上个月我帮朋友清理一台老笔记本，何检含他在某下载站点了“高速下载”按钮，测网结果浏览器多了三个插件，页否桌面冒出个“优化大师”。木马用Process Explorer一看，病毒有个陌生进程每隔几分钟就访问一个位于东欧的何检含IP。这玩意儿不是测网病毒，是页否个木马——它不破坏文件，只偷东西。木马

检测网页是病毒否带木马，核心就一句话：看它是何检含否试图执行你没允许的代码。别信“安全检测网站”的测网扫描结果，那些只能查已知特征码，页否变种绕过去太容易了。木马手动检测分三步走，病毒十分钟能搞定。

第一步，看源代码，不是看HTML，是看JS。按下F12打开开发者工具，切到“Network”标签，刷新页面。重点盯两个东西：一是请求了哪些外部域名，二是响应里有没有可疑的eval()、document.write()、atob()这类函数。正常网站不会用atob去解码一段看起来像乱码的字符串。我见过一个钓鱼页面，把恶意代码用base64编码藏在图片文件的注释里，加载时再解码执行。你如果看到某个JS文件长度超过50KB但页面只是个简单表单，那就有问题。

第二步，检查iframe和重定向。木马网页最爱用隐藏的iframe——宽高设为0或者position:absolute并移出可视区域。怎么找？在Console里输入document.querySelectorAll('iframe')，逐个看它们的src。如果指向的域名和当前页面主域名不一致，尤其是那些看起来像“tracking.xxx”的，十有八九是跳转用的。再配合检查location.href有没有被改写——有些木马在页面加载后0.5秒内把你带到另一个网站，你根本来不及反应。

第三步，也是最容易忽略的：看页面自身的“行为”，而不是代码本身。打开浏览器无痕模式，访问该页面，然后立刻打开任务管理器（Windows按Ctrl+Shift+Esc），看浏览器的CPU占用。正常静态页面占用低于5%，如果页面加载完CPU还在20%以上持续十几秒，说明有脚本在后台挖矿或者做暴力破解。再配合看网络活动——Windows资源监视器里，如果浏览器持续向陌生IP发送小数据包，基本可以断定中招了。

别忽视证书和域名本身。我遇到过不少恶意页面，域名是“gooogle-login.com”这种，SSL证书倒是有效的，但签发给“CloudFlare Inc.”——正规Google的证书签发给“Google Trust Services”。你看一眼地址栏旁边的锁图标，点开看证书详情，签发机构对不上就直接关掉。

最后说个土办法，但极其有效：用虚拟机或旧手机访问可疑页面。装个VirtualBox，跑个精简版Linux，里面开浏览器去测。中了木马大不了重置虚拟机，五分钟的事。我自己的检测流程就这么干——先用手动步骤快速判断，拿不准就扔虚拟机里点几下，看它到底想干嘛。

记住，木马网页的核心特征是“静默动作”——你肉眼看不见的东西在偷偷跑。所以检测的关键不是看页面好不好看，而是盯住网络请求、CPU占用和iframe这三个地方。养成习惯，碰见陌生链接先F12再点开，能挡掉九成以上的坑。