网页木马是攻击者入侵网站后植入的恶意脚本或文件，常见形态包括伪装图片木马、加密混淆一句话木马、挂马页面等。

防范要点：

1. 定期检查网站目录中的新增与变更文件；

2. 关注可写目录中出现的脚本文件；

3. 检查页面中隐藏 iframe 与异常外链；

4. 对上传功能做严格的类型与内容校验；

5. 部署网页防篡改系统实现实时监测；

6. 使用恶意代码检测系统定期全盘扫描；

7. 及时更新 Web 中间件与 CMS 补丁；

8. 最小化 Web 服务账户权限；

9. 开启访问日志审计并定期分析；

10. 对数据库连接配置等敏感文件做权限隔离。

配合国联网页防篡改系统与恶意代码辅助检测系统，可实现对网页木马的实时发现与自动清除。