Web2.0 交互功能豐富了用戶體驗，也為黑客打開了新攻擊面——CSS 掛馬。安天實驗室專家阿楠深度剖析這一從「防 E 掛馬」演變而來的隱蔽手法。

經典案例：百度空間 CSS 蠕蟲

早期百度空間允許用戶自定義 CSS 模板。黑客利用畸形 expression 屬性在 CSS 中動態執行腳本，植入遠程惡意代碼，竊取用戶信任鏈接傳播蠕蟲。大量用戶因信任「百度域名」點擊鏈接感染，最終迫使百度官方緊急清理並發布預警。

為何 CSS 掛馬成 Web2.0 寵兒？

• Web1.0 時代：靜態頁面少交互，黑客被迫用明顯的 iframe 掛馬，易被發現。
• Web2.0 時代：博客、SNS 開放 CSS 自定義權限，黑客將惡意代碼偽裝為樣式表，隱蔽性極強，且利用用戶互信傳播效率極高。

防范建議

1. 點擊陌生鏈接保持警惕，大型網站同樣可能被掛馬。
2. 部署具備網頁木馬攔截功能的安全輔助工具。
3. 網站方應嚴格過濾用戶提交的 CSS，禁用 expression、behavior 等危險屬性。

小百科：CSS（層疊樣式表）旨在將文檔結構與表現分離，提升可維護性，但其動態表達式特性被黑客利用成為攻擊載體。