驻留在网页上的恶意代码通常利用以下几种方式来危害用户：
1. 窃取用户数据
- 窃取密码、登录凭证：通过 XSS（跨站脚本攻击）在用户不知情的情况下窃取登录信息。
- 窃取会话令牌：利用 Cookie 或 LocalStorage 等存储用户信息，窃取会话 ID。
- 窃取浏览器信息：如 IP 地址、浏览器指纹、用户行为数据等。
2. 篡改网页内容
- 修改页面内容：在用户浏览网页时，篡改页面内容，显示恶意信息或广告。
- 注入恶意链接：在网页中插入恶意链接，用户点击后可能被重定向到钓鱼网站。
3. 劫持用户行为
- 劫持点击行为：通过 JavaScript 操控用户点击，诱导用户点击恶意链接或下载恶意文件。
- 劫持搜索行为：在搜索框中插入恶意脚本，诱导用户搜索特定关键词，从而获取敏感信息。
4. 窃取敏感信息
- 窃取用户隐私数据：如地址、电话、身份证号等。
- 窃取支付信息：如信用卡号、验证码等。
5. 诱导用户下载恶意软件
- 下载恶意文件：通过钓鱼链接或恶意附件诱导用户下载恶意软件。
- 利用漏洞安装恶意软件：通过漏洞利用安装后门或远程控制程序。
6. 进行社会工程学攻击
- 伪装成可信网站：通过域名劫持、证书伪造等方式伪装成合法网站。
- 伪造邮件或短信：伪造邮件或短信诱导用户点击恶意链接。
7. 进行网络钓鱼
- 诱导用户输入敏感信息：如登录密码、银行账户等。
- 伪造网站：通过域名劫持，让用户误以为是真实网站。
8. 窃取用户行为数据
- 记录用户行为：如浏览记录、点击行为、搜索历史等，用于广告投放或诈骗。
9. 利用漏洞进行攻击
- 利用 XSS、SQLi、CSRF 等漏洞：攻击服务器或网页，获取数据或控制网站。
10. 进行分布式攻击
- 利用 Bot 池：通过大量设备或程序进行大规模攻击，如 DDoS 攻击、恶意软件传播等。
防御措施建议：
- 使用 HTTPS：确保网站使用加密传输，防止中间人攻击。
- 输入验证：对用户输入进行严格的验证，防止 XSS 攻击。
- 内容安全策略（CSP）：限制网页中可以加载的脚本和资源，防止恶意脚本注入。
- 定期更新系统和软件：防止安全漏洞被利用。
- 用户教育：提醒用户不要点击不明链接，不随意下载附件。
- 使用安全工具：如浏览器扩展、杀毒软件、防火墙等。
如果你有具体的网页或攻击场景，我可以进一步分析其潜在风险和应对措施。