成人网站上的恶意广告，通常不是站方自己放的。它们是通过每个商业网站都在用的那套自动化广告管道进来的，而它们进得来，是因为那条管道把版面卖给出价最高的人，过程中没有任何人看过广告里面装了什么。
搞懂那条管道，你才有办法把恶意广告和普通广告分开。下面几乎每一种攻击模式，都是同一个念头的变体：让广告看起来像播放器的一部分，或者像你操作系统的一部分。
为什么成人网站上的恶意广告特别多？
因为经济结构把它们推向广告市场的低端，而低端正是欺诈栖身的地方。
主流广告联盟一般不收成人广告位。这就使得站方只能向更小的交易平台和转售商买，而在那里，一次曝光被填满之前可能经过好几道中间商。每多一手，就多一个没审过素材、事后也很难追责的角色。
攻击者用伪装投放（cloaking）钻这个空子：他们送审的素材行为完全正常，恶意的那个版本只对符合目标条件的访客发作——特定国家、特定浏览器版本、第一次来的访客，或者在上班时间之外连进来的访客。审核人员和自动扫描器拿到的是干净的版本。你拿到的是另一个。
常见的攻击模式长什么样？
它们集中成少数几种反复出现的形状。学会这些形状，比背下一个个具体骗术有用。
| 模式 | 你看到的 | 它真正想要的 |
|---|---|---|
| 假播放器覆盖层 | 一个盖在真播放器上的「Play」或「HD」按钮 | 一次点击，打开下载或新标签页 |
| 编码器／插件提示 | 「你的播放器版本太旧，请更新后继续。」 | 让你去运行一个安装程序 |
| 假 CAPTCHA | 「点击『允许』以证明你不是机器人」 | 浏览器的通知权限 |
| 浏览器锁定 | 全屏警告、警报音、「请拨打这个电话」 | 打一通电话给诈骗话务中心 |
| 强制跳转 | 你滚到一半，页面没点就自己跳走 | 把流量转卖给链条上的下一个骗局 |
| 后置弹窗 | 一个窗口在你正在用的窗口后面打开 | 曝光量，外加把上面这些再来一遍的机会 |
| 假系统警告 | 一个做成 Windows 或 macOS 样子的对话框 | 一个可执行文件的下载，或者一场技术支持诈骗 |
假 CAPTCHA 值得单独拎出来讲。给出通知权限，等于让那个域名可以无限期地把消息推到你的桌面或手机上，跑在浏览器窗口之外，样式做得像系统通知。这是少数几种在你关掉标签页很久之后还持续有效的攻击。
怎么分辨恶意广告和普通广告？
去确认那个让你去点的东西，实际上住在哪儿。
- 真正的播放器绝不会叫你安装任何东西。 现代浏览器原生就能解 H.264 和 VP9。流媒体页面上任何「缺少编码器」的提示都是恶意的，没有例外。
- 真正的系统对话框不可能出现在网页里面。 操作系统的警告是由 OS 画出来的，不会渲染在页面区域内，周围还看得见浏览器的框。
- 你的杀毒软件不会在浏览器里跑。 一个把结果显示在标签页里的「扫描」，什么都没扫。
- 点之前先看目的地。 把光标移到链接上，读状态栏。覆盖层按钮通常指向一个毫不相干的域名。
- 真按钮不会乱动。 如果「Play」按钮每次刷新都换位置，那它是由中标那次曝光的人注入进来的。
- 正经东西不会用倒计时。 紧迫感存在的目的，就是不让你去核实。
如果已经点下去了，该怎么办？
照这张表依次往下做。前三项最要紧。
| 情况 | 立刻要做的事 |
|---|---|
| 页面关不掉，显示警告 | 从任务管理器或强制退出把浏览器整个关掉，重开时拒绝恢复上次的会话 |
| 你给了通知权限 | 到浏览器设置的网站权限里撤销；也去看一眼 OS 的通知列表 |
| 有文件被下载下来 | 别打开。删掉它，然后清空回收站 |
| 你运行了安装程序 | 断开网络连接，把这台设备当成已被入侵来处理——参见下面那篇讲恶意软件的 |
| 你打了那个电话 | 假定对方让你装的东西都给了远程访问权；那个会话必须撤销，设备必须检查 |
| 你输入了银行卡信息 | 用卡片上印的号码直接联系发卡机构，别用页面上给的任何号码 |
拒绝恢复会话很重要。如果浏览器「贴心地」把出事的那个标签页重开起来，浏览器锁定就会在强制退出之后活下来。
哪些防护真能降低风险？
大致按「花多少力气、挡掉多少」排序：
| 防护 | 它挡得住什么 | 局限 |
|---|---|---|
| 让浏览器保持更新 | 不用点击就发作的路过式攻击 | 对社会工程完全没用 |
| 内容拦截器 | 大部分第三方广告投放，包括后置弹窗 | 挡不住从网站自己域名发出来的攻击载荷 |
| 全局拒绝通知提示 | 整个假 CAPTCHA 家族 | 也会把正经的提示一起关掉 |
| 拦截第三方 cookie | 喂养定向投放的跨站画像 | 不是防恶意软件的手段 |
| 关掉自动下载 | 静默的路过式文件投放 | 你自己主动下载的东西，还得靠自己别打开 |
| 单独的浏览器配置文件 | 把权限和 cookie 限制在单一场景里 | 对已经运行的代码毫无防护 |
| 非管理员账号 | 限制安装程序能对整个系统改动的范围 | 在个人电脑上很不方便 |
有两件事值得直说。第一，没有哪种拦截器配置能让「运行一个来路不明的可执行文件」变安全——下载那一步才是真正灾难的起点，再怎么过滤也拿不掉你犯这个错的能力。第二，广告很凶并不说明这个网站的运营方本身有恶意；那通常只表示他们把广告位卖给了一个不做审核的交易平台。