如何制作钓鱼网站

2016年，何制我帮一个做电商的作钓站朋友排查服务器日志，发现有人用他的鱼网品牌名注册了taobao-jd-pay.com这种域名。点进去一看，何制页面跟他的作钓站商城后台登录页一模一样。这就是鱼网钓鱼网站，一个复制粘贴就能搞出来的何制东西。

制作钓鱼网站的作钓站第一步不是写代码，是鱼网搞域名。挑一个跟目标网站像但又不完全一样的何制名字。paypal变成paypa1，作钓站icbc后面加个-com.cn。鱼网域名注册商不会管你用来干嘛，何制花几十块钱就能买一个。作钓站我见过最离谱的鱼网，直接用rn替代m，比如arnazon.com，肉眼扫过去根本看不出。

域名有了，接下来是页面。不用自己写。打开目标网站的登录页，右键查看源代码，全选复制。CSS、JavaScript、图片链接，一股脑扒下来。图片路径要改成本地，不然加载的是人家服务器上的图，说不定哪天就被替换成警告标语。表单的action属性改成你自己的接收脚本地址。这个脚本可以用PHP写，五行代码：<?php $data = $_POST; file_put_contents('log.txt', print_r($data, true)); ?>。用户输入的用户名密码，全进log.txt。

光有静态页面不够。用户提交后得跳转，不然傻子都知道有问题。跳转可以写在前端JavaScript里，window.location = 'https://真实网站.com'。也可以在PHP里用header('Location: ...')。跳转前加个一秒延迟，让用户感觉“正在登录”。这招屡试不爽。

服务器选哪里？别用国内的主机。阿里云、腾讯云实名认证，出了事直接查到你。用境外VPS，付款用加密货币或者礼品卡。我认识一个搞渗透测试的，他专门买那种按小时计费的VPS，钓完一波就销毁。成本不到十块钱。域名解析用Cloudflare，免费套餐还能隐藏真实IP。但Cloudflare会发滥用投诉邮件，所以别绑常用邮箱。

传播渠道才是关键。邮件钓鱼最老套但有效。admin@yourcompany.com这种发件人地址，用SMTP伪造一下就行。邮件内容写“您的账户存在异常登录，请立即验证”。链接用短网址服务缩一下，bit.ly或者t.cn。微信里直接发链接容易被拦截，做成二维码图片。二维码指向钓鱼页面，扫出来照样中招。

有个细节很多人忽略：HTTPS。现在浏览器对HTTP页面会显示“不安全”，用户警惕性高。去Let's Encrypt申请个免费证书，把钓鱼站也搞成HTTPS。地址栏一把绿锁，信任感直接拉满。我测试过，同样一个假登录页，有HTTPS的提交率比没有的高出三倍。

说个真实案例。2021年有个家伙用qq-mail-login.com钓了上千个QQ号。他的手法很糙，页面甚至没做移动端适配，但他在贴吧发帖说“QQ邮箱要收费了，赶紧验证”，附上链接。三天时间，log.txt写了二十万行。后来被抓了，判了三年。技术不难，难的是别被抓。

钓鱼网站的本质是心理操纵，技术只是外壳。页面加载速度、错别字、图片清晰度，任何一个细节都可能让用户起疑。我见过最成功的钓鱼站，连favicon都跟原站一模一样。用户输完密码跳转后，甚至会自动帮他登录真实网站，全程无感。这种级别的，需要写点后端逻辑，但核心思路没变：骗人输入，然后偷走。

最后说一句，写这篇文章是让你知道怎么防，不是让你去钓。你搞出来的每一个假页面，背后都可能是一个普通人半年的积蓄。技术本身没有善恶，用技术的人有。