页面渗透

去年秋天，页面渗透我打开一个地方政务网站查公积金，页面渗透页面加载完的页面渗透瞬间，鼠标还没动，页面渗透屏幕右下角弹出一行字：“您可能还关注：本市优质楼盘推荐”。页面渗透我愣了。页面渗透这不是页面渗透广告位，是页面渗透页面正文区域的一部分，被一段陌生脚本硬生生塞进来的页面渗透。关掉它，页面渗透刷新，页面渗透又出现。页面渗透那一刻我意识到，页面渗透页面早就不属于它名义上的页面渗透主人了。

所谓页面渗透，页面渗透说白了就是有人在你不知情的情况下，往一个网页里注入额外的东西。它不一定是恶意代码，更多时候是第三方脚本、推广模块、数据采集器，甚至是一段悄悄改写按钮文字的逻辑。你看到的页面，和你以为的页面，可能不是同一个东西。

我后来查了那个政务网站的源码。页面底部引了七个外部JS文件，其中三个来自不同域名，两个已经停止维护。其中一个文件里藏着一行代码，检测到用户IP属于本地，就动态插入一个div，内容就是那条楼盘推荐。没有弹窗，没有跳转，只是安静地长在页面里。像墙缝里冒出来的草，不仔细看根本注意不到。

这种事比你想象的普遍。很多网站为了省事，直接引入第三方统计、客服、广告、社交分享的脚本。这些脚本一旦被篡改，或者服务商自己动了手脚，页面就变成了别人的画布。更隐蔽的是，有些渗透不改变视觉，只改数据——比如把“提交”按钮的点击事件多绑一个请求，把你的输入悄悄发到另一个服务器。你填完表单，页面正常跳转，什么异常都没有。

我见过最离谱的一个案例，是一个小型电商站。商品详情页的价格数字，前端显示和后台数据库差了两块钱。不是bug，是有人加了一段脚本，根据用户浏览器语言判断：中文用户看到的价格比英文用户高两块。脚本注释里写着“A/B test”，但站点管理员根本不知道这回事。后来查出来，是半年前离职的一个前端留下的。他没删干净自己的测试代码。

页面渗透不总是恶意的。有时候是开发者图方便，有时候是外包团队埋的“后门”，有时候纯粹是旧代码没清理。但它带来的问题很直接：你看到的页面，你点的按钮，你填的信息，可能都不在你以为的那个容器里。

怎么判断一个页面有没有被渗透？普通用户几乎没法判断。开发者可以打开开发者工具，看网络请求里有没有陌生域名，看DOM结构里有没有异常节点。但普通人不会天天按F12。更实际的办法是：如果一个页面上出现了和它本身功能完全无关的内容，比如政务网站推荐楼盘、学校官网弹游戏广告、银行页面卖保险，那基本就是被渗透了。

我现在的习惯是，遇到重要操作——付款、填身份证、改密码——先看一眼地址栏，再扫一眼页面有没有奇怪的悬浮层。不是 paranoid，是吃过亏。去年我帮朋友查一个考试报名网站，页面看起来正常，但输入框的action属性指向了一个境外IP。朋友差点把身份证号填进去。

页面渗透这件事，说到底是信任问题。你信任一个域名，信任它加载的每一个字节，但那些字节可能来自十几个不同的地方。你信任的只是一个地址，不是地址背后的全部内容。下次打开一个网页，不妨想一想：你看到的，真的是这个网站想让你看到的吗？

很赞哦!（9）