kali钓鱼网站

我在实验室搭过一个钓鱼WiFi，钓鱼名字叫“StarBucks_Free”。网站三分钟，钓鱼十七台设备连上来，网站其中九台自动弹出了我伪造的钓鱼苹果ID登录框。没有一个人犹豫，网站密码输得比我还快。钓鱼这就是网站钓鱼网站的杀伤力——它不攻击系统，它攻击人性。钓鱼

Kali Linux里自带一套叫SET的网站工具集，Social-Engineer Toolkit，钓鱼中文翻译是网站“社会工程师工具包”。名字起得直白，钓鱼它干的网站活就是替你撒谎。你只需要选“网站攻击向量”，钓鱼再选“站点克隆”，把目标网址粘贴进去——比如一个银行登录页。SET会原封不动抓取整个页面，连CSS样式、JS脚本、Logo像素都不差。你唯一要做的，是把克隆下来的假页面托管到Kali自带的Apache服务器上，然后等着。

等什么？等猎物自己撞上来。攻击者通常用三种方式引人上钩：伪造短信（“您的账户异常，请点击验证”）、伪造邮件（“您的快递被海关扣留”）、或者干脆在公共区域放一个免费WiFi热点。技术含量最低的反而最有效——我见过有人直接在星巴克厕所贴二维码，写着“扫码连WiFi看菜单”。扫完跳转假登录页，输入手机号，后台就多一条记录。

难点不在克隆页面，在绕过浏览器的安全提示。Chrome和Firefox会检查SSL证书，假页面没有，浏览器地址栏会显示“不安全”红字。解决办法也粗暴——攻击者用Bettercap或者Ettercap做ARP欺骗，把你和真实服务器之间的流量截胡，你在地址栏输入https，但实际连的是攻击者伪造的证书。浏览器警告弹出来，大多数人会点“高级→继续访问”，因为那个页面长得实在太像真的了。

真正让人后背发凉的，是钓鱼网站能实时转发流量。SET有个模块叫“Credential Harvester”，它不单收集你输入的账号密码，还能把整个请求转发给真实网站。什么意思？你输入密码，假页面把密码存下来，同时替你登录真网站，然后把登录成功的页面回传给你。整个过程你毫无察觉，以为只是网络慢了点。攻击者手里已经攥着你的session cookie，随时可以冒充你操作账户。

我在测试环境里试过一次克隆某银行页面。假页面部署在Kali虚拟机里，用手机连同一个局域网访问。输入测试账号，后台立刻显示密码明文——银行没加密？不是，是SET在传输层就截获了数据，加密发生在假页面和真服务器之间，但你的输入在到达假页面之前，是明文。就这么简单。

防御手段说出来你可能不信：别点短信里的链接，别连陌生WiFi输密码，电脑上装个uBlock Origin拦截恶意脚本。但最有效的，是养成一个习惯——手动在浏览器输入网址，而不是点任何跳转链接。钓鱼网站再逼真，也骗不过一个亲手敲键盘的人。你敲的每一个字符，都是在告诉浏览器：我知道我要去哪，别替我导航。

Kali里那些工具，Metasploit、BeEF、Wifiphisher，本质都是放大器。真正决定成败的，是攻击者对人的判断力。钓鱼网站不复杂，复杂的是你永远猜不到，谁会因为一条“您的账户被冻结”的短信，就把全部家当交出去。