我服了…我以为是“在线教学”——结果是恶意脚本：我把坑点列出来了

我服了…我以为是“在线教学”——结果是恶意脚本：我把坑点列出来了

前几天接到一个看起来很正规的“在线教学”邀请，页面设计工整、讲师信息齐全，我点进去以为能顺利上课，结果几分钟后电脑开始发烫、浏览器弹出莫名权限请求、还有一个下载请求自动触发。追查下来根本不是教学平台，而是埋了恶意脚本的钓鱼页面。把这次踩的坑整理出来，给大家当个警钟，也当个操作手册。

先说结论：这类伪装教学页面有四种常见目标——窃取账号/密码、静默安装后门、劫持浏览器挖矿或刷流量、植入篡改脚本进行传播。遇到“教学”类链接，别只盯着外观，任何可执行或请求权限的行为都要警惕。

我踩过的坑（实战列举）

1. 伪造域名和证书：域名只差一个字母，页面显示HTTPS，乍一看可信。证书是有效的，但组织信息空白或由不明颁发方签发。
2. 假登录窗或嵌入iframe：直接在页面放“用Google/QQ登录”按钮，点开后弹出伪登录窗，实际上是截取凭证。
3. 自动下载并提示运行：页面触发一个小程序或脚本下载（.exe、.dmg、.zip），并用“安装课堂插件”这种话术诱导运行。
4. 要求过多权限：索要摄像头、麦克风、文件系统访问、甚至剪贴板权限，超出正常教学需求。
5. 隐蔽挖矿或脚本持续运行：页面加载后在后台大量占用CPU，或不断向可疑域名发包。
6. 恶意第三方嵌入：看似合法的视频/白板是第三方控件，实际被注入恶意JS。
7. 社交工程式催促：主办方发来催促信息，强调“仅限今日、必须安装”，以时间压力促使快速操作。

如何快速判断这个“在线教学”是不是陷阱

• 看域名：发件人和页面域名是否一致？域名拼写有无变动、小数点/连字符等异常。
• 检查证书：点安全锁查看颁发机构和组织名称，注意是否与平台匹配。
• 不随意运行下载文件：教学场景极少需要你安装本地可执行程序，遇到即警惕。
• 观察权限请求：摄像头/麦克风可以正常，但文件系统、剪贴板或系统级权限请求要怀疑。
• 打开浏览器开发者工具（Network/Console）：看是否有大流量请求、可疑域名或大量报错/未压缩的长串base64代码。
• 询问主办方正规渠道：通过已知联系信息核实，而不是只回复邀请里的联系方式。

被攻击后应立即采取的应对步骤

1. 断开网络，关闭相关浏览器标签页或重启浏览器（先保存必要工作）。
2. 断开可能的外部设备（U盘等），防止二次感染。
3. 修改重要账户密码（邮箱、银行、教学平台），尽量用另一台干净设备操作。
4. 检查并撤销第三方应用授权（Google/QQ/微信等）中可疑项。
5. 扫描电脑并清理：使用可信杀毒软件和反恶意软件工具全盘扫描。
6. 查看系统/浏览器扩展，删除陌生扩展并重置浏览器设置。
7. 如果怀疑财务信息泄露，联系银行冻结或监控交易，并报案保存证据。

长期预防清单（给教师和学生）

• 优先使用官方平台或学校统一账号的教学系统。
• 同一个教育活动，双渠道核实（邮件+学校通知/微信企业号/电话）。
• 不随意安装插件或工具；若必须安装，先在沙箱或虚拟机中测试。
• 使用脚本拦截和广告屏蔽插件（如uBlock、NoScript类）并定期更新。
• 开启两步验证，密码管理器生成并保存强密码。
• 给课堂用笔记本或虚拟机专用账号，避免主工作环境暴露。
• 定期备份重要资料，建立恢复方案。

一句话收尾：漂亮的页面不能等于可信的网站，遇到“看起来很正规”的邀请，先慢一步、查清楚再行动。把这篇发给你认识的老师和同学，少一个人中招就是多一份安全。