杀毒软件就弹了警告——挖矿脚本已经在他电脑上跑了二十分钟。时存这种事离普通人并不远。全风

恶意脚本是浏览最常见的坑。网页里嵌一段JavaScript，网页就能悄悄调用你的时存CPU算加密货币，或者扫描你本地网络里有没有开着端口的全风设备。更狠的浏览会直接利用浏览器漏洞下载木马。你只是网页滚动了一下页面，什么都没点，时存照样中招。这种叫“路过式下载”，早期靠Flash漏洞泛滥，现在Flash死了，但WebAssembly和浏览器0day漏洞又成了新通道。

Cookie和会话劫持是另一条路。很多网站把登录凭证存在Cookie里，如果没加HttpOnly标志，一段跨站脚本就能把Cookie读走。攻击者拿着你的Cookie直接登录，连密码都不用猜。网吧、公共WiFi环境下尤其危险——同一网络里有人跑个ARP欺骗，你的流量就能被中间人截获。我见过一个案例，某人在咖啡厅连WiFi登录公司邮箱，两小时后邮箱开始往外发钓鱼邮件。攻击者只是在他的HTTP请求里插了一行JS，把Cookie偷走了。

钓鱼页面做得越来越像真的。去年有个仿冒某银行登录页的站点，URL只差一个字母，页面布局、logo、甚至SSL证书都有（Let's Encrypt免费签的）。你输入卡号密码，后台直接转发给攻击者，然后跳转到真正的银行页面，你完全察觉不到。浏览器地址栏那个小锁图标早就不能作为信任依据了。

跨站脚本（XSS）和跨站请求伪造（CSRF）是网页开发者自己埋的雷。XSS是网站没过滤用户输入，攻击者往评论区塞一段脚本，所有看评论的人都被执行。CSRF更阴——你登录了网银，然后打开一个恶意页面，那个页面里藏着一个自动提交的表单，向网银发转账请求。浏览器会自动带上你的Cookie，网银以为是本人操作。2008年就有路由器被CSRF批量改DNS的先例。

浏览器扩展也是个口子。你装个“PDF转换器”或者“比价插件”，它可能要求“读取和更改所有网站数据”的权限。一旦你同意，它就能在你访问任何页面时注入脚本、偷表单内容、改页面元素。Chrome商店下架过不少这类扩展，但新的还在冒出来。我现在的习惯是只装必须的扩展，而且定期检查权限。

还有一类风险来自第三方资源。网页里嵌的广告、统计代码、字体库、CDN脚本，任何一个被黑，你的页面就变成攻击跳板。2018年Ticketmaster事件就是第三方聊天脚本被篡改，导致数万用户的支付信息泄露。你信任的是主站，但主站信任了第三方，链条上任何一环断了，你都跑不掉。

公共WiFi下的SSL剥离也值得提。攻击者架个假热点，把你对HTTPS网站的请求降级成HTTP，浏览器不报警的话，你输入的密码就是明文传输。现在浏览器对混合内容有拦截，但有些老站点还在用HTTP，或者攻击者用HSTS预加载列表之外的域名。

说白了，浏览网页这件事本身就是在别人的代码里穿行。你没法完全避免风险，但可以降低概率：装个uBlock Origin拦脚本，用浏览器隔离功能把不信任的站点关进沙箱，别在公共网络登录敏感账户，定期清Cookie。这些操作不复杂，但能挡掉大部分低级攻击。高级的？那得看浏览器厂商和攻击者谁跑得快了。