糟糕，我的主页被篡改了

2025 年，宛城区公安分局在网络巡查中发现，南阳某机械有限公司网站遭黑客攻击，网页被篡改为赌博网站，涉嫌为赌博网站引流，造成不良社会影响。因该公司在网络安全管理方面存在严重缺失，缺乏必要管理措施和保护机制，宛城区公安分局依据《网络安全法》对其给予行政警告处罚，并责令限期整改。

网页木马是非常常见的攻击手段。通常来说，攻击者会采用两种方式植入木马，一个是伪装正常网站，并在网站中植入能够渗透到用户设备的木马，当用户点击后，木马就会触发，从而导致用户设备被入侵。另一个是通过篡改正常网站的形式，修改原有网站内容，从而导致损失。前面的案例就是第二种方式的体现。

个人在遇到网页木马时也会受到影响，最直接的就是财产损失。木马可能窃取用户在银行、支付平台（如支付宝、微信支付）的登录凭证、交易验证码等，直接转走账户余额或绑定的银行卡资金。例如，通过键盘记录木马记录用户输入的支付密码，或伪装成 “退款链接” 诱导用户主动提交账户信息。

此外，从案例中可以发现，对于企业来说，一旦遭受黑客攻击从而导致页面被篡改，不仅会影响企业自身的声誉和业务开展，还会面临执法机关的处罚。因此，对抗网页木马是企业及个人保障安全的重要一环。

虽然网页木马已经不再陌生，但近年来仍然有不少企业“中招”，而且，网页木马也在随着技术发展和变化。

攻击载体与传播渠道的多元化升级

传统木马依赖可执行文件（.exe、.dll）落地执行，近年大量木马通过 PowerShell、WMI（Windows 管理规范）等系统内置工具加载恶意代码，无需在硬盘生成文件，规避杀毒软件的文件扫描机制。例如：通过网页脚本调用powershell -encodedcommand执行 Base64 编码的恶意指令，直接在内存中运行。2023 年 “Deer Park” 木马利用 HTML 网页中的 JavaScript 脚本，通过mshta.exe调用本地 WMI 接口，在内存中加载 Cobalt Strike 远控工具，全程无文件落地。

漏洞利用与攻击流程的自动化、智能化

传统网页木马依赖用户点击或交互（如下载文件），近年出现基于服务器端漏洞的 “水坑攻击”：黑客入侵正规网站并植入恶意脚本，当用户访问该网站时，脚本自动检测用户设备的浏览器、插件漏洞（如 Chrome V8 引擎漏洞、Adobe PDF 插件漏洞），无需用户操作即可静默植入木马。2022 年 “响尾蛇” 攻击团伙入侵多个教育类网站，利用 IE 浏览器的 CVE-2022-24467 漏洞，对访问者自动植入窃密木马，影响超 10 万用户。

此外，部分木马通过机器学习模型分析用户行为模式，仅对 “真实用户” 触发攻击（如检测鼠标移动轨迹、键盘输入频率，过滤自动化安全测试工具）。2023 年 “DeepLocker” 木马会识别用户是否在企业内网环境，若检测到 VPN 或特定 IP 段则增强攻击载荷。

隐蔽性与反防御技术的迭代

针对常见的“浏览器指纹”，网页木马通过修改 WebRTC、Canvas 等 API 的返回值，伪造浏览器指纹（如操作系统、显卡型号、字体列表），使安全系统误认为用户在 “干净环境” 中访问。与此同时，部分恶意代码在传输时采用 AES-256 加密，落地后由网页脚本动态解密，且每次解密密钥随会话变化。2023 年 “ShadowPad” 变种通过 WebSocket 传输加密的 PowerShell 脚本，仅当用户 IP 属于特定地区时才解密执行。

攻击目标与场景的精准化演变

当下，网页木马不再局限于广撒网式攻击，而是针对政府、金融、能源等领域进行精准渗透：2023 年某国家级黑客组织针对东南亚金融机构，制作伪装成 “央行政策文件” 的钓鱼网页，利用 Edge 浏览器的 CVE-2023-36772 漏洞植入窃密木马，专门窃取 SWIFT 转账指令。

此外，还出现了通过网页漏洞入侵智能设备（如路由器、摄像头）的 Web 管理界面。2024 年 “Mirai 2.0” 木马变种通过钓鱼网页诱导用户访问路由器管理页，利用默认密码（如 admin/admin）或已知漏洞（如 CVE-2024-28771）植入后门，将设备加入僵尸网络。

综上所述，网页木马在不断地迭代升级中，这给企业的信息安全带来一定的挑战。为了进一步让企业及员工了解网页木马，开展大规模的安全意识培训至关重要。

为此，安在新媒体面向公众，打造“一分钟安全讲堂”“20秒安全科普”等图文、视频公益栏目，宣传普及办公、生活、出行、消费过程中的安全风险，提升全民安全意识。

面向社群用户，推出“网络安全意识团购服务”，涵盖宣传素材、培训课程、威胁体验、游戏互动等，采用线上线下融合的方式，帮助员工掌握安全要点，并提供定制化安全策略咨询。

视频课程

视频课程将文字、图像、图形、声音、动画于一体，将网络安全知识内容在短时间内传达给受众，相比文字或图片，视频更能够吸引用户注意力，并快速提升认知度。

图文讲义

图文讲义可以细致地展现出各类安全风险的危害，企业可将其以展板、易拉宝形式放置于办公区域，持续性加深员工的安全意识。

培训讲义

培训讲义能够将网络安全知识系统地、完整地展现给员工，从而全方位增强员工的安全意识。此外，通过系列课程宣讲及课后作业或考核，也可以有效掌握员工安全意识的提升情况，从而针对性地开展教育活动。