点开一个挂马网站，挂马浏览器大概率会卡一下，网站然后杀毒软件弹窗，不能进再然后——你可能觉得“我没点下载，挂马应该没事”。网站这个判断，不能进放在十年前也许成立，挂马现在基本等于裸奔。网站

挂马网站的不能进本质，是挂马攻击者在网页里嵌了一段恶意脚本。它不需要你主动下载任何东西，网站只要你用浏览器打开了这个页面，不能进脚本就开始执行。挂马执行什么？网站看攻击者的目的。轻的不能进把你重定向到博彩站、色情站，赚个流量钱；重的直接利用浏览器或插件的漏洞，在你系统里种下远控木马。

我去年帮一个做外贸的朋友处理过一台电脑。他就是在Google上搜某个行业关键词，点进了一个看起来挺正常的B2B网站。页面加载完，什么都没发生。三天后，他的邮箱密码、公司PayPal账户全被人改了。查日志才发现，那个网站首页底部被注入了一段经过混淆的JavaScript，利用的是当时Chrome一个还没修补的0day。他什么都没点，只是“进入了”那个页面。

所以回到标题的问题：挂马网站能不能进入？技术上能，但你不应该“主动进入”，更不应该“停留”。

浏览器本身是个沙箱环境，理论上恶意脚本很难逃逸出去直接控制你的系统。但理论是理论。现实是，浏览器插件、Flash（虽然已经死了，但很多老站还在用类似技术）、PDF预览器、字体解析器，任何一个环节有漏洞，沙箱就被击穿。攻击者不需要你配合，他们只需要你“打开页面”这个动作。

那有没有办法安全地“进入”看看？有。用虚拟机。开一个干净的VirtualBox或VMware，装个不带任何个人数据的系统，在里面用浏览器访问。就算中招，直接删掉虚拟机快照，主机毫发无损。另一个办法是用在线沙箱服务，比如urlscan.io、Any.Run，它们会替你渲染页面并给出行为报告。但普通用户不会这么干。

普通人更常见的场景是：搜索引擎结果里混进了挂马站，或者某个论坛的帖子链接被替换了。你点进去，页面可能显示“404”或者“正在跳转”，这时候别犹豫，直接关标签页。如果页面看起来正常但浏览器风扇突然狂转、CPU占用飙升，也立刻关掉。那是在跑挖矿脚本或者暴力破解你的本地密码。

还有一个细节：很多挂马网站会检测User-Agent和IP。如果你用的是手机，它可能只给你跳转到一个App下载页；如果你用的是公司网络，它可能直接放行不攻击——因为攻击者怕被企业安全团队盯上。所以你在家里电脑上访问没事，不代表这个站干净。

我自己的习惯是，看到陌生域名、短链接、或者URL里带一长串随机字符的，先不点。复制到urlscan.io跑一遍。十秒钟的事，能省掉后面十小时的杀毒和改密码。另外，浏览器保持自动更新，插件只装必须的，Flash和Java插件能禁就禁。这些老组件是挂马站最爱的入口。

最后说一句实在的：挂马网站能不能进入？能。但进入之后会发生什么，你控制不了。攻击者控制。所以别赌。关掉那个页面，比什么安全软件都管用。

(责任编辑：知识)