上个月我收到一封邮件，钓鱼发件人显示是网站"支付宝安全中心"，说我的制作账户存在异常登录，需要点击链接验证身份。钓鱼链接打开后，网站页面和支付宝登录页几乎一模一样，制作连favicon都复刻了。钓鱼我随手输入了一个假账号密码，网站页面卡了两秒，制作跳转到真正的钓鱼支付宝官网。这种就是网站最典型的钓鱼网站——它不黑你的电脑，它骗你自己把密码交出去。制作

做钓鱼站的钓鱼技术门槛低得吓人。一个会点HTML和PHP的网站人，一个下午就能搭出一套。制作核心逻辑就三步：克隆页面、收集数据、跳转真站。克隆这一步甚至不需要手写代码，Chrome打开目标网站，右键"另存为"，把HTML和CSS扒下来，图片路径改一改就能用。真正花时间的是处理表单提交——把<form action="login.php">指向自己的服务器，剩下的就是写几行PHP把POST过来的用户名和密码存进txt文件。

我见过一个做黑产的人演示过完整流程。他在境外VPS上部署了一个仿某银行网银的页面，域名是icbc-secure-login.xyz，跟真实域名差了两个字母。整套东西加起来不到200KB。他还在页面里嵌了一段JS，检测用户输入密码时的击键间隔，用来判断是不是机器人在填表。这种细节说明钓鱼站也在进化，不再是早年那种粗制滥造的假页面。

更麻烦的是"反向代理钓鱼"。攻击者用Nginx做一个反向代理，用户访问钓鱼域名时，请求实际转发到真实银行网站，页面内容完全一致，连HTTPS证书都是真的。用户在假域名上输入密码，数据先经过攻击者的服务器再转发给银行。这种站几乎无法从页面本身辨别，只能看域名。2022年有个案例，攻击者用这种方式钓到了某券商客户的账号，直接操作账户买入了大量垃圾股。

域名是钓鱼站最脆弱的一环。便宜域名几块钱一个，但存活时间通常只有几小时到几天。安全厂商的爬虫扫到特征就会拉黑，浏览器拦截页一弹，用户就跑了。所以做钓鱼的人会批量注册域名，一次买几百个，用CDN做负载均衡，一个被封立刻切下一个。有个做安全研究的朋友告诉我，他追踪的一个团伙在三个月里换了1700多个域名，平均每个域名活不过4小时。

防钓鱼这事，技术手段能挡掉大部分低级攻击，但挡不住人自己犯迷糊。浏览器地址栏的锁图标只代表连接加密，不代表网站合法。真正有效的习惯就一条：不从邮件或短信里的链接进登录页。手动输域名，或者用书签。多花五秒钟，省掉后面一堆麻烦。