看网站会中病毒吗

上周我表妹发来一个链接，说是站会中病在某个“小众设计师品牌集合页”看中一条裙子，问我能不能帮她下单。看网我点开一看，站会中病页面粗糙得离谱，看网商品图全是站会中病糊的，价格却低得吓人。看网更诡异的站会中病是，浏览器地址栏旁边那个小锁图标是看网灰色的，还弹了个“此网站不安全”的站会中病提示。我赶紧让她关掉。看网她一脸茫然：“我就看看，站会中病又没下载东西，看网也会中毒？站会中病”

这个问题太典型了。很多人以为“看看而已”等于安全，看网就像隔着玻璃看老虎，不伸手就没事。但现实是，有些网站本身就是个陷阱，你踏进去的那一步，就已经踩在机关上了。

先说最直接的——挂马网站。这个词听着老派，但至今没死透。攻击者黑掉一个正常网站，在页面里塞一段恶意脚本。你打开页面，脚本就在你浏览器里跑起来。它干的活很简单：扫描你系统里有没有已知漏洞。比如你Windows补丁没打全，Flash版本老旧（虽然现在基本绝迹了），或者浏览器插件有洞。一旦找到入口，它就从某个犄角旮旯的服务器上下载一个exe或者dll，悄无声息地装进你电脑。整个过程你毫无察觉，顶多觉得“这网页怎么加载这么慢”。

前年我帮一个做外贸的朋友清理过一台机器。他习惯用谷歌搜行业资讯，点进一个看起来像模像样的“国际物流论坛”。页面能正常浏览，帖子也能翻页。但三天后，他的浏览器主页被改成了一个奇怪的导航站，桌面多了几个看不懂的图标，杀毒软件被静默卸载了。后来查日志，就是那个论坛页面里嵌了一个iframe，指向一个漏洞利用工具包。他中招的原因很简单：系统自动更新被关了半年。

另一类更隐蔽——钓鱼网站。它压根不需要技术漏洞，它攻击的是你的眼睛和手指。页面做得跟真的一模一样，你输入账号密码，它后台就记下来。你输完跳转回真网站，一切看起来天衣无缝。但你的密码已经躺在别人的数据库里了。这种“看”网站，中的不是病毒，是“社会工程学病毒”。我见过最绝的一个案例：一个伪造的“公司邮箱登录页”，连SSL证书都申请了，地址栏是绿色的https。不仔细看域名里多了一个连字符，根本分辨不出来。输完密码，页面还贴心地提示“密码错误，请重试”，让你以为是自己记错了，再输一遍。两遍密码到手。

那是不是只要不输入任何东西，纯“看”就绝对安全？也不是。有些网站会利用浏览器的“自动下载”行为。比如你打开页面，它触发一个下载请求，文件名是发票.pdf.exe，图标伪装成PDF。你双击，病毒就跑起来了。还有更流氓的——利用浏览器通知权限。你打开页面，它弹窗问“是否允许发送通知”，你手快点了“允许”，好了，之后每天弹广告，甚至弹诈骗链接。这不算传统病毒，但跟中毒的体验也差不离了。

我自己的习惯是：陌生链接一律先在虚拟机或者手机（不登录任何账号）上打开看看。手机其实更安全，因为iOS和安卓的沙盒机制比Windows桌面严格得多。挂马网站在手机上基本没辙，除非你主动安装它推的apk。但安卓用户注意，如果页面提示“请下载专用播放器观看”，那十有八九是坑。

说到底，看网站会不会中病毒，答案不是简单的“会”或“不会”。它取决于三个变量：你的系统有没有漏洞、你的浏览器有没有防护、你的手有没有乱点。三者缺一，风险就上来了。我见过太多人，一边用着停止更新的Win7，一边关掉杀毒软件“提升性能”，然后抱怨“我就看个新闻怎么电脑就卡死了”。

最后说个反直觉的：大网站不一定安全，小网站不一定危险。大网站被挂马，往往是广告联盟的锅——某个第三方广告位被买了，素材里夹带私货。小网站如果是个静态博客，反而干净得像白纸。判断标准就一条：看这个网站有没有让你“额外做点什么”的冲动。让你下载播放器、让你关杀毒、让你输入密码、让你允许通知——只要出现这些，立刻关掉。没商量。