怎么制作钓鱼网站

2019年，制作一个做电商的钓鱼朋友收到一封“平台官方”邮件，说店铺违规需要点击链接申诉。网站他点进去，制作页面跟淘宝后台一模一样，钓鱼连验证码倒计时都做得出来。网站他输了账号密码，制作三分钟后店铺被洗劫一空。钓鱼这个页面，网站就是制作钓鱼网站。

说白了，钓鱼钓鱼网站就是网站披着羊皮的狼。它长得像银行、制作像邮箱、钓鱼像你每天用的网站任何平台，但网址可能只差一个字母。比如把“taobao”写成“taobao”，那个“o”其实是数字“0”。或者用“taobao.com.cn”这种多级域名糊弄人。普通人扫一眼根本看不出来。

先搞一个域名和空间

做钓鱼站的第一步，是注册一个跟目标网站相似的域名。域名注册商满大街都是，Namecheap、GoDaddy，几十块钱一年。有人专门抢注那种容易混淆的拼写，比如“paypa1.com”“1cbc.com”。注册完域名，再买个虚拟主机，一年百来块。主机商一般不管内容，除非有人举报。整个过程不需要任何资质，跟注册个博客没区别。

空间到手后，把目标网站的页面扒下来。用Chrome的“另存为”就能把整个登录页存到本地。但光有静态页面没用，得让用户输入的数据传到自己手里。这时候要改表单的提交地址，指向自己写的一个PHP脚本。脚本内容就几行：接收POST数据，写进一个txt文件，然后跳转到真正的官网。用户输完密码，页面一闪，回到真网站，他可能还以为刚才只是网络卡了一下。

让页面看起来“真”一点

光有登录框不够。浏览器地址栏会显示域名，用户要是多看一眼就露馅了。所以有人用短链接服务把域名藏起来，或者用iframe把真网站嵌进去，地址栏显示的是真域名，但输入框其实是透明的，盖在上面。这种叫“框架钓鱼”，技术含量稍高，但网上有现成工具。

还有一种更狠的：直接黑掉一个正规网站，在它的某个页面里插入钓鱼代码。用户看到域名是正规的，警惕性直接归零。2018年某省教育厅官网就被挂过钓鱼页，挂了好几天才被发现。

传播才是关键

网站做好了，没人点等于零。最常见的传播方式是群发邮件和短信。邮件里放个按钮“立即验证账户”，短信里写“您的ETC已过期，请点击链接续费”。这些文案都经过测试，点开率不低。有人专门买泄露的邮箱库，几百万条数据，群发一遍，总有人上钩。

社交平台也是重灾区。微博评论里那些“兼职日结，加QQ”的，点进去就是钓鱼站。还有在微信群发“砍价链接”的，页面做得跟拼多多一模一样，输完手机号就等着收验证码诈骗电话。

说点实在的

写这些不是教人干坏事。恰恰相反，你知道了怎么做的，才知道怎么防。看域名，别只看前面那几个字母，看最后那个“/”前面的部分。别在陌生页面输密码，真要输，先随便填个错的，看它报不报错。很多钓鱼站只做了前端，后端根本没验证逻辑，你输错的它也“登录成功”，那就百分百是假的。

浏览器地址栏的小锁图标也不代表安全。HTTPS现在免费申请，钓鱼站照样能用。真正要看的，是域名拼写对不对，是不是官方公布的网址。收到“账户异常”的短信，别点链接，直接打开官方App看。多花十秒钟，省得后面花几个月处理盗刷。

技术本身没善恶，看谁用、怎么用。但作为普通人，至少得知道这潭水有多浑。