3-9 需要当心的其他网页安全威胁 · 波仔的网络与信息安全课

📄 一句话概括

网页威胁在 2026 年的形态变了——不再去黑网站，而是去买它的广告位；而文件共享服务（云盘）的问题不在它不安全，而在它让一个链接看起来更正规，于是你会比对邮件附件更放松。

📝 本节和前面几节的关系

3-4 讲的是假网站（你自己走过去）。这一节讲的是另外两种【在网页上出事】的方式：网页挂马（你访问的是真网站，但页面里被塞了东西）与文件共享服务（你以为的一个普通链接，其实是攻击者的投递通道）。

它也把 3-3 的一条结论放到真实场景里：当恶意代码只在浏览器内存里拼出来、不落盘的时候，按文件扫描的那一层就无从下手。

一、网页挂马：三种不同的【在网页上中招】

先把这个词拆细，因为它的三种形态的防御方式完全不同：

形态	怎么发生的	页面是谁的
网站被篡改	攻击者拿下了网站，往页面里插代码	真网站（网站方也是受害者）
恶意广告（挂广告）	页面正常，但广告位被买了，广告里的落地页是恶意的	真网站（站点本身没被黑）
恶意下载站 / 搜索引擎投递	仿冒官方页，靠搜索排名或买广告把人引过去	假网站

第二种是 2026 年最值得认识的一种，因为它推翻了一个常识：过去我们说【别点不正规的网站】——而恶意广告是在你信任的正规网站上，通过正规的广告系统投送的。

二、文件共享服务：一个【看起来更安全】的通道

云盘、共享链接本身是正常工具。它在安全上的位置很微妙：

它不是不安全的——链接的域名是真的、传输是加密的；
危险在于它给人的心理暗示：一个来自云盘的链接，看起来比一封邮件的附件更【正规】；
而攻击者需要的恰恰是你在打开它那一下放松警惕。

这类通道最常见的落地内容，是一份需要你先做一步操作的容器：压缩包（往往还带口令，用来躲开内容扫描）、光盘镜像、快捷方式、脚本文件。

所以判据不能是【这个链接来自哪儿】，而必须是：这个文件是谁给你的、你本来就在等它吗。

三、动手 Demo：六条下载来源过一遍

rows = [
    ("官网域名直接下载", "域名与品牌一致、走 HTTPS", "可信"),
    ("搜索结果第一条带【广告】标", "广告位可被购买，落地页可被替换", "高风险"),
    ("云盘链接发来的【发票.zip】", "云盘域名是可信的，但内容不是；压缩包带口令更可疑", "高风险"),
    ("同事用即时通讯发来的 .lnk 快捷方式", "快捷方式本身不带载荷，但它会去取载荷", "需确认"),
]

实跑输出：

一、网页挂马在 2026 年的样子：不挂网站，挂广告
  2026-08-31 ~ 09-14 的一起恶意广告行动（第三方机构观测）：
  受影响组织            619 家
  广告活动标识          250+ 个
  承载广告的正规网站    284 个（这些网站【没有被黑】）
  诈骗主机              457 个

  手法链条：
    ① 你在搜索引擎里看到一条正常广告 → 点开
    ② 落到一个云上的普通页面：先转圈，再变成一个商店
    ③ 页面【等你动鼠标】才开始干活（自动扫描器不会动鼠标）
    ④ 解出一段隐藏地址，取回一个【按你的系统定制】的锁屏组件
    ⑤ 组件在【浏览器内存里】拼出来，不落盘 → 按文件扫描看不到
    ⑥ 全屏 + 警报声 + 假的安全扫描界面 + 一个要你打的电话

  注意第 ⑤ 步：这是本课第二章 2-6 讲过的【固件/内存层】问题的
  同一条思路——【不在磁盘上的东西，磁盘扫描器就找不到】。

二、六条下载来源的信任度判定
  来源                                    判定        理由
  ------------------------------------------------------------------------------------------------
  官网域名直接下载                        可信        域名与品牌一致、走 HTTPS
  搜索结果第一条带【广告】标              高风险      广告位可被购买，落地页可被替换
  云盘链接发来的【发票.zip】              高风险      云盘域名是可信的，但内容不是；压缩包带口令更可疑
  同事用即时通讯发来的 .lnk 快捷方式      需确认      快捷方式本身不带载荷，但它会去取载荷
  官网公示的 CDN 域名下载                 可信        域名属于该厂商，只是换了主机名
  论坛里的【破解版 + 注册机】             高风险      来源不可追溯，且它必须要求你关杀毒

  可信 2 条 ｜ 需确认 1 条 ｜ 高风险 3 条

读这个输出：上面那六步链条里，有三步值得单独记住：

第 ③ 步【等你动鼠标】——这是沙盒规避在网页场景里的变体（3-3 讲过同一套逻辑）：自动化的爬虫和扫描器不会动鼠标，所以这一个条件就能筛掉大量自动分析。
第 ⑤ 步【在内存里拼出来】——不落盘，于是【扫文件】的那一层没有东西可扫。这也是为什么这类攻击的处置常常从【关掉浏览器】开始，而不是从【杀毒】开始。
第 ⑥ 步【要你打一个电话】——注意这一步：前面所有技术都是为这一步服务的。 它的目的不是在你电脑上装什么，而是让你拿起电话、然后被一个【客服】引导着付钱、报卡号、或者让人远程连上你的电脑。这一句话就是这类攻击的识别要点：任何网页要求你立刻打电话解决【安全问题】，一律是骗局。

再注意下面的判定表：云盘链接被排在【高风险】。理由不是【云盘不安全】，而是它同时具备两个特征——域名可信（降低了你的怀疑）＋里面装的东西不受控（容器、带口令、需要你再动一次手）。

四、⚠️ 2026 现状

恶意广告已经是一套成规模的投递系统。 2026 年 8 月底到 9 月中被观测到的一起行动，覆盖至少 619 家组织，使用250 多个广告活动标识，落在 284 个正规网站上（这些网站没有被入侵），涉及 457 个诈骗主机。这些数字的意义在于：这类攻击不需要攻破任何一家网站，只需要在广告系统里买到位置。
它的设计专门躲两类【自动检查】。 一是等人类交互（鼠标移动）才激活，绕过爬虫与自动沙盒；二是把组件在浏览器内存里构造，不产生可被扫描的文件。加上【如果远程服务器取不到就恢复成普通商店页面】的失败兜底——它的痕迹可以做到接近零。
搜索结果里的【广告】位置成了高风险区。 国内 2026 年的官方提示里专门提到：大量恶意软件与仿冒下载链接通过广告置顶展示，建议尽量避开广告条目、优先选择自然结果。同时提示了仿冒域名的命名套路（在域名里拼进品牌词、加连字符、换后缀）。
【靠搜索投递的仿冒站】在国内是主流手法之一。 2026 年的一批分析显示，这类站点主要围绕常用办公软件与浏览器仿冒，注册行为明显批量化（短时间大量注册），并且会检测访问来源——不是从搜索引擎点进来的访问会被跳走，用来对抗分析。这类站点对普通用户最有效的对策仍然只有一条：不进搜索结果的广告位，用官方应用或书签。
文件共享这条通道的形态在细化。 现在的常见载体包括：带口令的压缩包（躲开内容扫描）、光盘镜像（挂载后才是真正内容）、快捷方式（指向网络取证地址）、脚本文件。判据也相应地细化为几条：看扩展名而不是图标；对【你没在等它的文件】保持默认不信任；对【要求你先关掉安全软件】的东西直接放弃。
一个容易被忽视的补充：网页上的【假安全告警】本身不一定是入侵。 在那起被观测到的恶意广告行动中，研究者强调的是暴露量而非法入侵——它要的是你打电话，不是你中毒。分清这一点很重要：遇到全屏的假告警，正确动作是关掉浏览器（必要时用任务管理器结束进程）、不要接那个电话，而不是急着重装系统。

30 秒实验

今天做两个动作，各 15 秒：

关掉浏览器的【通知权限】默认放开：进入浏览器设置 → 网站设置 → 通知，把你不认识的站点全部改成【阻止】。然后用同样的方法看一眼扩展程序列表——凡是你说不出它是干什么的，先停用。
下次遇到全屏假告警时，记住这一串动作：按住 Esc 几秒退出全屏 → 关掉标签页 → 关不掉就用任务管理器结束浏览器进程 → 重开浏览器时不要【恢复上次会话】。全程不要拨打页面上那个号码。

这一节要带走的一句是：【我在正规网站上】和【我下载的东西是安全的】是两件事——广告位可以被买，云盘链接可以是别人发的，而判断的唯一依据是【这个东西是不是我本来就在等的】。

常见误区

错误：我只上正规网站，不会被挂马。——纠正：这正是恶意广告要打破的那个假设。 2026 年那起行动的承载网站都是正规站点（284 个），它们本身没有被入侵——被买走的是广告位。所以你访问的是真站、地址栏是对的、HTTPS 是绿的，唯一不对的是那一块广告的内容。【上正规网站】这句话仍然有意义（它排除了大量低劣的假站），但它不再是完整的防线。
错误：云盘是官方服务，云盘链接比邮件附件安全。——纠正：安全的是云盘的传输，不是里面的内容。 云盘域名是真的、传输是加密的——但这些性质跟【那个文件是什么】完全无关。它甚至比邮件附件更危险一点：因为它让你更放松（【这是从某某云盘分享的】听起来比【附件】正规）。真正该看的还是那两件事：谁给的、我是不是在等它。
错误：网页弹了个【电脑已被感染，请立即致电】的窗口，那说明我真的中毒了。——纠正：绝大多数情况下这恰恰说明你没有中毒——它是一张画出来的图。 这类页面用的是全屏 + 警报声 + 假扫描界面 + 一个电话号码，目的不是感染你，是让你打电话（然后被引导付钱、报卡号、或让【客服】远程连上你的电脑）。可验证的事实是：这种页面并不会锁住你的电脑——你完全可以用任务管理器结束浏览器进程。识别要点一句话：任何网页让你打电话解决安全问题，就是骗局。
错误：文件共享服务是公司的工具，员工用它传文件很正常。——纠正：正常，所以它更需要一条规则，而不是一句禁令。务实的做法是把【来源】变成可核对的东西：对【你本来在等的文件】放行，对【没预告就发来的可执行容器】走确认流程；同时对高风险扩展名（带口令的压缩包、镜像、快捷方式、脚本）在技术层面统一处置（剥离、重命名、或强制走沙箱）。用制度把【要不要信任它】这个问题，从事前的临场判断，变成事后的统一策略。

自测三问（点开对答案）

1. 为什么【网页挂马】这几种形态里，恶意广告最值得单独警惕？ —— 因为**它绕开了人最依赖的那个判据——网站是不是正规的**。网站被篡改和仿冒站都属于【这个网站可信度有问题】，**你还有得判**；而恶意广告出现在**你信任的正规网站上**，**地址栏、域名、证书全部正确**，**你能看到的唯一线索是广告位里那一条内容**——而它可能是几百条正常广告里的一条。**它把判断的依据从【网站可不可信】缩小到了【这一条广告可不可信】**，而这个判断几乎无法临场做出。**这正是【买位置】比【攻破网站】更高效的商业逻辑。** 2. 为什么这类网页攻击的处置动作是【关浏览器】，而不是【杀毒】？ - —— 因为**它的载荷在浏览器内存里，不在磁盘上**。杀毒软件扫描的是文件，**没有文件的时候它没有东西可扫**（这也是 3-2 里【82% 检出属于无文件攻击】那条数据的具体含义）。而浏览器进程一结束，**留在内存里的东西就随之消失**——所以**关掉浏览器（必要时结束进程）本身就是最对症的处置**。反过来，如果这时候你去做【全盘扫描】，**大概率什么也扫不到**，然后得出结论【没事】——**这个结论是错的，因为它本来就在扫描的盲区里。** 3. 【看扩展名而不是看图标】这句话为什么有用？ —— 因为**图标是可以伪装的，扩展名是系统用来决定【用什么打开它】的依据**（Windows 默认会隐藏已知类型的扩展名，这恰恰助长了伪装）。一个显示成 PDF 图标的文件**可能实际是脚本或快捷方式**——**你双击的瞬间，运行的就不是【打开一个文档】，而是【执行一段代码】**。所以这条建议的实际动作是：**先把【显示文件扩展名】打开**（在文件管理器的查看设置里），然后**对这几类扩展名保持警觉**：带口令的压缩包、光盘镜像、快捷方式、脚本（`.js` / `.vbs` / `.ps1` / `.hta`）。**这不是要你背清单，而是建立一个习惯：先看它到底是什么类型，再决定要不要打开。**

☐ 下一节（3-10 计算机病毒感染的不仅仅是计算机）