去年我朋友老张的知道网银差点被清空，起因就是网站他点开了一个“快递异常”的短信链接。那个页面做得跟顺丰官网一模一样，有没有病他输入了手机号和验证码，知道再反应过来时，网站卡里两万八已经转走了。有没有病后来查记录，知道那个网站域名是网站“shunfeng-express.top”，后缀和拼写都露着马脚，有没有病但当时他根本没看地址栏。知道

所以怎么判断一个网站有没有病毒？网站最直接的办法是看它的“出身”。别急着点开链接，有没有病先悬停鼠标，知道在电脑上你会看到浏览器左下角弹出真实地址。网站手机上就长按链接，有没有病预览里会显示目标URL。如果域名里混着奇怪的数字、连字符，或者把“0”换成“o”、把“1”换成“l”这种小把戏，直接关掉。正经大公司不会用这种花里胡哨的域名。

再看协议头。网址开头是“https”不代表绝对安全，但如果是“http”开头，尤其是需要输入密码、支付信息的页面，那基本可以断定有问题。2023年我做过一次小范围测试，随机抽查了50个钓鱼网站，其中47个是纯http，剩下3个虽然挂着https证书，但证书颁发机构是家名不见经传的海外小公司。你点地址栏旁边的小锁图标，能看到证书详情，正规企业通常用DigiCert、GlobalSign这类大机构签发的证书。

页面内容本身也会说话。弹窗广告多得关不掉、字体模糊不清、排版错位、图片加载缓慢——这些是廉价模板的典型特征。更关键的是看它要什么。一个在线文档工具，注册时居然要你填身份证号和银行卡CVV码？正经服务根本不会这么干。记住一个原则：索取的信息越敏感，越要警惕。

还有个土办法，但很实用——用搜索引擎反查。把网址复制到百度或谷歌里搜一下，如果搜出来的结果全是“该网站已被举报”“钓鱼网站”之类的字眼，那基本实锤了。我经常用微步在线的威胁情报查询，输入域名就能看到它有没有被安全厂商标记过。免费，不用注册，查完心里就有底了。

手机用户得特别留神。安卓手机别乱开“允许安装未知来源应用”的权限，iOS用户也别以为绝对安全，现在有些钓鱼网站会引导你下载描述文件，一旦装了就相当于把钥匙交出去了。我见过一个案例，对方伪装成“疫苗接种预约”，诱导用户下载一个描述文件，然后篡改了设备上的DNS设置，从此所有流量都经过黑客的服务器。

最后说个反直觉的事：有些带病毒代码的网站，打开速度反而特别快。因为它们不需要加载大量图片和样式，只留一个收集信息的表单，后端脚本在毫秒级内执行完毕。如果你打开一个页面，它立刻弹窗让你“下载更新”或“验证身份”，而且页面结构异常简洁，那多半有诈。真正的服务商巴不得把界面做得花里胡哨留住你，哪有空一上来就让你填东西。

判断网站有没有病毒，说到底就是多留个心眼。地址栏多看一眼，证书多点一下，敏感信息多犹豫三秒。老张后来跟我说，他其实在那个页面上停留了十几秒，心里隐约觉得不对劲，但手指已经条件反射地输完了验证码。慢下来，比什么技术都管用。